191. 권한 변경 이상 — 권한 변경과 파일 무결성(FIM) 연계

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 41/50편 (전체 191/450)
학습 단계: 권한 변경 감사·로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 190. 권한 변경 이상 — 권한 변경 타임라인 작성
• 153. 권한 변경 감사 기반 구성

1. 개념

권한 변경은 보통 "다음 단계"를 위한 준비입니다. 권한을 완화한 뒤 파일 내용을 변조하는 2단 공격이 전형적입니다. 권한 변경(auditd perm)과 내용 변경(FIM)을 연계하면 이 흐름을 완전히 포착합니다.

권한 변경 + FIM 연계
 FIM: 파일의 내용(해시)·속성(권한·소유자·크기) 변경 탐지
 auditd perm: 권한 변경의 주체·방법(누가 chmod했나)

 연계: chmod o+w config (perm) → config 내용 변조 (FIM)
       = 권한 완화 → 변조의 2단 공격 포착

FIM은 "무엇이 바뀜", auditd는 "누가·어떻게"

FIM과 auditd는 상호 보완입니다. FIM은 변경 사실을, auditd는 변경 주체·방법을 알려줍니다.

2. 왜 중요한가

• 권한 완화 후 내용 변조는 전형적 2단 공격이라, 두 신호를 연계해야 완전합니다.
• FIM은 "무엇이 바뀌었나"(해시·속성), auditd는 "누가·어떻게"(주체·명령)를 보완합니다.
• 중요 파일(설정·바이너리·인증)은 권한+내용을 함께 감시해야 변조를 놓치지 않습니다.

3. 핵심 명령어 / 설정

도구	탐지 내용	보완점
FIM(syscheck)	내용·속성 변경	주체 불명확
auditd perm	권한 변경 주체·방법	내용 변경 미탐
연계	완화→변조 흐름	완전
해시 비교	내용 변조 확정	—
속성 비교	권한·소유자 변경	—

4. 실습 (실습 예시)

# 권한 변경 + FIM 연계 분석 (분석 방법)
# FIM 변경(해시·속성)과 같은 파일의 auditd 권한 변경 대조
# 1) FIM 변경 파일 확인(Wazuh syscheck/ELK)
# 2) 해당 파일의 권한 변경 주체 확인
sudo ausearch -k perm_change,perm_critical -i --start recent 2>/dev/null | grep '/etc/myapp/db.conf'

# 중요 파일 해시 기준선 비교(FIM 보조)
sha256sum /etc/myapp/db.conf 2>/dev/null; grep db.conf /root/baseline/hashes.txt 2>/dev/null

5. 정상 상태

$ (권한 변경) (없음)
$ (해시 비교) 동일(기준선 일치)

중요 파일의 권한 변경도 없고 내용 해시도 기준선과 일치해, 무결성이 유지된 상태가 정상입니다.

6. 이상 상태

$ (권한 변경)
02:25 auid=www-data proctitle="chmod 666 /etc/myapp/db.conf" (완화)
$ (해시 비교) 불일치(FIM: 02:26 내용 변경 탐지)

• 02:25 권한 완화(auditd) → 02:26 내용 변경(FIM) → 1분 내 2단 공격
• auditd로 주체(www-data)·방법(chmod 666), FIM으로 내용 변조 확정
• 완화→변조 연계 → 정탐(DB 설정 변조)

7. 로그 분석 (분석 방법)

권한 변경+FIM 연계 흐름입니다(가상의 예시).

[auditd perm] 02:25 chmod 666 db.conf (누가·어떻게: www-data)
      ↓ (같은 파일, 1분 내)
[FIM] 02:26 db.conf 해시 변경 (무엇이: 내용 변조)
      =
[연계 판정] 권한 완화 → 내용 변조의 2단 공격 확정

신호	알려주는 것
auditd perm	주체·방법(chmod)
FIM 해시	내용 변조 사실
시간 근접	2단 공격
연계	완전한 그림

두 신호를 같은 파일·시간으로 연계하면 "완화→변조"의 완전한 공격이 드러납니다.

8. SOC 관제 포인트

• 권한 변경(auditd)과 내용 변경(FIM)은 상호 보완입니다(누가·어떻게 vs 무엇이).
• "권한 완화 → 내용 변조"의 2단 공격을 두 신호 연계로 포착합니다.
• 중요 파일은 권한+내용(해시)을 함께 감시해야 변조를 놓치지 않습니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,fim,">
  <!-- 권한 완화 직후 같은 파일 FIM 내용 변경 -->
  <rule id="103390" level="13">
    <if_group>syscheck</if_group>
    <if_matched_sid>103080</if_matched_sid>
    <same_field>file</same_field>
    <description>권한 완화 직후 동일 파일 내용 변조(2단 공격)</description>
    <mitre><id>T1222</id><id>T1565.001</id></mitre>
  </rule>
</group>

Wazuh syscheck(FIM)에 report_changes·auditd whodata를 켜면 내용·속성·주체를 한 경보로 연계합니다.

10. 대응 방법

1. 초기 확인 — 변경된 중요 파일의 권한 변경(auditd)과 내용 변경(FIM)을 대조합니다.
2. 범위 확인 — 완화→변조의 시간 근접·동일 파일·주체를 확인합니다.
3. 증거 확보 — auditd 권한 이벤트·FIM 해시/내용·기준선을 보존합니다.
4. 차단/조치 — 변조 파일 복구·권한 원복·세션 종료·영향 범위 조사를 진행합니다.
5. 재발 방지 — 권한 변경+FIM 연계(whodata) 감시를 운영합니다.

11. 핵심 정리

도구	탐지 내용
FIM(syscheck)	내용·속성 변경(무엇이)
auditd perm	권한 변경 주체·방법(누가·어떻게)
연계	완화→변조 2단 공격
whodata	주체까지 통합
면접 포인트	"FIM=무엇이, auditd=누가·어떻게 — 연계로 완화→변조 2단 공격 포착"

12. 다음 편 예고

다음 편 192. 권한 변경 이상 — 권한 변경 before/after 비교 분석 에서는 권한 변경 before/after 비교를 다루는 권한 변경 before/after 비교 분석을 다룹니다.

---

이전 편: 190. 권한 변경 이상 — 권한 변경 타임라인 작성
📚 시리즈 전체 보기: 시스템 보안 · 취약점