194. 권한 변경 이상 — 권한 변경 이벤트 상관분석

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 44/50편 (전체 194/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 193. 권한 변경 이상 — 권한 변경 로그의 정규화와 수집
• 190. 권한 변경 타임라인 작성

1. 개념

단일 권한 변경은 오탐이 많지만, 여러 이벤트를 연계(상관) 하면 공격 흐름이 명확해집니다. 6단계 마무리로, 정규화된 로그(D43)를 세션·시간·주체로 묶어 상관분석하는 방법을 정리합니다.

권한 변경 상관분석 축
 [세션 상관]  같은 ses: 정찰(C)→변경(D)→상승 연계
 [시간 상관]  짧은 시간 내 다중 변경(빈도)
 [주체 상관]  한 auid의 여러 경로 생성
 [경로 상관]  C정찰 ↔ D변경 (102xxx ↔ 103xxx)
 [파일 상관]  권한 변경 ↔ FIM 내용 변경(D41)

단건=오탐 가능 / 상관=정탐 확신

상관분석은 D영역 전체 탐지를 하나로 묶는 핵심 기법입니다. 개별 룰(D09~38)의 상위 계층입니다.

2. 왜 중요한가

• 단일 권한 변경은 정상 운영과 겹쳐 오탐이 많지만, 상관은 공격 흐름을 확증합니다.
• 세션·시간·주체·경로·파일의 다축 상관이 탐지 정확도를 크게 높입니다.
• C영역 정찰과 D영역 변경의 교차 상관이 조기 탐지의 핵심입니다.

3. 핵심 명령어 / 설정

상관 축	연계	포착
세션(ses)	정찰→변경→상승	공격 흐름
시간(빈도)	다중 변경	집중 공격
주체(auid)	여러 경로	다중 백도어
경로(sid)	C정찰↔D변경	조기 탐지
파일	perm↔FIM	완화→변조

4. 실습 (실습 예시)

# 권한 변경 상관분석 (분석 방법)
# 1) 세션별 권한 변경 건수(집중 세션 식별)
sudo ausearch -k perm_change,perm_suid -i --start today 2>/dev/null | grep -oE 'ses=[0-9]+' | sort | uniq -c | sort -rn | head
# 2) 정찰(C)+변경(D) 같은 세션 교차
sudo ausearch -k recon,perm_change --session 88 -i 2>/dev/null | grep -cE 'proctitle'
# 3) 주체별 생성 경로 종류 수
sudo ausearch -k perm_suid,sudoers_change,pam_change -i --start today 2>/dev/null | grep -oE 'auid=[a-z0-9]+' | sort | uniq -c

5. 정상 상태

$ (세션별 건수) 12 ses=42(admin1 배포)
$ (정찰+변경 교차) 0
$ (주체별 경로) 12 auid=admin1

권한 변경이 관리 세션(배포)에 집중되고, 정찰-변경 교차나 다중 경로가 없는 상태가 정상입니다.

6. 이상 상태

$ (세션별 건수) 15 ses=88(devops)
$ (정찰+변경 교차) 6  (C정찰 3 + D변경 3, 같은 세션)
$ (주체별 경로) SUID 2, sudoers 1, pam 1 (devops)

• ses=88에 권한 변경 집중 + 정찰-변경 교차 6건 → 공격 세션 확증
• devops가 SUID·sudoers·PAM 다중 경로 생성 → 다중 백도어(D36·38)
• 다축 상관이 모두 공격 지시 → 정탐(고확신)

7. 로그 분석 (분석 방법)

권한 변경 상관분석 흐름입니다(가상의 예시).

[개별 이벤트] chmod/chown/setcap/sudoers... (단건=오탐 가능)
      ↓ (정규화 D43)
[상관 엔진]
   ├ 세션: ses=88에 정찰(C)+변경(D) 교차
   ├ 시간: 20분 내 다중 변경
   ├ 주체: devops 여러 경로
   └ 파일: 완화↔FIM 변조
      ↓
[상관 경보] 공격 흐름 확증(고확신 정탐)

단건	상관
chmod 1건	오탐 가능
정찰+변경+상승	공격 확증
다중 경로	다중 백도어

상관이 개별 이벤트를 공격 흐름으로 묶어 확신 있는 판정을 줍니다.

8. SOC 관제 포인트

• 상관분석은 단건=오탐을 다축 연계=정탐으로 바꾸는 핵심 기법입니다.
• 세션·시간·주체·경로·파일의 다축 상관으로 공격 흐름을 확증합니다.
• C정찰↔D변경 교차 상관이 조기 탐지의 핵심이며, 개별 룰의 상위 계층입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,correlation,">
  <!-- C영역 정찰 + D영역 권한 변경이 같은 세션에서 결합 -->
  <rule id="103420" level="14" frequency="4" timeframe="1200">
    <if_matched_sid>103000</if_matched_sid>
    <if_matched_group>recon</if_matched_group>
    <same_field>audit.session</same_field>
    <description>정찰+권한 변경 다축 상관(공격 흐름 확증)</description>
    <mitre><id>T1548</id></mitre>
  </rule>
</group>

Wazuh의 if_matched_sid·same_field·frequency로 세션·시간 상관을 구현합니다. ELK는 세션 집계로 상관합니다(D46).

10. 대응 방법

1. 초기 확인 — 세션·시간·주체·경로·파일의 다축 상관 지표를 확인합니다.
2. 범위 확인 — 정찰(C)↔변경(D) 교차, 다중 경로 생성, 완화↔변조 연계를 확인합니다.
3. 증거 확보 — 상관에 쓰인 전체 이벤트와 연계 근거를 보존합니다.
4. 차단/조치 — 상관 정탐이면 타임라인(D40)·세션 대응·전면 조사를 진행합니다.
5. 재발 방지 — 다축 상관분석을 개별 룰의 상위 탐지 계층으로 운영합니다.

11. 핵심 정리

상관 축	포착
세션	정찰→변경→상승 흐름
시간·빈도	집중 공격
주체	다중 백도어
경로(C↔D)	조기 탐지
면접 포인트	"단건은 오탐, 다축 상관은 정탐 — 세션 기준 C정찰↔D변경 교차가 핵심"

12. 다음 편 예고

다음 편 195. 권한 변경 이상 — Wazuh 기반 권한 변경 탐지 에서는 7단계로 넘어가 Wazuh 기반 권한 변경 탐지를 다룹니다.

---

이전 편: 193. 권한 변경 이상 — 권한 변경 로그의 정규화와 수집
📚 시리즈 전체 보기: 시스템 보안 · 취약점