240. 중요 정보 접근 — 접근→수집→유출 연계 분석

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 40/50편 (전체 240/450)
학습 단계: 접근·유출 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 239. 중요 정보 접근 — 중요 정보 접근 타임라인 작성
• 207. 접근 vs 유출 — 공격 단계의 구분

1. 개념

E영역의 핵심은 접근→수집→유출을 하나의 체인으로 연결하는 것입니다. 개별 행위(파일 읽기·압축·전송)는 각각 정상일 수 있지만, 세 단계가 한 세션에 이어지면 명백한 데이터 유출 공격입니다.

데이터 유출 공격 체인 연계
 [접근]  중요 정보 읽기 (E09~24)
    ↓ 같은 세션
 [수집]  모으기·압축·staging (E25·30·37)
    ↓ 같은 세션
 [유출]  외부 전송 (E32~36)

 각 단계 단독 = 애매 / 세 단계 연계 = 유출 확정

연계 분석은 오탐을 크게 줄입니다. 압축 하나, 전송 하나는 정상일 수 있지만, 중요 정보 접근→압축→전송 연쇄는 확정적입니다.

2. 왜 중요한가

• 개별 단계는 정상 운영과 겹쳐 애매하지만, 연계되면 유출이 확정됩니다(오탐 감소).
• 세 단계를 세션으로 묶으면 "접근한 데이터가 실제 유출됐는가"를 판정합니다.
• 연계는 D영역(상승)→E영역(접근·유출)까지 확장해 전체 공격을 포착합니다.

3. 핵심 명령어 / 설정

연계	신호	확정도
접근+수집	읽기→압축	높음
수집+유출	압축→전송	높음
접근+수집+유출	3단 연쇄	확정
상승+접근	D→E	높음
단독 단계	개별 행위	애매

4. 실습 (실습 예시)

# 접근→수집→유출 연계 분석 (분석 방법)
SES=99
echo "접근:"; sudo ausearch -k sensitive_read,cred_access --session $SES -i 2>/dev/null | grep -c name=
echo "수집:"; sudo ausearch -k exfil --session $SES -i 2>/dev/null | grep -cE 'tar|zip|cp.*tmp'
echo "유출:"; sudo ausearch -k exfil --session $SES -i 2>/dev/null | grep -cE 'curl|scp|nc|rclone'
echo "→ 세 단계 모두 있으면 유출 체인 확정"

5. 정상 상태

접근: 2(서비스)  수집: 0  유출: 0
→ 접근만 있고 수집·유출 없음 → 정상(단순 접근)

접근은 있으나 수집·유출로 이어지지 않는, 체인이 완성되지 않은 정상 상태입니다.

6. 이상 상태

접근: 6(shadow·DB·키)  수집: 2(cp·tar)  유출: 1(curl)
→ 세 단계 모두 한 세션에 연계 → 유출 체인 확정

• 중요 정보 접근 6건 + 수집 2건 + 유출 1건이 한 세션에 연계
• 접근→수집→유출 체인 완성 → 데이터 유출 공격 확정
• 개별로는 애매해도 연계로 확정 → 정탐(고확신)

7. 로그 분석 (분석 방법)

접근→수집→유출 연계 흐름입니다(가상의 예시).

[접근] cat shadow, database.yml (E09·13)
   ↓ 같은 세션(ses=99)
[수집] cp → /tmp/.d/, tar czf all.tgz (E25·30)
   ↓ 같은 세션
[유출] curl -T all.tgz 외부 (E32)
   ↓
[연계 판정] 3단 연쇄 → 유출 확정(고확신)

단독	연계
접근 1건	애매
압축 1건	정상일 수도
접근+압축+전송	유출 확정

연계가 애매한 개별 행위를 확정적 유출로 묶습니다.

8. SOC 관제 포인트

• E영역의 핵심은 접근→수집→유출을 세션으로 연계해 유출을 확정하는 것입니다.
• 개별 단계는 애매하지만 3단 연쇄는 확정적이라 오탐을 크게 줄입니다.
• D영역(상승)→E영역(접근·유출)까지 확장해 전체 공격 체인을 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,correlation,">
  <!-- 접근 + 수집 + 유출 3단 연계 -->
  <rule id="104390" level="15">
    <if_sid>104370</if_sid>
    <if_matched_sid>104080</if_matched_sid>
    <same_field>audit.session</same_field>
    <description>접근→수집→유출 전체 체인 연계(데이터 유출 확정)</description>
    <mitre><id>T1005</id><id>T1074</id><id>T1041</id></mitre>
  </rule>
</group>

세 단계 상관(level 15)은 최우선 경보입니다. same_field(session)로 묶고, D영역 상승 룰과도 연계합니다.

10. 대응 방법

1. 초기 확인 — 세션 단위로 접근·수집·유출 세 단계의 존재·연계를 확인합니다.
2. 범위 확인 — 각 단계가 같은 세션·시간 흐름으로 이어졌는지 확인합니다.
3. 증거 확보 — 연계된 전체 이벤트와 유출 범위를 세션 기준으로 보존합니다.
4. 차단/조치 — 체인 확정 정탐이면 즉시 차단·세션 종료·유출 범위·통지를 진행합니다.
5. 재발 방지 — 접근→수집→유출 세션 연계 분석을 핵심 탐지로 운영합니다.

11. 핵심 정리

연계	확정도
접근+수집	높음
수집+유출	높음
접근+수집+유출	확정
단독 단계	애매
면접 포인트	"개별은 애매, 접근→수집→유출 연계는 확정 — 연계가 오탐을 줄이는 핵심"

12. 다음 편 예고

다음 편 241. 중요 정보 접근 — 접근·유출 로그의 정규화와 수집 에서는 접근·유출 로그 정규화·수집을 다루는 접근·유출 로그의 정규화와 수집을 다룹니다.

---

이전 편: 239. 중요 정보 접근 — 중요 정보 접근 타임라인 작성
📚 시리즈 전체 보기: 시스템 보안 · 취약점