242. 중요 정보 접근 — 접근·유출 이벤트 상관분석

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 42/50편 (전체 242/450)
학습 단계: 접근·유출 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 241. 중요 정보 접근 — 접근·유출 로그의 정규화와 수집
• 194. 권한 변경 이벤트 상관분석(D영역)

1. 개념

5단계 마무리로, 통합된 로그(E41)를 다축 상관분석합니다. 접근(OS)·조회(DB)·유출(NET)을 교차 상관하면, 단일 로그로는 놓치는 유출 공격을 고확신으로 확정합니다.

접근·유출 상관분석 축
 [세션]  같은 ses: 상승(D)→접근→수집→유출
 [주체]  한 auid의 접근+전송 결합
 [시간]  접근 직후 전송(짧은 간격)
 [목적지] 접근 데이터량 ≈ 유출 전송량
 [교차]  OS 접근 ↔ DB 조회 ↔ NET 유출

단일 로그=부분 / 교차 상관=전체 유출 확정

핵심은 OS·DB·NET 교차 상관입니다. OS만으로는 엔진 경유를, NET만으로는 무엇이 나갔는지를 못 보지만, 교차하면 완전합니다.

2. 왜 중요한가

• 단일 로그 상관은 부분만 보지만, OS·DB·NET 교차 상관은 유출 전체를 확정합니다.
• 접근 데이터량과 유출 전송량의 일치는 "접근한 것이 나갔다"의 강력한 증거입니다.
• D영역(상승)→E영역(접근·유출) 세션 상관이 전체 공격 체인을 완성합니다.

3. 핵심 명령어 / 설정

상관 축	교차	포착
세션	D→E 전 단계	공격 체인
주체	접근+전송	유출 주체
시간	접근→전송 간격	즉시 유출
데이터량	접근≈유출 bytes	유출 확증
교차	OS↔DB↔NET	완전 가시성

4. 실습 (실습 예시)

# 접근·유출 상관분석 (분석 방법)
# 세션별 접근+유출 결합(교차)
sudo ausearch -k sensitive_read,exfil -i --start today 2>/dev/null | grep -oE 'ses=[0-9]+' | sort | uniq -c | sort -rn | head
# 접근 직후 전송(시간 상관)
SES=99
sudo ausearch -k sensitive_read,exfil --session $SES -i 2>/dev/null | grep -E 'time->|proctitle=' | tail

5. 정상 상태

$ (세션별 접근+유출) 접근만 있는 세션(유출 결합 없음)

접근은 있으나 같은 세션에 유출이 결합되지 않은, 교차 상관이 음성인 정상 상태입니다.

6. 이상 상태

$ (세션별 접근+유출)
  8 ses=99 (접근 6 + 유출 2 결합)
$ (시간 상관)
03:40 접근 shadow → 03:45 유출 curl (5분 내)
데이터량: 접근 450MB ≈ 유출 448MB

• ses=99에 접근+유출 결합 → 교차 상관 양성
• 접근 직후(5분) 유출 + 데이터량 일치 → "접근한 것이 나감" 확증
• OS 접근↔NET 유출 교차 상관 → 유출 확정(고확신) → 정탐

7. 로그 분석 (분석 방법)

접근·유출 상관분석 흐름입니다(가상의 예시).

[OS] 접근 shadow·DB (450MB, ses=99)
   ↕ (교차 상관)
[DB] 쿼리 경유 조회(E23)
   ↕
[NET] 외부 전송 448MB (ses=99, 5분 후)
   ↓
[상관 판정] 세션·시간·데이터량 일치 → 유출 확정

축	단일	교차
OS만	접근만	—
NET만	전송만	—
OS↔NET	—	유출 확정

교차 상관이 "접근한 데이터가 실제 유출됐다"를 확증합니다.

8. SOC 관제 포인트

• 접근·유출 상관분석은 OS·DB·NET 교차 다축 상관으로 유출을 고확신 확정합니다.
• 세션·주체·시간·데이터량 일치가 "접근한 것이 나갔다"의 증거입니다.
• D영역(상승)→E영역(접근·유출) 세션 상관이 전체 공격 체인을 완성합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,correlation,">
  <!-- OS 접근 + NET 유출 교차 상관(세션) -->
  <rule id="104410" level="15" frequency="2" timeframe="600">
    <if_matched_sid>104080</if_matched_sid>
    <if_matched_group>exfiltration</if_matched_group>
    <same_field>audit.session</same_field>
    <description>접근·유출 교차 상관(데이터 유출 고확신 확정)</description>
    <mitre><id>T1005</id><id>T1041</id></mitre>
  </rule>
</group>

데이터량 일치 상관은 ELK 집계로 보완합니다. OS·DB·NET 통합(E41)이 교차 상관의 전제입니다.

10. 대응 방법

1. 초기 확인 — 세션·주체·시간·데이터량·OS/DB/NET 교차 상관 지표를 확인합니다.
2. 범위 확인 — 접근↔유출 결합, 접근 직후 전송, 데이터량 일치를 확인합니다.
3. 증거 확보 — 교차 상관에 쓰인 전체 로그와 연계 근거를 보존합니다.
4. 차단/조치 — 유출 확정 정탐이면 타임라인(E39)·즉시 차단·통지를 진행합니다.
5. 재발 방지 — OS·DB·NET 교차 다축 상관을 최상위 탐지 계층으로 운영합니다.

11. 핵심 정리

상관 축	포착
세션	D→E 공격 체인
주체	유출 주체
시간·데이터량	즉시 유출·유출 확증
교차(OS↔DB↔NET)	완전 가시성
면접 포인트	"접근·유출은 OS·DB·NET 교차 상관으로 확정 — 데이터량 일치가 결정적 증거"

12. 다음 편 예고

다음 편 243. 중요 정보 접근 — 데이터 접근 기반 내부 위협(insider) 탐지 에서는 데이터 접근 기반 내부 위협을 다루는 데이터 접근 기반 내부 위협(insider) 탐지를 다룹니다.

---

이전 편: 241. 중요 정보 접근 — 접근·유출 로그의 정규화와 수집
📚 시리즈 전체 보기: 시스템 보안 · 취약점