196. 권한 변경 이상 — ELK/SIEM 기반 권한 변경 탐지와 정탐·오탐 판단

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 46/50편 (전체 196/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 195. 권한 변경 이상 — Wazuh 기반 권한 변경 탐지
• 146. ELK 기반 정보 수집 탐지(C영역)

1. 개념

ELK/SIEM은 대량 로그의 검색·집계·시각화에 강합니다. 권한 변경 탐지를 ELK로 구현하고, 핵심인 정탐/오탐 판단과 튜닝을 다룹니다. 탐지는 "경보를 만드는 것"이 아니라 "정탐을 남기고 오탐을 줄이는 것"입니다.

ELK 권한 변경 탐지·튜닝
 [쿼리]   audit.key:perm_* AND audit.proctitle:chmod*
 [집계]   세션·주체·대상별 집계(상관 D44)
 [시각화] 타임라인·히트맵·Top 주체
 [판정]   6축(D08)으로 정탐/오탐
 [튜닝]   오탐 → 좁은 예외(배포 계정·패키지)

목표: 정탐 유지 + 오탐 최소화(알림 피로 방지)

오탐이 많으면 관제원이 경보를 무시하게 됩니다(알림 피로). 정탐을 지키며 오탐을 줄이는 튜닝이 운영의 핵심입니다.

2. 왜 중요한가

• ELK는 대량 권한 변경을 집계·시각화해 패턴·이상을 빠르게 보여줍니다.
• 정탐/오탐 판단(6축 D08)이 탐지의 실질적 가치를 결정합니다.
• 오탐 튜닝은 "탐지를 끄는 것"이 아니라 "정상 맥락을 좁게 예외"하는 것입니다.

3. 핵심 명령어 / 설정

판정	신호	처리
정탐(TP)	6축 다수 위험	대응(D47)
오탐(FP)	배포·패키지 맥락	좁은 예외
미탐(FN)	룰 공백	룰 보강
과탐	광범위 룰	조건 강화
알림 피로	오탐 과다	튜닝

4. 실습 (실습 예시)

# ELK 권한 변경 탐지·튜닝 (분석 방법, KQL 예시)
# 1) 권한 변경 전체
audit.key:(perm_change or perm_suid) and audit.proctitle:(chmod* or chown*)
# 2) 비관리 계정만(오탐 축소)
... and not audit.auid:(admin1 or dockeradmin)
# 3) 패키지 맥락 제외(정상 배포)
... and not process.parent.name:(dnf or rpm or yum)
# 4) 세션별 집계(상관)
# aggregation: terms audit.session, count

5. 정상 상태

$ (튜닝 후 경보)
정탐 2 / 오탐 0 (최근 7일)
→ 배포·패키지 예외 적용 후 오탐 제거, 정탐만 남음

튜닝(비관리 계정·패키지 예외) 후 정탐만 남고 오탐이 0인, 신뢰할 수 있는 탐지 상태가 정상입니다.

6. 이상 상태

$ (튜닝 전 경보)
정탐 2 / 오탐 48 (최근 7일)
오탐 48건: 모두 dnf 업데이트의 /etc 권한 설정

• 튜닝 전 오탐 48건(패키지 업데이트) → 정탐 2건이 묻힘(알림 피로)
• process.parent.name:dnf 제외로 오탐 제거 → 정탐 2건만 부각
• 튜닝은 정탐을 지키며 정상 맥락만 좁게 예외(탐지 유지)

7. 로그 분석 (분석 방법)

정탐/오탐 판단·튜닝 흐름입니다(가상의 예시).

[경보] 권한 변경 탐지 50건
   ↓ (6축 판정 D08)
[분류] 정탐 2(비관리·새벽·정찰결합) / 오탐 48(dnf 배포)
   ↓ (튜닝)
[예외] not parent:dnf, not auid:배포계정 (좁게)
   ↓
[결과] 정탐 2건만 경보 → 대응 집중

항목	튜닝 전	튜닝 후
정탐	2(묻힘)	2(부각)
오탐	48	0
알림 피로	높음	낮음

튜닝으로 오탐을 제거하면 정탐에 집중할 수 있습니다.

8. SOC 관제 포인트

• ELK/SIEM은 권한 변경의 집계·시각화·정탐/오탐 판단에 강합니다.
• 6축(D08)으로 정탐/오탐을 판정하고, 정상 맥락(배포·패키지)만 좁게 예외합니다.
• 튜닝의 목표는 탐지를 끄는 것이 아니라 정탐 유지+오탐 최소화(알림 피로 방지)입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,tuning,">
  <!-- 패키지 관리자(dnf/rpm)의 권한 변경 정상 예외(좁게) -->
  <rule id="103440" level="2">
    <if_sid>103080,103120</if_sid>
    <field name="audit.ppid_comm" type="pcre2">^(dnf|rpm|yum|dpkg|apt)$</field>
    <description>패키지 관리자 권한 변경(정상, 예외 처리)</description>
    <options>no_email_alert</options>
  </rule>
</group>

예외는 부모 프로세스(패키지 관리자)처럼 좁은 조건으로 설계합니다. 넓은 예외는 미탐을 만들므로 피합니다.

10. 대응 방법

1. 초기 확인 — 경보를 6축(D08)으로 정탐/오탐으로 분류합니다.
2. 범위 확인 — 오탐의 공통 정상 맥락(배포 계정·패키지·시간)을 식별합니다.
3. 증거 확보 — 경보·판정 근거·튜닝 전후 지표를 보존합니다.
4. 차단/조치 — 오탐은 좁은 예외로 튜닝, 미탐은 룰 보강으로 조정합니다.
5. 재발 방지 — 정탐 유지+오탐 최소화를 목표로 ELK 탐지를 운영합니다.

11. 핵심 정리

판정	처리
정탐(TP)	대응(D47)
오탐(FP)	좁은 예외
미탐(FN)	룰 보강
알림 피로	오탐 튜닝
면접 포인트	"탐지 목표는 정탐 유지+오탐 최소화 — 예외는 패키지·배포처럼 좁게"

12. 다음 편 예고

다음 편 197. 권한 변경 이상 — 권한 변경 Alert 대응 절차 에서는 권한 변경 Alert 대응 절차를 다루는 권한 변경 Alert 대응 절차를 다룹니다.

---

이전 편: 195. 권한 변경 이상 — Wazuh 기반 권한 변경 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점