201. 중요 정보 접근 — 중요 정보 접근 로그 분석 개요

목록 보기

201/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 1/50편 (전체 201/450)
학습 단계: 접근 로그 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

E영역 「중요 정보 접근 로그 분석」을 시작합니다. 공격자는 권한을 상승(D영역)한 뒤, 실제 목적인 중요 정보에 접근·수집·유출합니다. 이 단계의 탐지가 데이터 유출을 막는 마지막 방어선입니다.

공격 단계와 E영역의 위치
 정찰(C) → 권한 변경·상승(D) → [중요 정보 접근·유출(E)] → ...
                                    ↑ 공격의 실제 목적

E영역 흐름
 접근(access)  → 중요 파일/DB 읽기
 수집(collect) → 대량 수집·staging
 유출(exfil)   → 외부 전송

A~D가 "침입·상승"이라면, E는 "목적 달성(데이터)"을 탐지합니다. "증거는 거짓말하지 않는다" — 접근 로그가 데이터 탈취를 증명합니다.

2. 왜 중요한가

중요 정보 접근·유출은 공격의 실제 목적이자 최대 피해(정보 유출)로 직결됩니다.
권한 상승(D)까지 성공해도 데이터 접근을 탐지하면 피해를 막을 수 있습니다(마지막 방어선).
접근(파일 읽기)은 권한 변경보다 흔적이 적어, 파일 접근 감사(auditd)가 핵심입니다.

3. 핵심 명령어 / 설정

단계	행위	탐지 영역
접근	중요 파일·DB 읽기	E09~28
수집	대량 읽기·staging	E21·25·37
유출	외부 전송·터널	E29~38
분석	타임라인·상관	E39~43
관제	Wazuh·ELK·DLP	E44~48

4. 실습 (실습 예시)

# 중요 정보 접근 감사 기반 (분석 방법)
# auditd로 중요 파일 접근(읽기) 감사
sudo auditctl -w /etc/shadow -p r -k sensitive_read
sudo auditctl -w /etc/ssh -p r -k sensitive_read
# 접근 이벤트 조회
sudo ausearch -k sensitive_read -i --start recent 2>/dev/null | tail

5. 정상 상태

$ (중요 정보 접근)
(정상: 인가된 프로세스·관리자만 간헐적 접근)

중요 정보 접근이 인가된 주체(백업·관리자)에 의해서만 간헐적으로 발생하는 상태가 정상입니다.

6. 이상 상태

$ (중요 정보 접근)
04:00 auid=devops comm="cat" /etc/shadow        (해시 읽기)
04:01 auid=devops comm="tar" /var/backup/db      (대량 수집)
04:05 auid=devops comm="curl" → 외부 IP (유출)

shadow 읽기(접근) → 백업 수집(collect) → 외부 전송(exfil)의 3단
권한 상승(D) 직후 데이터 접근·유출로 이어짐 → 공격 목적 달성 단계
접근→수집→유출 연계 → 정탐(최고 위험)

7. 로그 분석 (분석 방법)

E영역 전체 탐지 흐름입니다(가상의 예시).

[D영역 상승] root 획득
      ↓
[접근] /etc/shadow, DB 파일 읽기 (sensitive_read)
      ↓
[수집] tar/zip으로 대량 데이터 수집 (staging)
      ↓
[유출] curl/scp/DNS로 외부 전송 (exfiltration)
      ↓
[탐지] 각 단계 + 접근→유출 상관(E40·42)

단계	흔적
접근	파일 read 감사
수집	아카이브 생성
유출	아웃바운드 전송

세 단계를 세션으로 연계하면 데이터 유출 공격 전체가 드러납니다.

8. SOC 관제 포인트

E영역은 중요 정보 접근·수집·유출을 탐지하는 데이터 유출의 마지막 방어선입니다.
auditd 파일 접근 감사(read/watch)가 접근 탐지의 핵심 기반입니다.
접근→수집→유출을 세션으로 연계해 공격의 실제 목적을 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,sensitive_access,">
  <!-- E영역 기반 룰: 중요 정보 접근 감사 이벤트 포착 -->
  <rule id="104000" level="5">
    <decoded_as>auditd</decoded_as>
    <field name="audit.key">sensitive_read</field>
    <description>중요 정보 접근(읽기) 감사 이벤트</description>
    <mitre><id>T1005</id></mitre>
  </rule>
</group>

104000은 E영역 기반 룰입니다. 개별 탐지(104010~)가 이를 상속해 유형별로 세분화합니다. Wazuh 룰 범위: E영역 104000번대.

10. 대응 방법

초기 확인 — 중요 정보 접근 이벤트(주체·대상·시점)를 확인합니다.
범위 확인 — 접근 후 수집(아카이브)·유출(외부 전송)로 이어졌는지 확인합니다.
증거 확보 — 접근·수집·유출 로그를 세션 기준으로 보존합니다.
차단/조치 — 데이터 유출 정탐이면 세션 종료·전송 차단·유출 범위 조사를 진행합니다.
재발 방지 — 접근 감사 기반 중요 정보 탐지 체계를 운영합니다.

11. 핵심 정리

단계	탐지
접근	중요 파일·DB 읽기(E09~28)
수집	대량 읽기·staging(E25·37)
유출	외부 전송·터널(E29~38)
분석·관제	타임라인·상관·Wazuh/ELK(E39~48)
면접 포인트	"E영역은 데이터 유출의 마지막 방어선 — 접근→수집→유출 연계 탐지"