160. 권한 변경 이상 — 설정 파일 권한 변경 탐지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 10/50편 (전체 160/450)
학습 단계: 파일 권한 변경 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 159. 권한 변경 이상 — 중요 파일 권한 완화 탐지
• 005. 서비스 설정 권한 점검(A영역)

1. 개념

설정 파일의 권한이 쓰기 가능으로 바뀌면, 공격자가 설정을 변조해 상승·지속성을 얻을 수 있습니다. 중요 파일(D09)에 이어, 서비스·앱 설정 파일을 다룹니다.

설정 파일 권한 변경 위험
 /etc/cron.d/*     쓰기 가능 → cron으로 임의 실행(상승)
 /etc/systemd/*    쓰기 가능 → 서비스로 실행(지속성)
 /etc/nginx/*      쓰기 가능 → 웹 설정 변조
 /etc/myapp/*.conf 쓰기 가능 → 앱 동작 변조

위험: 설정 쓰기 완화 → 변조 → 상승·지속성

설정 파일이 world/group-writable이 되면, 그 설정으로 동작하는 서비스가 공격자의 코드를 실행하게 됩니다.

2. 왜 중요한가

• cron·systemd 설정 쓰기 완화는 임의 명령을 root로 실행하는 지속성·상승 경로입니다(F영역 연계).
• 서비스 설정 변조는 서비스 재시작 시 공격자 의도대로 동작합니다.
• 설정 파일은 FIM(D41) 대상이라, 권한 변경과 내용 변경을 함께 감시합니다.

3. 핵심 명령어 / 설정

설정 경로	쓰기 완화 위험
/etc/cron.d/	cron 임의 실행(상승)
/etc/systemd/system/	서비스 실행(지속성)
/etc/sudoers.d/	sudo 규칙(D30)
/etc/nginx/,/etc/httpd/	웹 설정 변조
앱 *.conf	앱 동작 변조

4. 실습 (실습 예시)

# 설정 파일 권한 변경 탐지 (분석 방법)
# 설정 디렉터리의 group/other 쓰기 권한 파일
find /etc/cron.d /etc/systemd/system /etc/nginx -type f -perm /022 2>/dev/null

# 설정 파일 권한 변경 이벤트
sudo ausearch -k perm_change -i --start recent 2>/dev/null | grep -E '/etc/(cron|systemd|nginx|httpd)' | tail

5. 정상 상태

$ (설정 쓰기 완화 점검) (없음)

설정 파일이 모두 적절한 권한(644/640, group/other 쓰기 없음)을 유지하고, 완화 변경 이벤트가 없는 상태가 정상입니다.

6. 이상 상태

$ (설정 쓰기 완화 점검)
/etc/cron.d/backup       (chmod o+w)
$ (변경 이벤트)
02:25 auid=devops proctitle="chmod 666 /etc/cron.d/backup"

• cron.d/backup이 666으로 완화 → 누구나 cron 설정 변조 가능 → root 임의 실행
• 설정 완화 직후 내용 변경(FIM)이 이어지는지 확인 필요
• 권한 상승·지속성의 전 단계 → 정탐

7. 로그 분석 (분석 방법)

설정 파일 권한 변경 흐름입니다(가상의 예시 로그).

type=SYSCALL ... comm="chmod" auid=devops key="perm_change"
type=PATH ... name="/etc/cron.d/backup" mode=0100644
type=PROCTITLE ... proctitle=chmod 666 /etc/cron.d/backup
[이후] cron.d/backup 내용 변경 (FIM 탐지, D41)

관찰	해석
chmod 666 cron.d	설정 쓰기 완화
이후 내용 변경	설정 변조(FIM)
cron 실행	root 임의 실행

권한 완화 → 내용 변조 → 실행의 3단을 연계로 탐지합니다.

8. SOC 관제 포인트

• 설정 파일의 쓰기 완화는 변조·상승·지속성의 전 단계입니다.
• cron·systemd·sudoers.d 설정 완화는 높은 우선순위로 봅니다.
• 권한 변경과 FIM(내용 변경)을 함께 감시해 변조를 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,perm_change,">
  <rule id="103080" level="11">
    <if_sid>103000</if_sid>
    <field name="audit.proctitle" type="pcre2">chmod.*(o\+w|g\+w|6[0-7][0-7]|7[0-7][0-7]).*/etc/(cron|systemd|sudoers|nginx|httpd)</field>
    <description>설정 파일 권한 쓰기 완화(변조·상승 경로)</description>
    <mitre><id>T1222.002</id><id>T1053</id></mitre>
  </rule>
</group>

설정 파일 완화는 FIM(D41)·cron 감시(F영역)와 연계해 변조·실행까지 추적합니다.

10. 대응 방법

1. 초기 확인 — 완화된 설정 파일·변경 시각·주체와 쓰기 권한 부여 여부를 확인합니다.
2. 범위 확인 — 완화 직후 설정 내용 변경·서비스 실행이 이어졌는지 확인합니다.
3. 증거 확보 — 권한 변경 로그와 설정 파일 현재 권한·내용을 보존합니다.
4. 차단/조치 — 권한을 원복(644/640)하고 변조된 설정을 복구합니다.
5. 재발 방지 — 설정 파일 완화 탐지와 FIM을 함께 운영합니다.

11. 핵심 정리

설정 경로	완화 위험
cron.d/systemd	임의 실행(상승·지속성)
sudoers.d	sudo 규칙
nginx/httpd	웹 설정 변조
앱 conf	앱 동작 변조
면접 포인트	"설정 쓰기 완화는 변조→실행으로 상승·지속성을 준다"

12. 다음 편 예고

다음 편 161. 권한 변경 이상 — 실행 파일 권한 변경 탐지 에서는 실행 파일의 권한 변경을 다루는 실행 파일 권한 변경 탐지를 다룹니다.

---

이전 편: 159. 권한 변경 이상 — 중요 파일 권한 완화 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점