171. 권한 변경 이상 — 중요 파일 소유권 탈취 탐지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 21/50편 (전체 171/450)
학습 단계: 소유권·특수권한 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 170. 권한 변경 이상 — 그룹 소유권 변경 이상 탐지
• 169. 파일 소유자 변경 이상 탐지

1. 개념

소유자/그룹 변경(D19·20)의 가장 위험한 형태인 중요 파일 소유권 탈취를 집중합니다. passwd·shadow·sudoers 같은 파일의 소유권을 공격자가 획득하면, 쓰기 권한이 없어도 권한을 재설정해 조작·상승할 수 있습니다.

중요 파일 소유권 탈취 → 공격 체인
 /etc/passwd 탈취  → UID 0 계정 추가/수정(B영역)
 /etc/shadow 탈취  → 해시 조작·제거
 /etc/sudoers 탈취 → 규칙 추가(상승, D29)
 authorized_keys 탈취 → 백도어 키(D15)

소유권 획득 → 권한 재설정 → 변조의 2단 공격

소유권만 바꿔도 소유자는 chmod로 권한을 다시 열 수 있어, "탈취→재설정→변조"의 연쇄가 됩니다.

2. 왜 중요한가

• 중요 파일 소유권 탈취는 계정·인증·권한 조작의 관문입니다(B·D·E영역 연계).
• 소유자가 되면 권한을 자유롭게 바꿀 수 있어, 완화 탐지만으로는 놓칠 수 있습니다.
• 탈취 직후 chmod(재설정)·내용 변경(FIM)이 이어지는지 연계로 봐야 완전합니다.

3. 핵심 명령어 / 설정

탈취 대상	다음 공격	연계 영역
/etc/passwd	UID 0 계정 조작	B영역
/etc/shadow	해시 조작	B·E영역
/etc/sudoers	규칙 추가(상승)	D29
authorized_keys	백도어 키	D15
서비스 바이너리	변조	D11

4. 실습 (실습 예시)

# 중요 파일 소유권 탈취 탐지 (분석 방법)
# 중요 파일의 소유자가 root가 아닌 경우
for f in /etc/passwd /etc/shadow /etc/sudoers; do o=$(stat -c '%U' "$f" 2>/dev/null); [ "$o" != "root" ] && echo "탈취의심 $f owner=$o"; done

# 중요 파일 chown 이벤트
sudo ausearch -k perm_critical -i --start recent 2>/dev/null | grep -E 'chown.*(/etc/passwd|/etc/shadow|/etc/sudoers|authorized_keys)'

5. 정상 상태

$ (중요 파일 소유자 점검) (모두 root — 탈취 없음)
$ (중요 파일 chown) (없음)

중요 파일이 모두 root 소유를 유지하고, 소유권 변경 이벤트가 없는 상태가 정상입니다.

6. 이상 상태

$ (중요 파일 소유자 점검)
탈취의심 /etc/shadow owner=devops
$ (중요 파일 chown)
03:05 auid=devops proctitle="chown devops /etc/shadow" ouid=0
[이후] chmod 644 /etc/shadow (재설정) → 해시 조작

• shadow 소유권 devops 탈취 → 소유자로서 권한 재설정(chmod)
• 재설정 후 해시 읽기·조작 → 인증 우회(B·E영역)
• 탈취→재설정→변조의 연쇄 → 정탐(고위험)

7. 로그 분석 (분석 방법)

중요 파일 소유권 탈취 공격 체인입니다(가상의 예시).

[탈취]   chown devops /etc/shadow (ouid=0, perm_critical)
   ↓
[재설정] chmod 644 /etc/shadow (소유자 권한으로)
   ↓
[변조]   shadow 내용 조작(FIM) 또는 해시 읽기(E영역)

단계	흔적
탈취	chown, ouid=0
재설정	chmod(같은 소유자)
변조	FIM·읽기

세 단계를 세션으로 묶으면 소유권 탈취 공격이 명확히 드러납니다.

8. SOC 관제 포인트

• 중요 파일 소유권 탈취는 탈취→권한 재설정→변조의 연쇄 공격입니다.
• passwd·shadow·sudoers·authorized_keys 탈취는 최고 우선순위입니다.
• 소유권 변경 후 chmod·FIM 연계로 공격 진행을 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,perm_change,">
  <rule id="103190" level="13">
    <if_sid>103020</if_sid>
    <field name="audit.proctitle" type="pcre2">chown.*(/etc/passwd|/etc/shadow|/etc/gshadow|/etc/sudoers|authorized_keys)</field>
    <description>중요 인증/권한 파일 소유권 탈취</description>
    <mitre><id>T1222.002</id><id>T1098</id></mitre>
  </rule>
</group>

소유권 탈취(level 13)는 즉시 경보하고, 이후 chmod·FIM을 세션으로 상관합니다(D44).

10. 대응 방법

1. 초기 확인 — 탈취된 중요 파일·이전 소유자(root)·새 소유자·주체를 확인합니다.
2. 범위 확인 — 탈취 후 권한 재설정(chmod)·내용 변조(FIM)·읽기가 이어졌는지 확인합니다.
3. 증거 확보 — chown 이벤트와 대상 파일 현재 소유자·권한·내용을 보존합니다.
4. 차단/조치 — 소유권 원복(root 복원)·내용 복구·자격증명 교체·세션 종료를 진행합니다.
5. 재발 방지 — 중요 파일 소유권 탈취 탐지와 후속 연계를 운영합니다.

11. 핵심 정리

탈취 대상	다음 공격
/etc/passwd	UID 0 계정 조작
/etc/shadow	해시 조작
/etc/sudoers	규칙 추가(상승)
authorized_keys	백도어 키
면접 포인트	"소유권 탈취는 탈취→권한 재설정→변조의 연쇄 — chmod/FIM 연계 필수"

12. 다음 편 예고

다음 편 172. 권한 변경 이상 — SUID 비트 설정 탐지 에서는 특수 권한으로 넘어가 SUID 비트 설정 탐지를 다룹니다.

---

이전 편: 170. 권한 변경 이상 — 그룹 소유권 변경 이상 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점