199. 권한 변경 이상 — 실전 시나리오 — 정찰부터 권한 변경·상승까지

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 49/50편 (전체 199/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 198. 권한 변경 이상 — 권한 변경 이상 징후 탐지 규칙 모음
• 149. Linux 정보 수집 실전 시나리오(C영역)

1. 개념

D영역을 실전 시나리오로 종합합니다. C영역(정찰)→D영역(권한 변경·상승)의 전체 공격을 관제 화면과 로그 흔적 중심으로 재구성합니다. 공격자 명령이 아니라, SOC가 보는 탐지·로그·판정·대응의 관점으로 서술합니다.

시나리오 개요(가상)
 대상: 웹 서버(192.0.2.50, 가상 IP)
 침투: 웹 취약점으로 www-data 쉘 획득(가정)
 목표: www-data → root 권한 상승 + 지속성
 관제: Wazuh+ELK로 탐지, 관제원이 대응

C영역 정찰 → D영역 권한 변경 → 상승 → 지속성 → 반포렌식

이 시나리오는 D영역 전편(탐지·분석·대응)이 실제 사건에서 어떻게 작동하는지 보여줍니다. 모든 데이터는 가상입니다.

2. 왜 중요한가

• 전체 시나리오로 보면 개별 탐지가 "사건 대응"으로 어떻게 통합되는지 이해됩니다.
• 관제 화면·로그 흔적 중심 서술은 실무 SOC의 관점을 그대로 보여줍니다.
• 정찰(C)→변경(D)의 연계가 조기 탐지의 핵심임을 실전으로 확인합니다.

3. 핵심 명령어 / 설정

단계	공격(가상)	탐지(관제)
정찰	SUID·sudoers 탐색	C27 recon 경보
변경	SUID 설정	103230 경보
상승	sudo bash	103300 상관
지속성	cron·sudoers.d	103280·103360
반포렌식	로그 완화	103150 경보

4. 실습 (실습 예시)

# 실전 시나리오 관제 분석 (분석 방법)
# 관제원이 경보 수신 후 세션 전체를 조사
SES=88
echo "=== 세션 $SES 타임라인 ==="
sudo ausearch -k recon,perm_change,perm_suid,perm_critical,priv_esc --session $SES -i 2>/dev/null \
  | grep -E 'time->|proctitle='
# → 정찰→변경→상승→지속성→반포렌식 전 과정 재구성(D40)

5. 정상 상태

$ (평시 관제 화면)
권한 변경 경보: 0 (고위험)
세션: 정상 배포(admin1)만
→ 평시엔 고위험 권한 변경 경보 없음

평시에는 고위험 권한 변경 경보가 없고, 관리자 배포 활동만 저레벨로 기록되는 상태가 정상입니다.

6. 이상 상태

$ (사건 발생 — 관제 화면 타임라인)
03:28 www-data find / -perm -4000      [C27 recon 경보 level 10]
03:30 devops   chmod u+s /usr/bin/find [103230 SUID level 13]
03:32 devops   sudo bash               [103300 상관 level 14]
03:35 devops   tee /etc/sudoers.d/99-x [103280 level 13]
03:38 devops   chmod 666 /var/log/secure [103150 level 13]
       → 103420 상관 경보: 정찰+변경+상승 (level 14)

• 03:28 정찰 경보(C27) → 관제원 주시 시작
• 03:30~32 SUID 설정→sudo bash 상승 → 상관 경보(103300·103420)
• 03:35~38 지속성(sudoers.d)+반포렌식(로그 완화) → 공격 체인 완성
• 관제원: 세션 88 조사→타임라인→정탐→대응(세션종료·전수제거·자격증명 교체)

7. 로그 분석 (분석 방법)

실전 시나리오 사건 흐름입니다(가상의 예시).

[03:28] 정찰   find -perm -4000     → C27 경보 (관제 인지)
   ↓
[03:30] 변경   chmod u+s find       → 103230 (고위험)
   ↓
[03:32] 상승   sudo bash            → 103300·103420 상관(확증)
   ↓
[03:35] 지속성 sudoers.d/99-x       → 103280
   ↓
[03:38] 반포렌식 chmod 666 secure    → 103150
   ↓
[대응] 세션 종료 → 경로 원복 → 백도어 전수 제거 → 자격증명 교체

시각	단계	탐지
03:28	정찰	C27
03:30	변경	103230
03:32	상승	103300
03:35	지속성	103280
03:38	반포렌식	103150

정찰부터 반포렌식까지 10분 공격이 관제 화면에 단계별 경보로 포착되고, 상관으로 확증됩니다.

8. SOC 관제 포인트

• 실전 시나리오는 C정찰→D변경→상승→지속성→반포렌식을 관제 관점으로 재구성합니다.
• 개별 탐지가 상관·타임라인을 통해 하나의 사건 대응으로 통합됩니다.
• 정찰(C) 조기 인지→변경(D) 확증→신속 대응이 피해를 최소화합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_d,scenario,">
  <!-- 전체 공격 체인(정찰→변경→상승→지속성) 최종 상관 -->
  <rule id="103470" level="15" frequency="4" timeframe="1800">
    <if_matched_sid>103420</if_matched_sid>
    <same_field>audit.session</same_field>
    <description>권한 변경 전체 공격 체인 확증(정찰→변경→상승→지속성)</description>
    <mitre><id>T1548</id><id>T1098</id><id>T1070</id></mitre>
  </rule>
</group>

전체 체인 상관(level 15)은 최우선 경보입니다. C영역·D영역 룰을 세션으로 엮어 공격 전 과정을 한 사건으로 포착합니다.

10. 대응 방법

1. 초기 확인 — 정찰(C)→변경(D)→상승→지속성→반포렌식 경보를 세션으로 연결합니다.
2. 범위 확인 — 타임라인(D40)으로 전체 공격 흐름과 침해 범위를 재구성합니다.
3. 증거 확보 — 전 단계 경보·세션 로그·타임라인을 사건 증거로 보존합니다.
4. 차단/조치 — 세션 종료·경로 원복·백도어 전수 제거·자격증명 교체를 진행합니다.
5. 재발 방지 — 정찰 조기 인지+변경 확증+신속 대응의 사건 대응 체계를 운영합니다.

11. 핵심 정리

단계	탐지·대응
정찰(C)	C27 — 조기 인지
변경(D)	103230 — 고위험
상승	103300·103420 — 상관 확증
지속성·반포렌식	103280·103150 — 체인 완성
면접 포인트	"정찰부터 반포렌식까지 세션 상관으로 한 사건 — 조기 인지+확증+신속 대응"

12. 다음 편 예고

다음 편 200. 권한 변경 이상 — 권한 변경 이상 징후 종합 정리 에서는 D영역을 마무리하는 권한 변경 이상 징후 종합 정리를 다룹니다.

---

이전 편: 198. 권한 변경 이상 — 권한 변경 이상 징후 탐지 규칙 모음
📚 시리즈 전체 보기: 시스템 보안 · 취약점