227. 중요 정보 접근 — 접근 빈도·패턴 이상 탐지

changseop lee·2026년 10월 7일

Soc 리눅스 보안관제 빈도이상 시스템 보안 · 취약점 시스템보안 중요 정보 접근 패턴분석

시스템 보안 · 취약점

목록 보기

227/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 27/50편 (전체 227/450)
학습 단계: DB·대량 데이터 접근 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

개별 접근·시간·주체(E21·26)를 넘어, 통계적 패턴 이상을 봅니다. 접근 빈도의 급증, 규칙적 주기(자동화), 평소와 다른 접근 분포는 공격·자동 수집의 신호입니다.

접근 패턴 이상 유형
 [빈도 급증]  평소 일 10건 → 갑자기 수백 건
 [규칙적 주기] 정확히 N초마다 접근(자동화·봇)
 [분포 변화]  평소 안 보던 파일·경로 접근 급증
 [버스트]     짧은 시간 집중 접근 후 중단

판정: 베이스라인(E04) 통계 대비 이탈(표준편차·백분위)

통계적 접근은 개별 이벤트로는 안 보이는 "전체 패턴의 변화"를 포착합니다. 베이스라인이 전제입니다.

2. 왜 중요한가

빈도 급증은 대량 수집·자동화 공격의 신호로, 개별 접근보다 명확합니다.
규칙적 주기(정확한 간격)는 사람이 아닌 자동화 도구·봇의 특징입니다.
평소 안 보던 파일 접근 분포 변화는 새로운 수집 대상 탐색을 의미합니다.

3. 핵심 명령어 / 설정

패턴 이상	신호	의미
빈도 급증	평소의 수십 배	대량 수집
규칙적 주기	정확한 간격	자동화·봇
분포 변화	새 파일 급증	대상 탐색
버스트	집중 후 중단	수집 세션
평소 범위	베이스라인 내	정상

4. 실습 (실습 예시)

# 접근 빈도·패턴 이상 탐지 (분석 방법)
# 주체별 시간당 접근 추이(급증 식별)
sudo ausearch -k sensitive_read,data_access -i --start today 2>/dev/null | grep -oE 'auid=[a-z0-9]+' | sort | uniq -c | sort -rn | head
# 접근 간격 분석(규칙적 주기 = 자동화)
sudo ausearch -k data_access -i --start recent 2>/dev/null | grep -oE '[0-9]{2}:[0-9]{2}:[0-9]{2}' | tail -20

5. 정상 상태

$ (주체별 접근) 평소 분포(서비스 다수, 사용자 소수) 유지
$ (접근 간격) 불규칙(사람 패턴)

접근 빈도·분포가 베이스라인을 유지하고, 간격이 불규칙(사람)한 정상 패턴 상태입니다.

6. 이상 상태

$ (주체별 접근)
  520 auid=www-data  (평소 일 15 → 520, 급증)
$ (접근 간격)
  04:00:01, 04:00:03, 04:00:05 ... (2초 간격, 규칙적)

www-data 접근이 평소의 35배 급증 → 대량 수집
정확히 2초 간격 → 자동화 스크립트(봇) 패턴
빈도 급증 + 규칙적 주기 → 자동 데이터 수집 → 정탐

7. 로그 분석 (분석 방법)

접근 패턴 이상 분석 흐름입니다(가상의 예시).

[베이스라인] 일 15건, 불규칙 간격
      ↓ (통계 비교)
[관측] 일 520건, 2초 규칙 간격
      ↓
[이탈 판정] 빈도 35배·규칙적 주기
      ↓
[해석] 자동화 대량 수집(봇)
      ↓
[연계] staging(E25)·유출(E32) 확인

지표	베이스라인	관측
빈도	15/일	520/일
간격	불규칙	2초 규칙
해석	사람	자동화

빈도·주기의 통계적 이탈이 자동 수집을 드러냅니다.

8. SOC 관제 포인트

접근 패턴 이상은 빈도 급증·규칙적 주기·분포 변화를 통계로 포착합니다.
베이스라인(E04) 대비 이탈이 판정 기준이며, 규칙적 주기는 자동화 신호입니다.
개별 이벤트로 안 보이는 전체 패턴 변화를 잡아 대량·자동 수집을 탐지합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,data_access,">
  <!-- 주체별 접근 빈도 급증(베이스라인 대비) -->
  <rule id="104260" level="11" frequency="50" timeframe="120">
    <if_matched_sid>104000</if_matched_sid>
    <same_field>audit.auid</same_field>
    <description>데이터 접근 빈도 급증(통계적 이상·자동 수집)</description>
    <mitre><id>T1119</id></mitre>
  </rule>
</group>

빈도 임계는 베이스라인에 맞춰 조정합니다. 규칙적 주기(자동화)는 ELK 시계열 분석(E45)으로 보완합니다.

10. 대응 방법

초기 확인 — 주체별 접근 빈도 추이·간격 규칙성·분포 변화를 확인합니다.
범위 확인 — 베이스라인 대비 급증·규칙적 주기(자동화)를 확인합니다.
증거 확보 — 패턴 이상 통계와 접근 이벤트를 보존합니다.
차단/조치 — 자동 수집 정탐이면 세션 종료·수집·유출 연계 조사를 진행합니다.
재발 방지 — 베이스라인 기반 접근 패턴 이상 탐지를 운영합니다.

11. 핵심 정리

패턴 이상	의미
빈도 급증	대량 수집
규칙적 주기	자동화·봇
분포 변화	대상 탐색
버스트	수집 세션
면접 포인트	"통계적 패턴(빈도·주기)으로 자동 수집 포착 — 규칙적 간격은 봇 신호"