200. 권한 변경 이상 — 권한 변경 이상 징후 종합 정리

시스템 보안 · 취약점 › D. 권한 변경 이상 징후 · 50/50편 (전체 200/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 199. 권한 변경 이상 — 실전 시나리오
• 151. Linux 권한 모델과 권한 변경 탐지 개요

1. 개념

D영역 「권한 변경 이상 징후」 50편을 종합 정리합니다. 권한 변경을 탐지·분석·대응하는 전체 체계를 한 편으로 집약합니다. C영역(정찰)에서 찾은 상승 경로가 D영역에서 실제 생성·악용되는 과정을 다뤘습니다.

D영역 전체 구조(151~200)
 1단계(D01~08) 권한 모델·감사 기반·판정 기준
 2단계(D09~18) 파일 권한 변경(완화·SUID·중요파일·로그)
 3단계(D19~28) 소유권·특수권한(소유자·SUID/SGID·cap)
 4단계(D29~38) sudo·PAM·그룹·지속성(상승 경로)
 5단계(D37~38) 상승 실행·지속성
 6단계(D39~44) 로그 분석·타임라인·FIM·상관
 7단계(D45~50) SOC 탐지·대응·시나리오·정리

C영역이 "경로 탐색(정찰)"이었다면, D영역은 "경로 생성·악용(변경·상승)"의 탐지였습니다.

2. 왜 중요한가

• D영역은 권한 변경을 통한 상승·지속성·우회라는 공격의 핵심 단계를 다룹니다.
• 모든 탐지는 6축 판정·기준선 비교·상관분석이라는 공통 체계를 공유합니다.
• 다음 영역(E: 중요 정보 접근·유출)은 상승한 권한으로 데이터에 접근하는 단계입니다.

3. 핵심 명령어 / 설정

단계	핵심	편
판정 체계	6축·기준선	D04·08
파일 권한	완화·SUID·중요파일	D09~18
소유·특수권한	소유권·SUID/cap	D19~28
상승 경로	sudo·PAM·그룹	D29~38
분석·탐지	상관·타임라인·SOC	D39~50

4. 실습 (실습 예시)

# D영역 종합 점검 체크리스트 (분석 방법)
echo "[1] auditd 권한 변경 감사 활성:"; sudo auditctl -l 2>/dev/null | grep -c perm
echo "[2] SUID/cap 기준선 이탈:"; diff /root/baseline/suid_base.txt <(sudo find / -xdev -perm -4000 -type f 2>/dev/null|sort)|grep -c '^>'
echo "[3] sudoers/PAM 백도어:"; sudo grep -rlE 'NOPASSWD|pam_permit' /etc/sudoers.d/ /etc/pam.d/ 2>/dev/null|wc -l
echo "[4] Wazuh 룰 로드:"; sudo /var/ossec/bin/wazuh-logtest -v 2>&1|grep -c error
echo "[5] 로그 원격 수집:"; # 중앙 수집 상태 확인

5. 정상 상태

[1] 감사 활성: 3  [2] 기준선 이탈: 0  [3] 백도어: 0  [4] 룰 오류: 0  [5] 수집 정상

감사 활성·기준선 일치·백도어 없음·룰 정상·수집 정상의 5개 항목이 모두 양호한 상태가 권한 변경 탐지 체계의 정상입니다.

6. 이상 상태

[1] 감사 활성: 0(미설정)  [2] 기준선 이탈: 3  [3] 백도어: 2  [4] 룰 오류: 1

• 감사 미설정 → 권한 변경 자체가 기록 안 됨(탐지 불가)
• 기준선 이탈·백도어 존재 → 이미 침해 가능성
• 체계 자체의 공백이 가장 큰 위험 → 기반 구성부터 복구

7. 로그 분석 (분석 방법)

D영역 전체 탐지 체계입니다(가상의 예시).

[C영역 정찰] 상승 경로 탐색
      ↓
[D영역: 권한 변경 탐지 체계]
   기반: auditd(perm_*) + Wazuh/ELK + 기준선(D03·04)
      ↓
   탐지: 파일권한(D09~18)·소유특수(D19~28)·상승경로(D29~38)
      ↓
   분석: before/after·타임라인·FIM·상관(D39~44)
      ↓
   대응: 판정(6축)→플레이북→전수제거(D45~47)
      ↓
[E영역] 상승 권한으로 중요 정보 접근·유출

축	내용
기반	감사·기준선·수집
탐지	유형별 룰(103000번대)
분석	상관·타임라인
대응	6축·플레이북

기반→탐지→분석→대응의 체계가 권한 변경 공격을 전 과정에서 포착합니다.

8. SOC 관제 포인트

• D영역은 권한 변경을 통한 상승·지속성·우회를 탐지·분석·대응하는 체계입니다.
• 6축 판정·기준선 비교·상관분석이 전편을 관통하는 공통 기법입니다.
• C영역(정찰)→D영역(변경·상승)→E영역(정보 접근·유출)으로 공격 단계가 이어집니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<!-- D영역 종합: 권한 변경 탐지 체계 요약 -->
<!-- 기반(103000·감사) → 탐지(103010~103360) → 분석·상관(103370~103440) → 대응(103450~103470) -->
<group name="local,syssec_d,summary,">
  <rule id="103480" level="3">
    <if_group>syssec_d</if_group>
    <description>D영역 권한 변경 이상 징후 탐지 체계(종합)</description>
    <mitre><id>T1222</id><id>T1548</id><id>T1556</id></mitre>
  </rule>
</group>

D영역의 모든 규칙은 실습용 예시입니다. 환경에 맞춰 wazuh-logtest·테스트 검증 후 운영에 반영하세요.

10. 대응 방법

1. 초기 확인 — D영역 체크리스트(감사·기준선·백도어·룰·수집)로 탐지 체계를 점검합니다.
2. 범위 확인 — 기반 공백·기준선 이탈·백도어 존재 여부를 종합 확인합니다.
3. 증거 확보 — 탐지 체계 구성·기준선·규칙 세트를 유지관리 문서로 보존합니다.
4. 차단/조치 — 공백은 기반부터 복구하고, 이탈·백도어는 대응 플레이북으로 처리합니다.
5. 재발 방지 — 권한 변경 탐지 체계를 지속 운영하며 E영역(정보 접근)으로 연계합니다.

11. 핵심 정리

단계	핵심
판정 체계	6축·기준선
파일/소유/특수권한	완화·SUID·소유권·cap
상승 경로	sudo·PAM·그룹·지속성
분석·대응	상관·타임라인·플레이북
면접 포인트	"D영역은 권한 변경=상승·지속성 탐지 — 6축·기준선·상관이 공통 체계"

12. 다음 편 예고

D영역을 마칩니다. 다음 영역(E영역: 중요 정보 접근·유출)에서 상승한 권한으로 데이터에 접근·유출하는 단계의 탐지를 다룹니다.

---

이전 편: 199. 권한 변경 이상 — 실전 시나리오 — 정찰부터 권한 변경·상승까지
📚 시리즈 전체 보기: 시스템 보안 · 취약점