210. 중요 정보 접근 — 계정 정보(passwd) 접근 탐지

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 10/50편 (전체 210/450)
학습 단계: 중요 파일 접근 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 209. 중요 정보 접근 — /etc/shadow 읽기 접근 탐지
• 023. 사용자 계정 정보 수집(C영역)

1. 개념

/etc/passwd는 모든 계정의 목록·UID·홈·쉘 정보를 담습니다. shadow(해시)와 달리 일반 읽기가 가능해 정상 접근도 많지만, 공격자가 계정 정찰·대상 선정에 활용하므로 접근 패턴을 봐야 합니다.

/etc/passwd 접근의 이중성
 정상: 많은 프로그램이 UID→이름 변환에 읽음(id, ls -l 등)
 공격: 계정 목록 수집(정찰, C영역) → 대상 선정
       UID 0 계정 확인 → 권한 계정 식별
       대량·반복 읽기 + 복사 → 수집

판정: 단순 읽기(정상) vs 복사·수집·정찰 연계(위험)

passwd는 읽기가 흔하므로, "읽기 자체"가 아니라 복사·수집·정찰 연계로 위험을 판정합니다(C영역 정찰과 중복 영역).

2. 왜 중요한가

• passwd는 많은 정상 프로그램이 읽어, 단순 읽기만으로는 판정이 어렵습니다(C영역 정찰 참조).
• 복사(cp)·수집(다른 계정 파일과 함께)·반복 읽기가 공격 신호입니다.
• UID 0 계정 식별·대상 선정은 이후 상승·측면 이동으로 이어집니다.

3. 핵심 명령어 / 설정

접근 패턴	의미	위험
cp passwd	계정 목록 수집	높음
passwd+shadow 함께	자격증명 세트	매우 높음
반복·대량 읽기	정찰·수집	중간
UID 0 grep	권한 계정 식별	중간
단순 id/ls 읽기	정상	정상

4. 실습 (실습 예시)

# 계정 정보 접근 탐지 (분석 방법)
# passwd 복사·수집 패턴(단순 읽기 제외)
sudo ausearch -k sensitive_read -i --start recent 2>/dev/null | grep -B1 '/etc/passwd' | grep -E 'comm="(cp|cat|tar|scp|curl)"'

# passwd와 shadow 동시 접근(자격증명 세트 수집)
sudo ausearch -k sensitive_read -i --start recent 2>/dev/null | grep -E 'passwd|shadow' | tail

5. 정상 상태

$ (passwd 수집 패턴) (없음 — 서비스/변환 읽기만)

passwd 접근이 UID 변환 등 정상 프로그램 동작에 그치고, 복사·수집·shadow 동시 접근이 없는 상태가 정상입니다.

6. 이상 상태

$ (passwd 수집 패턴)
04:00 comm="cp" auid=devops /etc/passwd → /tmp/p
$ (passwd+shadow 동시)
04:00 /etc/passwd  04:00 /etc/shadow  (세트 수집)

• passwd를 /tmp에 복사 → 계정 목록 수집
• passwd+shadow 동시 접근 → 자격증명 세트(목록+해시) 수집
• 복사·세트 수집 → 자격증명 탈취 준비 → 정탐

7. 로그 분석 (분석 방법)

계정 정보 수집 흐름입니다(가상의 예시 로그).

type=SYSCALL comm="cp" auid=devops key="sensitive_read"
type=PATH name="/etc/passwd"
[동시] /etc/shadow 접근(E09)
 → passwd(목록)+shadow(해시) 세트 수집 → 오프라인 크래킹 준비

관찰	해석
cp passwd	계정 목록 수집
+shadow	해시까지 세트
/tmp 복사	staging
이후 유출	자격증명 탈취

passwd+shadow 세트 수집은 오프라인 크래킹의 전형적 준비입니다.

8. SOC 관제 포인트

• /etc/passwd는 정상 읽기가 많아 복사·수집·세트 접근으로 위험을 판정합니다.
• passwd+shadow 동시 접근은 자격증명 세트(목록+해시) 수집의 강한 신호입니다.
• UID 0 식별·대상 선정은 C영역 정찰과 연계해 봅니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,sensitive_access,">
  <rule id="104090" level="11">
    <if_sid>104000</if_sid>
    <field name="audit.file" type="pcre2">/etc/passwd$</field>
    <field name="audit.comm" type="pcre2">^(cp|tar|scp|curl|wget|dd)$</field>
    <description>계정 정보(passwd) 복사·수집 접근</description>
    <mitre><id>T1003.008</id><id>T1087</id></mitre>
  </rule>
</group>

단순 읽기(id·ls)는 제외하고 복사·수집 명령만 탐지합니다. shadow 동시 접근은 상관으로 강화합니다.

10. 대응 방법

1. 초기 확인 — passwd 접근의 방법(단순 읽기/복사·수집)·주체를 확인합니다.
2. 범위 확인 — shadow 동시 접근·반복·대량 읽기 여부를 확인합니다.
3. 증거 확보 — passwd 접근 이벤트와 연계(shadow·유출) 로그를 보존합니다.
4. 차단/조치 — 세트 수집 정탐이면 세션 종료·자격증명 교체를 진행합니다.
5. 재발 방지 — 계정 정보 수집 패턴 탐지를 운영합니다.

11. 핵심 정리

접근 패턴	위험
cp passwd	계정 목록 수집
passwd+shadow	자격증명 세트
반복·대량 읽기	정찰·수집
단순 읽기	정상
면접 포인트	"passwd는 정상 읽기 많음 — 복사·수집·shadow 동시 접근으로 위험 판정"

12. 다음 편 예고

다음 편 211. 중요 정보 접근 — SSH 키·인증 파일 접근 탐지 에서는 SSH 키·인증 파일 접근을 다루는 SSH 키·인증 파일 접근 탐지를 다룹니다.

---

이전 편: 209. 중요 정보 접근 — /etc/shadow 읽기 접근 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점