198. 권한 변경 이상 — 권한 변경 이상 징후 탐지 규칙 모음

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 48/50편 (전체 198/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 197. 권한 변경 이상 — 권한 변경 Alert 대응 절차
• 148. 정보 수집 탐지 규칙 모음(C영역)

1. 개념

D영역에서 만든 모든 탐지 규칙(103000번대)을 하나의 레퍼런스로 모읍니다. 실무에서 "어떤 규칙이 있고, 무엇을, 어떤 레벨로 탐지하는가"를 빠르게 찾을 수 있게 집대성합니다.

D영역 탐지 규칙 체계(103000번대)
 103000       기반(권한 변경 콜)
 103010~103160 파일 권한(SUID·완화·중요파일·로그 등)
 103170~103260 소유권·특수권한(소유자·SUID/SGID·cap)
 103270~103360 sudo·PAM·그룹·지속성
 103370~103440 분석·상관·탐지 구성·튜닝
 103450       대응 우선순위

레벨: 정상 예외(2) ~ 다중 백도어(15)

모든 규칙은 실습용 예시이며, wazuh-logtest와 테스트 환경 검증 후 적용해야 합니다.

2. 왜 중요한가

• 규칙 모음은 운영·인수인계·튜닝의 레퍼런스로, 전체 탐지 범위를 한눈에 보여줍니다.
• 레벨 체계로 대응 우선순위를 정하고, MITRE 매핑으로 공격 기법을 추적합니다.
• 누락된 유형(미탐)을 점검하는 커버리지 체크리스트 역할도 합니다.

3. 핵심 명령어 / 설정

규칙 ID	탐지	레벨	MITRE
103070·103120	중요 파일 완화·/etc	12	T1222
103200·103230·103240	SUID 설정·신규·비표준	13	T1548.001
103270·103290	sudoers·NOPASSWD	13·14	T1548.003
103320	PAM permit/nullok	14	T1556.003
103340	다중 root 경로	15	T1548

4. 실습 (실습 예시)

# 탐지 규칙 모음 적용·검증 (분석 방법)
# 1) 전체 룰 문법 검사
sudo /var/ossec/bin/wazuh-logtest -v 2>&1 | head
# 2) 유형별 샘플 로그로 매칭 검증(각 룰)
for s in "chmod 4755 /tmp/.sh" "chmod 666 /etc/shadow"; do
  echo "test: $s"  # wazuh-logtest에 해당 audit 로그 투입
done
# 3) 커버리지 점검: 유형별 룰 존재 확인
grep -oE 'rule id="1030[0-9]{2}"' /var/ossec/etc/rules/local_rules.xml | sort -u

5. 정상 상태

$ (룰 문법 검사) 0 errors
$ (커버리지) 파일·소유권·특수권한·sudo·PAM·그룹·상관 전 유형 존재

모든 룰이 문법 오류 없이 로드되고, 권한 변경 전 유형을 커버하는 상태가 정상입니다.

6. 이상 상태

$ (룰 문법 검사) 1 error: rule 103320 pcre2 syntax
$ (커버리지) capability(103250) 룰 누락

• 룰 문법 오류(103320) → 해당 탐지 미동작(수정 필요)
• capability 룰 누락 → setcap 상승 미탐(커버리지 공백)
• 규칙 모음 점검으로 오류·공백을 사전 발견

7. 로그 분석 (분석 방법)

탐지 규칙 체계 지도입니다(가상의 예시).

[기반] 103000 권한 변경 콜
   ├ [파일] 103010~103160 (SUID·완화·중요·로그)
   ├ [소유·특수] 103170~103260 (소유자·SUID/SGID·cap)
   ├ [sudo·PAM·그룹] 103270~103360 (상승·지속성)
   └ [분석·상관·대응] 103370~103450
         ↓
   wazuh-logtest 검증 → 테스트 환경 → 운영

영역	규칙 범위
파일 권한	103010~103160
소유·특수권한	103170~103260
sudo·PAM·그룹	103270~103360
분석·상관·대응	103370~103450

규칙 모음이 전체 탐지 범위와 커버리지를 한눈에 보여줍니다.

8. SOC 관제 포인트

• D영역 탐지 규칙(103000번대)을 유형·레벨·MITRE로 집대성한 레퍼런스입니다.
• 레벨 체계(2~15)로 대응 우선순위, MITRE로 기법을 추적합니다.
• 모든 규칙은 실습용 예시이며, wazuh-logtest·테스트 환경 검증 후 적용합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<!-- D영역 탐지 규칙 모음 요약 (103000번대) -->
<!-- 103000 기반 / 103010·103020 감사기반 / 103030~103160 파일권한 -->
<!-- 103170~103260 소유권·특수권한 / 103270~103360 sudo·PAM·그룹·지속성 -->
<!-- 103370~103440 분석·상관·구성·튜닝 / 103450 대응 -->
<group name="local,syssec_d,ruleset,">
  <rule id="103460" level="3">
    <if_group>syssec_d</if_group>
    <description>권한 변경 탐지 규칙 모음(레퍼런스 집계)</description>
  </rule>
</group>

규칙은 환경마다 조정이 필요합니다. 반드시 테스트 환경에서 정탐·오탐을 검증한 뒤 운영에 반영하세요.

10. 대응 방법

1. 초기 확인 — 전체 규칙의 문법·로드·매칭을 wazuh-logtest로 검증합니다.
2. 범위 확인 — 유형별 커버리지(파일·소유권·특수권한·sudo·PAM·그룹·상관)를 점검합니다.
3. 증거 확보 — 규칙 세트·검증 결과·커버리지 매트릭스를 보존합니다.
4. 차단/조치 — 오류·공백을 수정·보강하고 테스트 환경에서 재검증합니다.
5. 재발 방지 — 규칙 모음을 운영·인수인계 레퍼런스로 유지관리합니다.

11. 핵심 정리

규칙 범위	탐지
103010~103160	파일 권한(완화·SUID·중요·로그)
103170~103260	소유권·특수권한
103270~103360	sudo·PAM·그룹·지속성
103370~103450	분석·상관·대응
면접 포인트	"규칙 모음은 커버리지 레퍼런스 — 레벨·MITRE 매핑, logtest·테스트 검증 필수"

12. 다음 편 예고

다음 편 199. 권한 변경 이상 — 실전 시나리오 — 정찰부터 권한 변경·상승까지 에서는 실전 시나리오로 전 과정을 엮는 실전 시나리오 — 정찰부터 권한 변경·상승까지를 다룹니다.

---

이전 편: 197. 권한 변경 이상 — 권한 변경 Alert 대응 절차
📚 시리즈 전체 보기: 시스템 보안 · 취약점