164. 권한 변경 이상 — /etc 권한 변경 탐지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 14/50편 (전체 164/450)
학습 단계: 파일 권한 변경 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 163. 권한 변경 이상 — world-writable 전환 탐지
• 153. 권한 변경 감사 기반 구성

1. 개념

/etc는 시스템의 핵심 설정이 모인 디렉터리입니다. 이곳의 권한 변경은 계정·인증·스케줄·서비스 전반에 영향을 주므로, D영역에서 가장 중요한 감시 대상입니다.

/etc 핵심 설정과 권한 변경 위험
 passwd/shadow  완화 → 계정 정보 노출·조작
 sudoers(.d)    완화·추가 → 권한 상승(D29~31)
 cron.d/crontab 완화 → 스케줄 임의 실행
 ssh/sshd_config 완화 → 원격 접근 설정 변조
 pam.d/*        변조 → 인증 우회(D33·34)

/etc 전체를 perm_critical 키로 감사(D03)

auditd의 -w /etc -p wa 와치로 /etc의 모든 권한·속성 변경을 포착합니다.

2. 왜 중요한가

• /etc 설정 완화는 계정·인증·스케줄 전반의 공격 경로를 동시에 엽니다.
• 패키지 업데이트가 /etc를 건드리므로, 맥락(dnf·배포)으로 정탐/오탐을 구분해야 합니다.
• /etc 변경은 FIM(내용)과 권한(perm)을 함께 봐야 완전합니다.

3. 핵심 명령어 / 설정

/etc 대상	변경 위험	관련 편
passwd/shadow	노출·조작	D09·21
sudoers,sudoers.d/	상승	D29·30·31
cron.d/,crontab	임의 실행	D10
ssh/,sshd_config	접근 변조	D15
pam.d/	인증 우회	D33·34

4. 실습 (실습 예시)

# /etc 권한 변경 탐지 (분석 방법)
# /etc 전체 권한 변경 이벤트
sudo ausearch -k perm_critical -i --start recent 2>/dev/null | grep -E 'chmod|chown' | grep '/etc/' | tail

# 패키지 맥락 대조(정상 여부)
sudo dnf history list 2>/dev/null | head

5. 정상 상태

$ (/etc 권한 변경)
14:05 auid=admin1 proctitle="chmod 644 /etc/myapp/app.conf" (배포)
$ (dnf history)
... 2026-10-02 14:00 update myapp (배포 일치)

/etc 변경이 배포·패키지 맥락과 일치하고, 관리 계정·업무 시간이면 정상입니다.

6. 이상 상태

$ (/etc 권한 변경)
02:45 auid=devops proctitle="chmod 644 /etc/shadow"       (shadow 완화)
02:46 auid=devops proctitle="chmod 666 /etc/cron.d/task"   (cron 완화)
$ (dnf history) (해당 시간 패키지 없음)

• shadow 완화(D09)+cron 완화(D10)가 같은 세션·새벽 → 노출+지속성
• 패키지 맥락 없음 → 정탐
• /etc 다중 완화는 공격 진행의 강한 신호

7. 로그 분석 (분석 방법)

/etc 권한 변경 흐름입니다(가상의 예시 로그).

type=SYSCALL ... comm="chmod" auid=devops key="perm_critical"
type=PATH ... name="/etc/shadow" mode=0100000
type=PROCTITLE ... proctitle=chmod 644 /etc/shadow
[같은 세션] chmod 666 /etc/cron.d/task (지속성)

관찰	해석
/etc/shadow 644	해시 노출
/etc/cron.d 666	스케줄 변조
같은 세션·새벽	공격 진행
패키지 없음	비정상

/etc 다중 완화를 세션으로 묶으면 공격 흐름이 드러납니다.

8. SOC 관제 포인트

• /etc는 계정·인증·스케줄·서비스 설정이 모여 D영역 최우선 감시 대상입니다.
• perm_critical 키로 /etc 전체 권한 변경을 포착합니다.
• 패키지·배포 맥락으로 정탐/오탐을 구분하고, 다중 완화를 세션으로 연계합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,perm_change,">
  <rule id="103120" level="12">
    <if_sid>103020</if_sid>
    <field name="audit.key">perm_critical</field>
    <field name="audit.proctitle" type="pcre2">(chmod|chown).*(/etc/shadow|/etc/passwd|/etc/sudoers|/etc/cron|/etc/ssh|/etc/pam)</field>
    <description>/etc 핵심 설정 권한/소유권 변경</description>
    <mitre><id>T1222</id></mitre>
  </rule>
</group>

패키지 관리자(dnf/rpm)의 /etc 변경은 부모 프로세스로 예외 처리합니다(D46).

10. 대응 방법

1. 초기 확인 — /etc에서 변경된 설정 파일·주체·시점과 패키지 맥락을 확인합니다.
2. 범위 확인 — 같은 세션에서 여러 /etc 설정이 완화·변조됐는지 확인합니다.
3. 증거 확보 — /etc 권한 변경 이벤트와 대상 설정 현재 상태를 보존합니다.
4. 차단/조치 — 비인가 변경이면 권한 원복·설정 복구·세션 종료를 진행합니다.
5. 재발 방지 — /etc 핵심 설정 권한 변경 탐지를 운영합니다.

11. 핵심 정리

/etc 대상	위험
passwd/shadow	노출·조작
sudoers(.d)	상승
cron.d	임의 실행
pam.d	인증 우회
면접 포인트	"/etc는 계정·인증·스케줄이 모인 곳 — perm_critical로 전체 감시"

12. 다음 편 예고

다음 편 165. 권한 변경 이상 — SSH 관련 파일 권한 변경 탐지 에서는 SSH 관련 파일 권한 변경을 다루는 SSH 관련 파일 권한 변경 탐지를 다룹니다.

---

이전 편: 163. 권한 변경 이상 — world-writable 전환 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점