169. 권한 변경 이상 — 파일 소유자 변경 이상 탐지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 19/50편 (전체 169/450)
학습 단계: 소유권·특수권한 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 168. 권한 변경 이상 — 파일 권한 변경 이상 종합 분석
• 157. chown·chgrp 동작 원리와 로그 흔적

1. 개념

3단계는 소유권·특수권한을 다룹니다. 첫 번째는 파일 소유자 변경입니다. 소유자를 바꾸면 그 사용자가 파일을 완전히 통제(권한 재설정·변조)할 수 있어, 권한 비트 변경과 다른 강력한 수단입니다.

소유자 변경 이상 유형
 공격자 소유로:  chown attacker 중요파일 → 통제권 획득
 root 위장:      chown root:root 악성파일 → 정상 위장
 서비스 탈취:    chown attacker 서비스파일 → 변조
 재귀 탈취:      chown -R attacker dir → 대규모

판정: PATH ouid(이전) → proctitle(이후) before/after

소유자 변경은 쓰기 권한이 없어도 파일 통제를 주므로, 권한 완화와 별개로 감시합니다.

2. 왜 중요한가

• 소유자를 공격자 계정으로 바꾸면 그 파일의 권한·내용을 자유롭게 바꿀 수 있습니다.
• 악성 파일을 root 소유로 바꾸면 정상 시스템 파일로 위장합니다.
• 재귀(-R) 소유자 변경은 디렉터리 전체를 한 번에 탈취합니다.

3. 핵심 명령어 / 설정

소유자 변경	의도	위험
→ 공격자 계정	통제권 획득	높음
→ root(악성파일)	정상 위장	중간
→ 서비스 계정	서비스 탈취	중간
-R 재귀	대규모 탈취	높음
PATH ouid	이전 소유자(기준)	분석

4. 실습 (실습 예시)

# 파일 소유자 변경 이상 탐지 (분석 방법)
# chown 이벤트의 이전 소유자(ouid)와 새 소유자(proctitle)
sudo ausearch -k perm_change -i --start recent 2>/dev/null | grep -B1 'comm="chown"' | grep -E 'proctitle=chown|ouid=' | tail

# 재귀 소유자 변경
sudo ausearch -k perm_change -i --start recent 2>/dev/null | grep -E 'proctitle=chown.*-R'

5. 정상 상태

$ (chown 이벤트)
proctitle=chown apache:apache /var/www/html/newapp (배포)
ouid=0

관리자가 배포 과정에서 서비스 계정에 적절히 소유권을 주는 것은 정상입니다(웹앱을 apache로).

6. 이상 상태

$ (chown 이벤트)
proctitle=chown devops /etc/passwd            ouid=0
proctitle=chown -R devops /home/alice          ouid=1001

• /etc/passwd root→devops → 계정 파일 통제(B영역 계정 조작 가능)
• /home/alice 재귀 소유자 탈취 → alice 데이터·키 전체 통제
• 중요 파일·타 사용자 홈의 소유자 탈취 → 정탐

7. 로그 분석 (분석 방법)

파일 소유자 변경 흐름입니다(가상의 예시 로그).

type=SYSCALL ... comm="chown" auid=devops key="perm_change"
type=PATH ... name="/etc/passwd" ouid=0 ogid=0
type=PROCTITLE ... proctitle=chown devops /etc/passwd
 → before(ouid=0 root) / after(devops) : root→devops 탈취

필드	해석
PATH ouid=0	이전: root
proctitle devops	이후: devops
대상 /etc/passwd	중요 파일
변경	소유권 탈취

ouid(이전)와 proctitle(이후)로 소유권 탈취를 before/after로 확정합니다(D42).

8. SOC 관제 포인트

• 파일 소유자 변경은 쓰기 권한 없이도 통제권을 주는 강력한 수단입니다.
• 공격자 계정 소유로의 변경·재귀 탈취·중요 파일 대상이 핵심 위험입니다.
• PATH ouid(이전)+proctitle(이후)로 소유권 before/after를 판정합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,perm_change,">
  <rule id="103170" level="11">
    <if_sid>103000</if_sid>
    <field name="audit.proctitle" type="pcre2">chown\s+(-R\s+)?[a-z][a-z0-9_-]*\s+(/etc/|/root/|/home/|/var/)</field>
    <description>중요 경로 파일 소유자 변경(통제권 획득 의심)</description>
    <mitre><id>T1222.002</id></mitre>
  </rule>
</group>

서비스 계정으로의 정상 배포(apache 등)는 부모 프로세스·대상 경로로 예외 분리합니다(D46).

10. 대응 방법

1. 초기 확인 — 변경된 파일의 이전 소유자(ouid)·새 소유자(proctitle)·대상·주체를 확인합니다.
2. 범위 확인 — 중요 파일·타 사용자 홈·재귀 변경 여부와 세션을 확인합니다.
3. 증거 확보 — chown 이벤트와 대상 파일 현재 소유자를 보존합니다.
4. 차단/조치 — 비인가 변경이면 소유권 원복(root 복원)·세션 종료를 진행합니다.
5. 재발 방지 — 파일 소유자 변경 이상 탐지를 운영합니다.

11. 핵심 정리

변경	위험
→ 공격자 계정	통제권 획득
→ root(악성파일)	정상 위장
-R 재귀	대규모 탈취
중요 파일	계정·데이터 탈취
면접 포인트	"소유자 변경은 쓰기 권한 없이도 통제 — ouid(이전)/proctitle(이후)로 판정"

12. 다음 편 예고

다음 편 170. 권한 변경 이상 — 그룹 소유권 변경 이상 탐지 에서는 그룹 소유권 변경을 다루는 그룹 소유권 변경 이상 탐지를 다룹니다.

---

이전 편: 168. 권한 변경 이상 — 파일 권한 변경 이상 종합 분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점