205. 중요 정보 접근 — 접근 주체·경로·시점의 분석 축

Soc 리눅스 보안관제 분석축 시스템 보안 · 취약점 시스템보안 접근 중요 정보 접근

시스템 보안 · 취약점

목록 보기

205/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 5/50편 (전체 205/450)
학습 단계: 접근 로그 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

접근 이벤트를 판정하려면 여러 축으로 평가해야 합니다. C영역(정찰)의 분석 축을 데이터 접근에 맞게 확장해, 중요 정보 접근의 5개 분석 축을 정리합니다.

중요 정보 접근 분석 5축
 ① 주체(Who):   어떤 계정/프로세스가 접근했나
 ② 경로(What):  어떤 중요 정보를(분류 E02)
 ③ 시점(When):  언제(업무/새벽, 정기/비정기)
 ④ 방법(How):   어떻게(서비스/쉘/스크립트)
 ⑤ 목적(Why):   읽기만/수집/유출로 이어짐

각 축을 기준선(E04)과 비교 → 이탈 평가

5축은 E08(판정 기준)의 기초이며, 모든 개별 접근 탐지(E09~)가 이 축을 구체화한 것입니다.

2. 왜 중요한가

단일 축(접근 발생)만으로는 정상 접근과 구분할 수 없어, 다축 평가가 필요합니다.
각 축은 기준선(E04)과 비교해 이탈 여부를 평가합니다.
특히 ⑤목적 축(수집·유출로 이어지는가)이 접근을 공격으로 확정하는 핵심입니다.

3. 핵심 명령어 / 설정

축	질문	이탈 신호
주체	누가	비서비스·쉘·웹계정
경로	무엇을	고위험 분류·광범위
시점	언제	새벽·비정기
방법	어떻게	cat·cp·tar·curl
목적	왜	수집·유출 연계

4. 실습 (실습 예시)

# 접근 5축 분석 (분석 방법) — 한 이벤트를 5축으로
# 예: cat /etc/shadow by devops at 04:00
echo "① 주체: devops(비서비스 쉘) → 이탈"
echo "② 경로: /etc/shadow(인증 정보, 최고 분류) → 이탈"
echo "③ 시점: 04:00(비정기 새벽) → 이탈"
echo "④ 방법: cat(쉘 명령) → 이탈"
echo "⑤ 목적: 이후 tar+curl 연계 → 유출 → 이탈"
echo "=> 5축 전부 이탈 → 정탐"

5. 정상 상태

정상 접근 5축 평가:
 ① mysqld(서비스) ② /var/lib/mysql(서비스 데이터)
 ③ 상시(서비스) ④ 서비스 프로세스 ⑤ 읽기만(서비스 동작)
 => 5축 정상 → 정상 접근

서비스 프로세스가 자기 데이터를 상시 읽는 정상 동작은 5축이 모두 기준선 내에 있습니다.

6. 이상 상태

이상 접근 5축 평가:
 ① devops(쉘) ② /etc/shadow(인증) ③ 04:00(새벽)
 ④ cat(쉘 명령) ⑤ 이후 curl 유출
 => 5축 전부 이탈 → 정탐(인증정보 탈취·유출)

5축이 모두 기준선을 이탈 → 명백한 이상 접근
특히 ⑤목적 축(유출 연계)이 공격 확정의 결정적 근거
정상(서비스)과 정반대 → 정탐

7. 로그 분석 (분석 방법)

접근 5축 분석 흐름입니다(가상의 예시).

[접근 이벤트] cat /etc/shadow (devops, 04:00)
      ↓ (5축 평가)
 ① 주체: 쉘 → 이탈
 ② 경로: 인증정보 → 이탈
 ③ 시점: 새벽 → 이탈
 ④ 방법: cat → 이탈
 ⑤ 목적: 유출 연계 → 이탈
      ↓
[종합] 이탈 축 수 → 정탐/오탐(E08)

축	가중치
주체·경로	높음
목적(유출)	결정적
시점·방법	보조

5축 중 목적(유출 연계)이 가장 결정적인 판정 근거입니다.

8. SOC 관제 포인트

중요 정보 접근은 5축(주체·경로·시점·방법·목적) 으로 분석합니다.
각 축을 기준선(E04)과 비교해 이탈을 평가합니다.
목적 축(수집·유출 연계)이 접근을 공격으로 확정하는 핵심입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,sensitive_access,">
  <!-- 주체(쉘)+경로(인증정보) 두 축 이탈 결합 -->
  <rule id="104040" level="11">
    <if_sid>104030</if_sid>
    <field name="audit.file" type="pcre2">shadow|\.ssh/|\.key$|\.pem$|credentials</field>
    <description>비서비스 주체의 인증정보 접근(주체+경로 이탈)</description>
    <mitre><id>T1552</id><id>T1005</id></mitre>
  </rule>
</group>

축을 조합한 룰(주체+경로)이 단일 축보다 정확합니다. 목적 축(유출)은 상관 룰(E42)로 연계합니다.

10. 대응 방법

초기 확인 — 접근 이벤트를 5축(주체·경로·시점·방법·목적)으로 평가합니다.
범위 확인 — 각 축의 기준선 이탈 여부와 목적 축(유출 연계)을 확인합니다.
증거 확보 — 5축 평가 근거와 접근 로그를 보존합니다.
차단/조치 — 다축 이탈이면 수집·유출 연계를 확인하고 대응을 진행합니다.
재발 방지 — 접근 5축 분석을 개별 탐지의 공통 틀로 운영합니다.

11. 핵심 정리

축	이탈 신호
주체	비서비스·쉘
경로	고위험 분류
시점	새벽·비정기
방법·목적	cat·tar·curl / 수집·유출
면접 포인트	"접근은 5축 평가 — 목적(수집·유출 연계) 축이 공격 확정의 핵심"