Reverse Shell을 탐지하는 방법

리버스 셸 탐지 방법:

1. 네트워크 기반:

# 의심스러운 아웃바운드 연결 확인
ss -tulnp | grep ESTABLISHED
netstat -anp | grep -v ":80\|:443\|:22"

# 비정상 포트로 나가는 연결
lsof -i -P | grep ESTABLISHED

2. 프로세스 기반:

# bash/sh가 네트워크 연결을 가진 경우
for pid in $(ls /proc | grep -E "^[0-9]+$"); do
  ls -la /proc/$pid/fd 2>/dev/null | grep socket
done

# 의심스러운 프로세스 트리
ps auxf | grep -E "bash|sh|python|perl|nc|ncat"

3. 자동화 도구:

• Wazuh — HIDS로 비정상 프로세스/네트워크 감시
• Falco — 컨테이너/호스트 런타임 보안
• Suricata — 네트워크 IDS로 리버스 셸 패턴 탐지

서버에서 /dev/tcp, mkfifo, nc -e 등의 명령이 실행되면 즉시 알림을 받도록 auditd를 설정하세요.