170. 권한 변경 이상 — 그룹 소유권 변경 이상 탐지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 20/50편 (전체 170/450)
학습 단계: 소유권·특수권한 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 169. 권한 변경 이상 — 파일 소유자 변경 이상 탐지
• 157. chown·chgrp 동작 원리와 로그 흔적

1. 개념

그룹 소유권 변경(chgrp 또는 chown user:group)은 소유자 변경보다 미묘하지만 중요합니다. 파일의 그룹을 바꾸면 그 그룹 구성원이 group 권한으로 파일에 접근하게 되어, 특권 그룹을 악용한 우회가 가능합니다.

그룹 소유권 변경 이상
 chgrp wheel file     → wheel 그룹이 접근(특권 그룹)
 chgrp shadow file    → shadow 그룹 읽기 악용
 chown :docker file   → docker 그룹(상승 경로)
 chgrp 공격자그룹      → 공격자 접근 획득

핵심: 특권/민감 그룹으로의 변경 + group 권한 조합

group 권한(예: 640)이 있는 파일을 민감 그룹으로 바꾸면, 그 그룹 구성원이 읽기·쓰기를 얻습니다.

2. 왜 중요한가

• 특권 그룹(wheel·sudo·docker·shadow)으로의 변경은 그룹 기반 권한 획득 경로입니다.
• 그룹 변경은 소유자 변경보다 눈에 덜 띄어 은밀한 우회에 쓰입니다.
• group 권한 비트와 조합해야 실제 접근이 생기므로, 함께 분석합니다.

3. 핵심 명령어 / 설정

그룹 변경	악용	위험
→ wheel/sudo	특권 그룹 접근	높음
→ shadow	해시 읽기(640+group r)	높음
→ docker	컨테이너 상승 경로	높음
→ 공격자 그룹	접근 획득	중간
group 권한 조합	실제 접근 발생	판정

4. 실습 (실습 예시)

# 그룹 소유권 변경 이상 탐지 (분석 방법)
# chgrp / chown :group 이벤트
sudo ausearch -k perm_change -i --start recent 2>/dev/null | grep -E 'comm="chgrp"|proctitle=chown.*:' | tail

# 민감 그룹으로의 변경 식별
sudo ausearch -k perm_change -i --start recent 2>/dev/null | grep -E 'chgrp (wheel|sudo|docker|shadow)|chown.*:(wheel|sudo|docker|shadow)'

5. 정상 상태

$ (그룹 변경 이벤트)
proctitle=chgrp appgroup /var/www/html/shared (배포)

관리자가 애플리케이션 그룹으로 공유 파일의 그룹을 맞추는 것은 정상입니다(배포·협업 구성).

6. 이상 상태

$ (그룹 변경 이벤트)
proctitle=chgrp shadow /etc/backup/shadow.bak    (shadow 그룹)
proctitle=chown root:devops /usr/local/bin/tool   (devops 그룹에 바이너리)

• 백업 파일을 shadow 그룹으로 → shadow 그룹 구성원이 해시 읽기
• 바이너리를 devops 그룹 소유로 → group 쓰기 시 변조 가능
• 민감/특권 그룹으로의 변경 → 정탐

7. 로그 분석 (분석 방법)

그룹 소유권 변경 흐름입니다(가상의 예시 로그).

type=SYSCALL ... comm="chown" auid=devops key="perm_change"
type=PATH ... name="/usr/local/bin/tool" ouid=0 ogid=0
type=PROCTITLE ... proctitle=chown root:devops /usr/local/bin/tool
 → group: root→devops (ogid 기준)

필드	해석
ogid=0	이전 그룹: root
proctitle :devops	이후 그룹: devops
group 권한	조합 시 접근 발생
특권/민감 그룹	위험 판정

ogid(이전 그룹)와 proctitle(이후)로 그룹 변경을 판정하고, group 권한과 조합해 실제 위험을 평가합니다.

8. SOC 관제 포인트

• 그룹 소유권 변경은 특권/민감 그룹 부여로 그룹 기반 접근을 줍니다.
• wheel·sudo·docker·shadow 그룹으로의 변경이 핵심 위험입니다.
• group 권한 비트와 조합해 실제 접근 발생 여부를 함께 판정합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,perm_change,">
  <rule id="103180" level="11">
    <if_sid>103000</if_sid>
    <field name="audit.proctitle" type="pcre2">(chgrp\s+(wheel|sudo|docker|shadow|root)|chown\s+[^ ]*:(wheel|sudo|docker|shadow))</field>
    <description>특권/민감 그룹으로 그룹 소유권 변경</description>
    <mitre><id>T1222.002</id></mitre>
  </rule>
</group>

그룹 변경은 group 권한 비트(chmod)와 함께 봐야 실제 위험이 확정됩니다. D28에서 종합합니다.

10. 대응 방법

1. 초기 확인 — 변경된 파일의 이전 그룹(ogid)·새 그룹(proctitle)·대상을 확인합니다.
2. 범위 확인 — 특권/민감 그룹 여부와 group 권한 비트 조합으로 실제 접근을 확인합니다.
3. 증거 확보 — 그룹 변경 이벤트와 대상 파일 현재 그룹·권한을 보존합니다.
4. 차단/조치 — 비인가 변경이면 그룹 원복·세션 종료를 진행합니다.
5. 재발 방지 — 특권/민감 그룹 변경 탐지를 운영합니다.

11. 핵심 정리

그룹 변경	위험
→ wheel/sudo	특권 그룹 접근
→ shadow	해시 읽기
→ docker	상승 경로
group 권한 조합	실제 접근 발생
면접 포인트	"그룹 변경은 group 권한과 조합해야 위험 — 특권/민감 그룹이 핵심"

12. 다음 편 예고

다음 편 171. 권한 변경 이상 — 중요 파일 소유권 탈취 탐지 에서는 중요 파일 소유권 탈취를 집중 다루는 중요 파일 소유권 탈취 탐지를 다룹니다.

---

이전 편: 169. 권한 변경 이상 — 파일 소유자 변경 이상 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점