195. 권한 변경 이상 — Wazuh 기반 권한 변경 탐지

Soc Wazuh 권한 변경 이상 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 탐지구성

시스템 보안 · 취약점

목록 보기

195/450

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 45/50편 (전체 195/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

7단계는 SOC 탐지 구현입니다. 첫 번째는 Wazuh입니다. D영역 전편의 개별 룰(103000번대)을 하나의 Wazuh 탐지 스택으로 묶어, auditd·FIM·상관을 통합 구성합니다.

Wazuh 권한 변경 탐지 스택
 [입력]  auditd(perm_change/perm_suid/perm_critical 키)
         + syscheck FIM(whodata, report_changes)
 [룰]    103000(기반) → 103010~103360(개별) → 103420(상관)
 [연계]  MITRE 태그(T1222/T1548/T1556)
 [출력]  alert → dashboard / 대응(D47)

계층: 기반 → 개별 탐지 → 상관 → 경보

Wazuh는 auditd 로그를 자동 파싱하고 룰로 매칭하므로, 룰 설계가 탐지 품질을 좌우합니다.

2. 왜 중요한가

Wazuh는 auditd·FIM을 한 플랫폼에서 통합해, 권한 변경(누가·어떻게)+내용 변경(무엇이)을 함께 봅니다.
계층형 룰(기반→개별→상관)로 오탐을 줄이고 공격 흐름을 포착합니다.
whodata(auditd 연동 FIM)로 내용 변경의 주체까지 통합 기록합니다.

3. 핵심 명령어 / 설정

구성 요소	역할	편
auditd 룰	권한 변경 감사	D03
기반 룰 103000	변경 콜 포착	D01
개별 룰	유형별 탐지	D09~38
상관 룰	흐름 확증	D44
FIM whodata	내용+주체	D41

4. 실습 (실습 예시)

# Wazuh 권한 변경 탐지 구성 (분석 방법)
# 1) agent가 auditd 수집(ossec.conf localfile audit)
# 2) FIM whodata 활성화(syscheck)
#    <directories check_all="yes" whodata="yes" report_changes="yes">/etc</directories>
# 3) 커스텀 룰 배치 후 재시작
sudo /var/ossec/bin/wazuh-logtest   # 룰 매칭 검증(필수)
# 4) 룰 동작 확인
sudo tail -f /var/ossec/logs/alerts/alerts.json | grep 1030

5. 정상 상태

$ (wazuh-logtest, 정상 chmod)
Rule: 103000 (level 3) -> '권한 변경 시스템 콜'  (기반 룰만 매칭)
→ 정상 변경은 저레벨 기반 룰만, 경보 없음

정상 권한 변경이 기반 룰(저레벨)만 매칭하고 개별·상관 룰에 안 걸리는, 오탐 없는 상태가 정상입니다.

6. 이상 상태

$ (wazuh-logtest, chmod 4755 /tmp/.sh)
Rule: 103230 (level 13) -> '쉘 신규 SUID 파일 생성'
Rule: 103420 (level 14) -> '정찰+권한 변경 상관'  (세션 연계)
→ 개별+상관 룰 매칭, 고레벨 경보 발생

비표준 SUID가 개별 룰(103230)+상관 룰(103420)에 매칭 → 고레벨 경보
계층형 룰이 공격을 정확히 포착(정상은 통과, 공격은 경보)
wazuh-logtest로 매칭 검증 완료 → 운영 투입 가능

7. 로그 분석 (분석 방법)

Wazuh 탐지 스택 흐름입니다(가상의 예시).

[auditd] chmod 4755 /tmp/.sh (perm_suid)
   ↓ (agent 수집·파싱)
[기반 룰 103000] 권한 변경 콜 포착(level 3)
   ↓
[개별 룰 103230] 비표준 SUID(level 13)
   ↓ (세션 상관)
[상관 룰 103420] 정찰+변경(level 14)
   ↓
[경보] dashboard + 대응(D47)

계층	룰	역할
기반	103000	포착
개별	103xxx	유형 탐지
상관	103420	흐름 확증

계층형 룰이 정상은 통과시키고 공격만 고레벨로 경보합니다.

8. SOC 관제 포인트

Wazuh는 auditd·FIM을 통합한 계층형 탐지 스택(기반→개별→상관)으로 구성합니다.
whodata로 내용 변경(FIM)의 주체까지 통합 기록합니다.
모든 룰은 wazuh-logtest로 매칭을 검증한 뒤 운영에 투입합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,wazuh,">
  <!-- D영역 탐지 스택 요약: 기반 → 개별 → 상관 계층 구성 -->
  <!-- 103000(기반) / 103010~103360(개별) / 103420(상관) -->
  <rule id="103430" level="12">
    <if_group>syssec_d</if_group>
    <field name="audit.key" type="pcre2">perm_(change|suid|critical)</field>
    <options>no_full_log</options>
    <description>권한 변경 Wazuh 통합 탐지(그룹 집계용)</description>
    <mitre><id>T1222</id></mitre>
  </rule>
</group>

실제 운영에서는 개별 룰을 유지하고, 이 집계 룰은 대시보드·통계용으로 씁니다. 모든 룰 변경 후 wazuh-logtest 필수입니다.

10. 대응 방법

초기 확인 — auditd 수집·FIM whodata·커스텀 룰 배치 상태를 확인합니다.
범위 확인 — wazuh-logtest로 정상(통과)·공격(경보) 매칭을 검증합니다.
증거 확보 — 룰 구성·logtest 결과·alerts 로그를 보존합니다.
차단/조치 — 오탐은 예외 튜닝(D46), 미탐은 룰 보강으로 조정합니다.
재발 방지 — Wazuh 계층형 권한 변경 탐지 스택을 운영합니다.

11. 핵심 정리

구성 요소	역할
auditd 룰	권한 변경 감사
기반 룰	변경 콜 포착
개별 룰	유형별 탐지
상관 룰	흐름 확증
면접 포인트	"Wazuh는 계층형 룰(기반→개별→상관)+whodata FIM — logtest 검증 필수"