197. 권한 변경 이상 — 권한 변경 Alert 대응 절차

changseop lee·2026년 10월 7일

Alert대응 Soc 권한 변경 이상 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 플레이북

시스템 보안 · 취약점

목록 보기

197/450

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 47/50편 (전체 197/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

탐지(D45·46)가 경보를 만들면, 관제원은 표준 절차로 대응해야 합니다. 절차가 없으면 대응이 느리고 일관성이 없습니다. 권한 변경 경보에 특화된 대응 플레이북을 정리합니다.

권한 변경 Alert 대응 절차(플레이북)
 ① 분류:   경보 레벨·대상·주체로 우선순위
 ② 조사:   6축 판정(D08)+before/after(D42)+세션(D44)
 ③ 판정:   정탐/오탐 결정
 ④ 조치:   정탐→격리·원복·세션종료 / 오탐→튜닝
 ⑤ 기록:   타임라인(D40)·대응 내역 기록

목표: 일관·신속·증거 기반 대응

"증거는 거짓말하지 않는다" — 대응은 항상 로그·타임라인이라는 증거에 근거합니다.

2. 왜 중요한가

표준 절차는 관제원마다 일관된 대응을 보장하고, 대응 속도를 높입니다.
각 단계가 D영역 분석 기법(6축·before/after·상관·타임라인)과 연결됩니다.
조치의 선택(격리·원복·세션종료)은 경보 심각도와 침해 범위에 따라 달라집니다.

3. 핵심 명령어 / 설정

단계	핵심 행동	참조
분류	레벨·대상·주체 우선순위	D08
조사	6축·before/after·세션	D42·44
판정	정탐/오탐	D46
조치	격리·원복·종료/튜닝	—
기록	타임라인·내역	D40

4. 실습 (실습 예시)

# 권한 변경 Alert 대응 (분석 방법)
# ① 분류: 경보 상세 확인
# ② 조사: 해당 세션 전체 권한 변경·정찰 이벤트
SES=88
sudo ausearch -k perm_change,perm_suid,recon --session $SES -i 2>/dev/null | grep -E 'time->|proctitle=|name='
# ④ 조치(정탐 시 예시): SUID 제거·원복
# sudo chmod u-s /tmp/.sh ; sudo rm -i /tmp/.sh  (조사·백업 후)
# ⑤ 기록: 타임라인 산출

5. 정상 상태

$ (오탐 대응 예시)
경보: chmod 644 /etc/app.conf (admin1, 14:00)
조사: 배포(CHG-2026-1002), 6축 모두 정상
판정: 오탐 → 좁은 예외 튜닝(D46)

정상 배포 경보를 조사해 오탐으로 판정하고, 좁은 예외로 튜닝해 종결하는 것이 정상 흐름입니다.

6. 이상 상태

$ (정탐 대응 예시)
경보: chmod 4755 /tmp/.sh (devops, 03:40, 정찰 결합)
조사: 세션 88 = 정찰→SUID→sudo bash→지속성(D40 타임라인)
판정: 정탐(고위험)
조치: 세션 종료 → SUID 제거 → 백도어 전수 제거(D38) → 자격증명 교체
기록: 타임라인·대응 내역 보고

정탐 경보를 세션 조사로 전체 공격 체인 파악(D40)
조치: 세션 종료→경로 원복→백도어 전수 제거→자격증명 교체
타임라인·대응 내역 기록으로 종결

7. 로그 분석 (분석 방법)

권한 변경 Alert 대응 흐름입니다(가상의 예시).

[경보] 권한 변경 Alert (level 13+)
   ↓ ① 분류(레벨·대상·주체)
[우선순위] 고위험 우선 처리
   ↓ ② 조사(6축·세션·타임라인)
[판정] ③ 정탐 / 오탐
   ├ 정탐 → ④ 격리·원복·세션종료·전수제거
   └ 오탐 → ④ 좁은 예외 튜닝
   ↓ ⑤ 기록(타임라인·내역)
[종결]

단계	산출
분류	우선순위
조사	6축·타임라인
판정	TP/FP
조치	대응·튜닝
기록	보고서

표준 절차가 경보를 일관되고 신속한 대응으로 연결합니다.

8. SOC 관제 포인트

권한 변경 경보는 표준 플레이북(분류→조사→판정→조치→기록)으로 대응합니다.
각 단계가 D영역 분석 기법(6축·before/after·상관·타임라인)과 연결됩니다.
정탐은 격리·원복·전수 제거·자격증명 교체, 오탐은 좁은 튜닝으로 처리합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,response,">
  <!-- 고위험 권한 변경 경보에 대응 우선순위 태깅 -->
  <rule id="103450" level="13">
    <if_sid>103160,103190,103260,103340</if_sid>
    <description>권한 변경 고위험 경보 — 즉시 대응 플레이북 적용</description>
    <mitre><id>T1548</id></mitre>
    <group>response_priority,</group>
  </rule>
</group>

고위험 경보는 대응 우선순위로 태깅하고, active-response(자동 격리)는 테스트 환경에서 충분히 검증 후 신중히 적용합니다.

10. 대응 방법

초기 확인 — 경보를 레벨·대상·주체로 분류해 우선순위를 정합니다.
범위 확인 — 세션 조사(6축·타임라인)로 정탐/오탐을 판정합니다.
증거 확보 — 경보·조사 근거·대응 내역을 보존합니다.
차단/조치 — 정탐은 격리·원복·전수 제거·자격증명 교체, 오탐은 튜닝을 진행합니다.
재발 방지 — 표준 대응 플레이북을 일관되게 운영·기록합니다.

11. 핵심 정리

단계	핵심 행동
분류	레벨·대상·주체 우선순위
조사	6축·before/after·세션·타임라인
판정	정탐/오탐
조치	격리·원복·종료·전수제거 / 튜닝
면접 포인트	"대응은 분류→조사→판정→조치→기록 — 정탐은 전수 제거+자격증명 교체"