159. 권한 변경 이상 — 중요 파일 권한 완화 탐지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 9/50편 (전체 159/450)
학습 단계: 파일 권한 변경 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 158. 권한 변경 이상 — 판정 기준
• 004. 주요 파일 권한 기준 점검 매트릭스(A영역)
• 25. 중요 파일 권한 점검(linsec)

1. 개념

2단계는 파일 권한 변경의 구체적 유형을 다룹니다. 첫 번째는 중요 파일의 권한 완화입니다. shadow·sudoers·SSH 키 같은 고가치 파일의 권한이 느슨해지면, 공격자가 그 내용을 읽거나 변조할 수 있습니다.

중요 파일 권한 완화
 /etc/shadow  000/640 → 644  (해시 읽기 가능)
 /etc/sudoers 440 → 640/646  (규칙 읽기/쓰기)
 ~/.ssh/id_rsa 600 → 644     (개인키 읽기 가능)
 /etc/ssh/sshd_config → 쓰기 허용 (설정 변조)

위험: 읽기 완화 → 정보 노출 / 쓰기 완화 → 변조·상승

A영역 04편(권한 매트릭스)의 기대값에서 완화 방향으로 벗어나는 변경이 이상 징후입니다.

2. 왜 중요한가

• shadow 읽기 완화는 패스워드 해시 노출(오프라인 크래킹)로 이어집니다.
• sudoers 쓰기 완화는 권한 규칙 변조(상승)의 전 단계입니다.
• SSH 개인키 읽기 완화는 키 탈취(E영역·B영역 17편) 경로입니다.

3. 핵심 명령어 / 설정

파일	기대 권한	위험 완화
/etc/shadow	000/640	644(읽기)
/etc/sudoers	440	640/646(읽기/쓰기)
~/.ssh/id_rsa	600	644(읽기)
/etc/ssh/sshd_config	600/644	쓰기 허용
/etc/gshadow	000/640	644

4. 실습 (실습 예시)

# 중요 파일 권한 완화 탐지 (분석 방법)
# 기대 권한 매트릭스(A영역 04편)와 현재 비교
while read f exp; do cur=$(stat -c '%a' "$f" 2>/dev/null); [ "$cur" != "$exp" ] && echo "DIFF $f 기대=$exp 현재=$cur"; done <<'EOF'
/etc/shadow 0
/etc/sudoers 440
/etc/ssh/sshd_config 600
EOF

# 완화 변경 이벤트
sudo ausearch -k perm_critical,perm_change -i --start recent 2>/dev/null | grep -E 'shadow|sudoers|id_rsa|sshd_config' | tail

5. 정상 상태

$ (권한 매트릭스 비교) (DIFF 없음)

중요 파일 권한이 기대값(A영역 04편)과 일치하고, 완화 변경 이벤트가 없는 상태가 정상입니다.

6. 이상 상태

$ (권한 매트릭스 비교)
DIFF /etc/shadow 기대=0 현재=644
$ (완화 이벤트)
02:20:10 auid=devops comm="chmod" proctitle="chmod 644 /etc/shadow"

• shadow가 644로 완화 → 모든 사용자가 해시 읽기 가능(크래킹 노출)
• devops의 새벽 변경 → 6축(D08) 다수 위험 → 정탐
• 완화 직후 shadow 읽기(E영역)가 이어지는지 확인 필요

7. 로그 분석 (분석 방법)

중요 파일 완화 흐름입니다(가상의 예시 로그).

type=SYSCALL ... comm="chmod" auid=devops uid=0 key="perm_critical"
type=PATH ... name="/etc/shadow" nametype=NORMAL mode=0100000
type=PROCTITLE ... proctitle=chmod 644 /etc/shadow
[이후 가능] cat /etc/shadow (E영역 해시 읽기)

관찰	해석
chmod 644 shadow	해시 읽기 완화
mode=0100000	이전: 000(보호)
이후 읽기	해시 노출(E영역)
auid=devops	행위자

완화 직후 읽기·복사(E영역)가 이어지면 정보 탈취로 연계 탐지합니다.

8. SOC 관제 포인트

• 중요 파일 권한을 A영역 04편 매트릭스와 비교해 완화 방향 변경을 탐지합니다.
• shadow·sudoers·SSH 키 완화는 단건도 높은 우선순위입니다.
• 완화 직후 읽기·변조(E영역)로 이어지는지 연계 감시합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,perm_change,">
  <rule id="103070" level="12">
    <if_sid>103000,103020</if_sid>
    <field name="audit.proctitle" type="pcre2">chmod\s+(6|7)[0-7][0-7]\s+/etc/shadow|chmod.*\+r.*shadow|chmod\s+6[0-7][0-7]\s+/etc/sudoers</field>
    <description>중요 파일(shadow/sudoers) 권한 완화</description>
    <mitre><id>T1222.002</id></mitre>
  </rule>
</group>

중요 파일 완화는 FIM(D41)과 함께 탐지해 로컬 로그 변조에 대비합니다.

10. 대응 방법

1. 초기 확인 — 완화된 중요 파일·변경 시각·주체와 기대값 차이를 확인합니다.
2. 범위 확인 — 완화 직후 읽기·복사·변조(E영역)가 이어졌는지 확인합니다.
3. 증거 확보 — 권한 변경 로그와 파일 현재 권한을 보존합니다.
4. 차단/조치 — 권한을 기대값으로 원복하고(shadow 000 등), 노출 시 자격증명 교체를 검토합니다.
5. 재발 방지 — 중요 파일 완화 탐지와 매트릭스 점검을 운영합니다.

11. 핵심 정리

파일	완화 위험
/etc/shadow	해시 읽기(크래킹)
/etc/sudoers	규칙 읽기/변조(상승)
~/.ssh/id_rsa	개인키 읽기(탈취)
sshd_config	설정 변조
면접 포인트	"중요 파일 완화는 읽기(노출)·쓰기(변조) 양쪽 경로를 연다"

12. 다음 편 예고

다음 편 160. 권한 변경 이상 — 설정 파일 권한 변경 탐지 에서는 설정 파일 권한 변경을 다루는 설정 파일 권한 변경 탐지를 다룹니다.

---

이전 편: 158. 권한 변경 이상 — 권한 변경 이상 징후의 판정 기준
📚 시리즈 전체 보기: 시스템 보안 · 취약점