185. 권한 변경 이상 — 특권 그룹 추가와 권한 변경 연계

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 35/50편 (전체 185/450)
학습 단계: sudo·PAM·capability 권한 변경
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 184. 권한 변경 이상 — pam_permit·nullok 삽입 탐지
• 020. 그룹·권한 변경 이상(B영역 계정)

1. 개념

특권 그룹 멤버십은 영구적 상승 경로입니다. 사용자를 wheel·sudo 그룹에 넣으면 sudo 권한을, docker 그룹에 넣으면 컨테이너를 통한 root를 얻습니다. 계정 조작(B영역)과 권한 변경(D영역)의 교차점입니다.

특권 그룹과 상승
 wheel/sudo  → sudo 권한(상승)
 docker      → 컨테이너로 root 마운트(상승)
 lxd/lxc     → 컨테이너 상승
 shadow/disk → 민감 파일 접근
 adm         → 로그 읽기

추가 방법: usermod -aG / gpasswd / /etc/group 직접 편집

B영역 20편이 계정 관점의 그룹 변경이라면, 여기서는 특권 그룹 멤버십 → 상승 경로와 D영역 파일 권한 변경의 연계에 집중합니다.

2. 왜 중요한가

• 특권 그룹 추가는 그 그룹의 권한(sudo·docker 등)을 영구적으로 부여합니다.
• docker·lxd 그룹은 사실상 root와 동등해, 추가 자체가 상승입니다.
• 그룹 추가(멤버십)와 파일 그룹 변경(D20)이 결합하면 정교한 접근 획득이 됩니다.

3. 핵심 명령어 / 설정

특권 그룹	상승 방식	위험
wheel/sudo	sudo 권한	높음
docker	컨테이너 root	매우 높음
lxd/lxc	컨테이너 상승	매우 높음
shadow/disk	민감 파일 접근	높음
adm	로그 접근	중간

4. 실습 (실습 예시)

# 특권 그룹 추가 탐지 (분석 방법)
# 그룹 추가 이벤트(usermod/gpasswd/group 변경)
sudo ausearch -k perm_critical,group_change -i --start recent 2>/dev/null | grep -E 'usermod|gpasswd|/etc/group' | tail

# 현재 특권 그룹 멤버 점검(기준선 대비)
for g in wheel sudo docker lxd; do echo "$g: $(getent group $g 2>/dev/null | cut -d: -f4)"; done

5. 정상 상태

$ (그룹 추가 이벤트) (없음)
$ (특권 그룹 멤버)
wheel: admin1
docker: dockeradmin

특권 그룹 멤버가 기준선과 같고(관리 계정만), 신규 추가 이벤트가 없는 상태가 정상입니다.

6. 이상 상태

$ (그룹 추가 이벤트)
03:55 auid=devops proctitle="usermod -aG docker devops"
$ (특권 그룹 멤버)
docker: dockeradmin,devops   (devops 신규)

• devops를 docker 그룹에 추가 → 컨테이너로 호스트 파일시스템 마운트 → root
• 비관리 계정 자기 자신을 특권 그룹에 추가 → 상승 경로 확보
• docker 그룹 추가는 사실상 root 획득 → 정탐(고위험)

7. 로그 분석 (분석 방법)

특권 그룹 추가 흐름입니다(가상의 예시 로그).

type=SYSCALL ... comm="usermod" auid=devops key="group_change"
type=PROCTITLE ... proctitle=usermod -aG docker devops
[기준선 이탈] docker 그룹에 devops 추가
[상승] docker run -v /:/mnt ... → 호스트 root 파일 접근(별도 탐지)

흔적	해석
usermod -aG docker	특권 그룹 추가
대상 devops	비관리 계정
docker 그룹	root 동등
이후 docker run	상승 실행

그룹 추가(멤버십 변경)+이후 특권 사용(docker run·sudo)을 연계해 상승을 포착합니다.

8. SOC 관제 포인트

• 특권 그룹 추가는 영구적 상승 경로를 부여하는 권한 변경입니다.
• docker·lxd 그룹은 사실상 root 동등이라 추가 자체가 상승입니다.
• 멤버십 변경(B20)과 파일 그룹 변경(D20)을 연계해 접근 획득을 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,group_change,privilege,">
  <rule id="103330" level="13">
    <if_sid>103000</if_sid>
    <field name="audit.proctitle" type="pcre2">(usermod\s+.*-aG\s+(wheel|sudo|docker|lxd|lxc|shadow|disk)|gpasswd\s+-a\s+\S+\s+(wheel|sudo|docker))</field>
    <description>사용자를 특권 그룹에 추가(상승 경로 확보)</description>
    <mitre><id>T1098</id><id>T1548</id></mitre>
  </rule>
</group>

/etc/group 직접 편집도 와치로 함께 탐지합니다. docker/lxd 추가는 레벨을 더 높입니다.

10. 대응 방법

1. 초기 확인 — 특권 그룹에 추가된 사용자·대상 그룹·주체·방법을 확인합니다.
2. 범위 확인 — 기준선 이탈 여부와 이후 특권 사용(docker run·sudo)을 확인합니다.
3. 증거 확보 — 그룹 추가 이벤트와 /etc/group 현재 상태를 보존합니다.
4. 차단/조치 — 비인가 멤버십 제거·원복·세션 종료·상승 조사를 진행합니다.
5. 재발 방지 — 특권 그룹 추가 탐지와 멤버 기준선 비교를 운영합니다.

11. 핵심 정리

특권 그룹	상승 방식
wheel/sudo	sudo 권한
docker/lxd	컨테이너 root
shadow/disk	민감 파일 접근
/etc/group 편집	직접 추가
면접 포인트	"docker 그룹 추가는 사실상 root — 멤버십 변경+특권 사용 연계로 탐지"

12. 다음 편 예고

다음 편 186. 권한 변경 이상 — root 권한 획득 경로 종합 에서는 root 권한 획득 경로를 종합하는 root 권한 획득 경로 종합을 다룹니다.

---

이전 편: 184. 권한 변경 이상 — pam_permit·nullok 삽입 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점