182. 권한 변경 이상 — sudo 권한 상승 실행 탐지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 32/50편 (전체 182/450)
학습 단계: sudo·PAM·capability 권한 변경
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 181. 권한 변경 이상 — NOPASSWD 추가 탐지
• 037. sudo 권한 상승 이상 징후(B영역)

1. 개념

규칙 변경(D29~31)이 "상승 권한 생성"이라면, 여기서는 그 권한이 실제로 쓰이는 실행을 봅니다. sudo 실행 중 위험 명령·쉘 획득·비정상 주체를 탐지해, 상승이 악용되는 순간을 포착합니다.

sudo 상승 실행 이상
 쉘 획득:    sudo bash / sudo -i / sudo su → 대화형 root
 위험 명령:   sudo vi(:!sh) / sudo find -exec → 쉘 탈출
 비정상 주체: 새 계정·서비스 계정의 sudo
 비정상 시점: 새벽·비업무 시간 sudo

B영역 37편과 연계: 규칙 변경(D) → 상승 실행(여기)

B영역 37편이 인증·실패 중심이라면, 여기서는 D영역 규칙 변경과 연결된 상승 실행의 악용 패턴에 집중합니다.

2. 왜 중요한가

• 규칙 변경(D29~31) 직후의 sudo 실행은 상승 경로가 바로 악용되는 신호입니다.
• sudo로 쉘을 얻으면(sudo bash) 이후 모든 행위가 root로 수행됩니다.
• GTFOBins류(sudo 허용 명령의 쉘 탈출)는 제한 규칙도 우회합니다.

3. 핵심 명령어 / 설정

sudo 실행	위험	비고
sudo bash/-i/su	대화형 root 쉘	높음
sudo vi/less/find	쉘 탈출(GTFOBins)	높음
규칙 변경 직후 sudo	경로 악용	높음
비정상 주체·시점	탈취 상승	높음
정상 관리 sudo	승인 작업	정상

4. 실습 (실습 예시)

# sudo 상승 실행 탐지 (분석 방법)
# sudo로 쉘/위험 명령 실행
sudo ausearch -k priv_esc,sudo_exec -i --start recent 2>/dev/null | grep -E 'sudo.*(bash|sh|-i|su|vi|find|less|awk)' | tail

# 규칙 변경과 상승 실행의 시간·세션 연계
sudo ausearch -k sudoers_change,priv_esc -i --start recent 2>/dev/null | grep -E 'sudoers|sudo' | tail

5. 정상 상태

$ (sudo 상승 실행)
14:20 auid=admin1 proctitle="sudo systemctl restart nginx" (승인 작업)

관리자가 sudo로 정상 운영 명령(서비스 재시작 등)을 업무 시간에 실행하는 것은 정상입니다.

6. 이상 상태

$ (sudo 상승 실행)
03:42 auid=devops proctitle="sudo bash"            (대화형 root 쉘)
03:45 auid=devops proctitle="sudo find /etc -exec /bin/sh \; "
$ (규칙 변경 연계)
03:40 sudoers.d/99-devops 생성(D30) → 03:42 sudo bash

• devops가 NOPASSWD 규칙 추가(03:40) 직후 sudo bash(03:42) → 경로 생성→악용
• sudo find -exec로 쉘 탈출 → 제한 규칙 우회 상승
• 규칙 변경→상승 실행 연쇄·새벽 → 정탐

7. 로그 분석 (분석 방법)

sudo 상승 실행 연계 흐름입니다(가상의 예시).

[규칙 변경] 03:40 sudoers.d/99-devops: NOPASSWD: ALL (D30·31)
   ↓ 같은 세션
[상승 실행] 03:42 sudo bash → uid=0 대화형 쉘
   ↓
[root 행위] 이후 모든 명령 root로 수행

단계	흔적
규칙 변경	sudoers.d 생성
상승 실행	sudo bash
같은 세션	session 일치
root 쉘	uid=0

규칙 변경(D30·31)과 상승 실행을 세션으로 연계하면 경로 생성→악용의 전체 체인이 드러납니다.

8. SOC 관제 포인트

• sudo 상승 실행 탐지는 규칙 변경(D29~31)으로 생긴 권한의 악용 순간을 포착합니다.
• 쉘 획득(sudo bash)·GTFOBins 쉘 탈출·비정상 주체/시점이 핵심입니다.
• 규칙 변경→상승 실행을 세션으로 연계해 전체 체인을 탐지합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,privilege,">
  <!-- 규칙 변경 직후 같은 세션 sudo 쉘 획득 -->
  <rule id="103300" level="14">
    <if_sid>103270,103280,103290</if_sid>
    <if_matched_sid>103270</if_matched_sid>
    <same_field>audit.session</same_field>
    <description>sudoers 변경 직후 같은 세션 sudo 상승 실행</description>
    <mitre><id>T1548.003</id><id>T1059.004</id></mitre>
  </rule>
</group>

sudo 쉘 획득 자체는 B영역 37편(인증) 룰과 함께 보고, D영역에서는 규칙 변경과의 세션 연계에 집중합니다.

10. 대응 방법

1. 초기 확인 — sudo로 실행된 명령(쉘·위험 명령)·주체·시점을 확인합니다.
2. 범위 확인 — 직전 규칙 변경(D29~31)과 같은 세션인지, 쉘 탈출 여부를 확인합니다.
3. 증거 확보 — sudo 실행 이벤트와 규칙 변경 이벤트를 세션으로 묶어 보존합니다.
4. 차단/조치 — 정탐이면 세션 종료·규칙 원복·root 행위 전체 조사를 진행합니다.
5. 재발 방지 — 규칙 변경→상승 실행 세션 연계 탐지를 운영합니다.

11. 핵심 정리

sudo 실행	위험
sudo bash/-i/su	대화형 root 쉘
sudo vi/find	쉘 탈출(GTFOBins)
규칙 변경 직후	경로 악용
비정상 주체/시점	탈취 상승
면접 포인트	"규칙 변경(D)→sudo 상승 실행을 세션으로 연계해 경로 생성→악용 체인 포착"

12. 다음 편 예고

다음 편 183. 권한 변경 이상 — PAM 설정 변경과 권한 우회 탐지 에서는 PAM 설정 변경을 다루는 PAM 설정 변경과 권한 우회 탐지를 다룹니다.

---

이전 편: 181. 권한 변경 이상 — NOPASSWD 추가 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점