228. 중요 정보 접근 — DB·대량 접근 이상 종합 분석

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 28/50편 (전체 228/450)
학습 단계: DB·대량 데이터 접근 이상
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 227. 중요 정보 접근 — 접근 빈도·패턴 이상 탐지
• 218. 중요 파일 접근 이상 종합 분석

1. 개념

3단계(DB·대량 데이터 접근, E19~27)를 종합합니다. 2단계(개별 파일)가 "무엇을"이었다면, 3단계는 "얼마나 많이·어떤 방식으로" 접근하는가에 초점을 둡니다.

DB·대량 접근 종합 체계
 [접근 방식]
  파일 직접(E19): DB 엔진 우회 → 파일 감사로 탐지
  엔진 경유(E23·24): 쿼리 로그로 탐지
 [규모]
  대량 읽기(E21)·스캔(E22)·덤프(E20)·민감 테이블(E24)
 [패턴]
  staging(E25)·시간·주체(E26)·빈도(E27)
 [연계] 접근 → 수집 → 유출 (E07·40)

핵심은 "파일 감사(OS)와 쿼리 로그(DB)를 결합"해 우회·경유 접근을 모두 보고, 규모·패턴으로 수집을 판정하는 것입니다.

2. 왜 중요한가

• DB 접근은 파일 직접(우회)과 엔진 경유 두 경로라, OS 감사+DB 로그 결합이 필수입니다.
• 규모(대량·전체)와 패턴(staging·빈도)이 개별 접근을 "수집"으로 확정합니다.
• 3단계는 유출(4단계) 직전 단계로, 여기서 차단하면 유출을 막습니다.

3. 핵심 명령어 / 설정

관점	탐지	편
파일 직접	OS 파일 감사	E19
엔진 경유	DB 쿼리 로그	E23·24
규모	대량·덤프·전체	E20·21
패턴	staging·빈도	E25·27
맥락	시간·주체	E26

4. 실습 (실습 예시)

# DB·대량 접근 종합 점검 (분석 방법)
echo "파일 직접 접근(엔진 외):"; sudo ausearch -k data_access -i --start today 2>/dev/null | grep -cE '/var/lib/(mysql|pgsql)'
echo "덤프 실행:"; sudo ausearch -k data_access -i --start today 2>/dev/null | grep -cE 'mysqldump|pg_dump'
echo "staging 압축:"; sudo ausearch -k exfil -i --start today 2>/dev/null | grep -cE 'tar|zip'
echo "주체별 접근량:"; sudo ausearch -k data_access -i --start today 2>/dev/null | grep -oE 'auid=[a-z0-9]+' | sort | uniq -c | sort -rn | head -3

5. 정상 상태

파일 직접: 0  덤프: 1(백업)  staging: 0
주체별: 120 mysqld-svc  14 backup

파일 직접 접근·staging이 없고, 덤프·접근이 백업·서비스에 집중된 정상 상태입니다.

6. 이상 상태

파일 직접: 1  덤프: 1(비백업)  staging: 2
주체별: 520 www-data  (급증)

• 파일 직접 접근 + 비백업 덤프 + staging 압축 → 다중 수집 신호
• www-data 접근 급증(E27) → 자동 대량 수집
• 3단계 종합 지표 모두 위험 → 대량 수집 완료·유출 임박 → 정탐

7. 로그 분석 (분석 방법)

DB·대량 접근 종합 판정 흐름입니다(가상의 예시).

[수집] OS 파일 감사 + DB 쿼리 로그 결합
      ↓
[방식 분류] 파일 직접(우회) / 엔진 경유
      ↓
[규모 평가] 대량·덤프·전체·민감 테이블
      ↓
[패턴] staging·빈도·시간·주체
      ↓
[종합] 수집 규모·방식 → 유출 임박도 판정

지표	정상	위험
파일 직접	0	1+
비백업 덤프	0	1+
staging	0	1+
접근 급증	없음	있음

지표를 종합하면 대량 수집 완료·유출 임박을 판정할 수 있습니다.

8. SOC 관제 포인트

• DB·대량 접근은 파일 직접(OS 감사)+엔진 경유(DB 로그) 결합으로 전수 탐지합니다.
• 규모(대량·덤프·전체)와 패턴(staging·빈도)이 접근을 수집으로 확정합니다.
• 3단계는 유출 직전 단계로, 여기서 차단하면 유출을 막습니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,data_access,">
  <!-- 대량 접근 + 덤프/staging 결합 종합 경보 -->
  <rule id="104270" level="13" frequency="3" timeframe="600">
    <if_matched_sid>104200,104190,104240</if_matched_sid>
    <same_field>audit.session</same_field>
    <description>동일 세션 내 대량 접근·덤프·staging 결합(3단계 종합 경보)</description>
    <mitre><id>T1005</id><id>T1074</id></mitre>
  </rule>
</group>

개별 룰(E19~27) 상위에 종합 상관 룰을 두어 대량 수집을 한 경보로 포착합니다.

10. 대응 방법

1. 초기 확인 — 3단계 종합 지표(파일 직접·비백업 덤프·staging·접근 급증)를 확인합니다.
2. 범위 확인 — 파일 직접/엔진 경유 방식과 수집 규모·패턴을 확인합니다.
3. 증거 확보 — 3단계 전체 접근·수집 이벤트를 세션 기준으로 보존합니다.
4. 차단/조치 — 종합 판정이 정탐이면 유출 전 차단·세션 종료·수집 범위 조사를 진행합니다.
5. 재발 방지 — OS 감사+DB 로그 결합의 종합 분석 체계를 운영합니다.

11. 핵심 정리

관점	탐지
파일 직접	OS 파일 감사
엔진 경유	DB 쿼리 로그
규모	대량·덤프·전체
패턴	staging·빈도·맥락
면접 포인트	"DB 접근은 파일 직접+엔진 경유 결합 탐지 — 규모·패턴으로 수집 확정"

12. 다음 편 예고

다음 편 229. 중요 정보 접근 — 데이터 유출(exfiltration) 징후 개요 에서는 4단계로 넘어가 데이터 유출(exfiltration) 징후 개요를 다룹니다.

---

이전 편: 227. 중요 정보 접근 — 접근 빈도·패턴 이상 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점