176. 권한 변경 이상 — 비표준 경로 SUID 탐지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 26/50편 (전체 176/450)
학습 단계: 소유권·특수권한 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 175. 권한 변경 이상 — 신규 SUID/SGID 파일 생성 탐지
• 172. SUID 비트 설정 탐지

1. 개념

정상 SUID/SGID 바이너리는 /usr/bin·/usr/sbin·/bin 같은 시스템 경로에만 있습니다. 비표준 경로(/tmp·/dev/shm·홈·웹루트)에 SUID가 있다면 거의 확실히 악성입니다. 경로만으로 위험도를 크게 좁힐 수 있습니다.

비표준 경로 SUID = 강한 이상 징후
 정상 경로: /usr/bin /usr/sbin /bin /sbin (고정 목록)
 비표준:   /tmp /var/tmp /dev/shm → 거의 확실히 악성
           /home/* → 사용자 영역 SUID(비정상)
           /var/www /opt/app → 웹·앱 경로 SUID(웹셸 상승)

경로 화이트리스트 밖 SUID → 조사 대상

경로 기반 탐지는 이름·내용을 바꿔도 우회하기 어려워, 비표준 경로 SUID는 효율적인 탐지 포인트입니다.

2. 왜 중요한가

• 정상 SUID 경로는 고정이라, 그 밖의 SUID는 이름·해시와 무관하게 의심 대상입니다.
• /tmp·/dev/shm의 SUID는 공격자가 심은 상승 도구일 가능성이 높습니다.
• 웹루트(/var/www)의 SUID는 웹셸을 통한 상승(www-data→root)의 신호입니다.

3. 핵심 명령어 / 설정

비표준 경로	의미	위험
/tmp,/var/tmp	임시 영역 SUID	매우 높음
/dev/shm	메모리 SUID	매우 높음
/home/*	사용자 영역 SUID	높음
/var/www	웹루트 SUID	높음(웹셸 상승)
/opt,/srv	앱 경로(확인)	중간

4. 실습 (실습 예시)

# 비표준 경로 SUID 탐지 (분석 방법)
# 정상 경로 외의 SUID/SGID 파일
sudo find / -xdev \( -perm -4000 -o -perm -2000 \) -type f 2>/dev/null \
  | grep -vE '^/(usr/s?bin|s?bin)/'

# 비표준 경로 집중 점검
sudo find /tmp /var/tmp /dev/shm /home /var/www \( -perm -4000 -o -perm -2000 \) -type f 2>/dev/null

5. 정상 상태

$ (정상 경로 외 SUID) (없음)
$ (비표준 경로 점검) (없음)

SUID/SGID 파일이 모두 정상 시스템 경로에만 있고, 비표준 경로에 없는 상태가 정상입니다.

6. 이상 상태

$ (정상 경로 외 SUID)
/tmp/.x
/var/www/html/.helper
/home/devops/tools/pwn

• /tmp/.x 임시 영역 SUID → 상승 백도어
• /var/www/html/.helper 웹루트 SUID → 웹셸이 심은 상승 도구(www-data→root)
• 사용자 홈 SUID → 비정상 → 모두 정탐

7. 로그 분석 (분석 방법)

비표준 경로 SUID 탐지 흐름입니다(가상의 예시).

[정상 경로 목록] /usr/bin /usr/sbin /bin /sbin
      ↓ (화이트리스트)
[전체 SUID 스캔] find / -perm -4000
      ↓ (화이트리스트 제외)
[비표준 SUID] /tmp/.x, /var/www/.helper → 조사

경로	판정
/usr/bin/passwd	정상(화이트리스트)
/tmp/.x	악성(비표준)
/var/www/.helper	악성(웹셸 상승)
/home/*/pwn	비정상

경로 화이트리스트로 정상을 걸러내면, 남는 비표준 SUID가 바로 조사 대상입니다.

8. SOC 관제 포인트

• 비표준 경로 SUID는 경로만으로 강한 이상 징후로 판정됩니다.
• /tmp·/dev/shm·홈·웹루트의 SUID는 이름·해시와 무관하게 의심 대상입니다.
• 정상 경로 화이트리스트 기반 탐지는 우회가 어려워 효율적입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,perm_suid,">
  <rule id="103240" level="13">
    <if_sid>103010,103200</if_sid>
    <field name="audit.proctitle" type="pcre2">chmod\s+(u\+s|g\+s|[2467][0-7]{3}).*(/tmp/|/var/tmp/|/dev/shm/|/home/|/var/www/)</field>
    <description>비표준 경로 SUID/SGID 설정(거의 확실한 악성)</description>
    <mitre><id>T1548.001</id></mitre>
  </rule>
</group>

비표준 경로 SUID는 level 13으로 두고, 설정 이벤트와 주기적 스캔(FIM/rootcheck)을 함께 운영합니다.

10. 대응 방법

1. 초기 확인 — 비표준 경로에 있는 SUID/SGID 파일·경로·이름·해시를 확인합니다.
2. 범위 확인 — 설정 주체·시점·웹셸/업로드 연관과 실행 여부를 확인합니다.
3. 증거 확보 — 비표준 SUID 파일(해시·경로)과 설정·생성 이벤트를 보존합니다.
4. 차단/조치 — 악성 SUID 제거·파일 격리·웹셸 점검·세션 종료를 진행합니다.
5. 재발 방지 — 정상 경로 화이트리스트 기반 비표준 SUID 탐지를 운영합니다.

11. 핵심 정리

비표준 경로	위험
/tmp·/dev/shm	상승 백도어
/home/*	사용자 영역 SUID
/var/www	웹셸 상승
화이트리스트 외	조사 대상
면접 포인트	"정상 SUID 경로는 고정 — 비표준 경로 SUID는 경로만으로 악성 판정"

12. 다음 편 예고

다음 편 177. 권한 변경 이상 — Capability 설정 변경 탐지 에서는 Capability 설정 변경을 다루는 Capability 설정 변경 탐지를 다룹니다.

---

이전 편: 175. 권한 변경 이상 — 신규 SUID/SGID 파일 생성 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점