243. 중요 정보 접근 — 데이터 접근 기반 내부 위협(insider) 탐지

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 43/50편 (전체 243/450)
학습 단계: 접근·유출 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 242. 중요 정보 접근 — 접근·유출 이벤트 상관분석
• 226. 비정상 시간대·주체의 데이터 접근 탐지

1. 개념

외부 공격자와 달리 내부자(insider)는 정상 권한을 가지고 있어, 접근 자체는 합법입니다. 내부 위협 탐지는 "권한은 있지만 비정상적인 행동 패턴"을 봐야 하므로 외부 공격 탐지와 접근법이 다릅니다.

내부 위협 vs 외부 공격
 외부: 권한 상승(D) → 비인가 접근 → 급격한 유출
 내부: 합법 권한 → 업무 외 접근 → 점진적 수집·유출

내부 위협 신호
 ① 업무 범위 밖 데이터 접근(권한은 있음)
 ② 퇴사 예정·불만 직원의 접근 급증
 ③ 점진적·소량 반복 유출(탐지 회피)
 ④ 개인 저장소·이메일로 데이터 반출

내부 위협은 권한 기반 탐지(비인가)로는 안 잡힙니다. 행동 기준선(평소 업무 패턴) 대비 이탈로 탐지합니다.

2. 왜 중요한가

• 내부자는 합법 권한이라 비인가 접근 탐지(E09~)로는 포착되지 않습니다.
• 업무 범위·평소 패턴 대비 이탈이 내부 위협의 핵심 신호입니다.
• 퇴사·불만 등 동기와 결합한 행동 변화(접근 급증·반출)가 위험 지표입니다.

3. 핵심 명령어 / 설정

내부 위협 신호	패턴	위험
업무 외 데이터 접근	권한O·범위 밖	높음
퇴사 예정 접근 급증	동기+행동	높음
점진적 소량 유출	탐지 회피	중간
개인 저장소·메일 반출	데이터 반출	높음
평소 패턴 유지	정상	정상

4. 실습 (실습 예시)

# 내부 위협 탐지 (분석 방법)
# 주체별 접근 범위 변화(업무 외 데이터)
sudo ausearch -k sensitive_read,data_access -i --start week 2>/dev/null | grep -oE 'auid=[a-z0-9]+' | sort | uniq -c | sort -rn
# 개인 반출 채널(개인 메일·클라우드·USB)
sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -E 'gmail|dropbox|personal|/media/usb|rclone'

5. 정상 상태

$ (주체별 접근) 각자 업무 범위 내 일관된 접근(정상 패턴)
$ (개인 반출) (없음)

각 사용자가 평소 업무 범위 내에서 일관되게 접근하고, 개인 채널 반출이 없는 상태가 정상입니다.

6. 이상 상태

$ (주체별 접근)
alice: 평소 영업 DB만 → 이번 주 HR·재무 DB 접근 급증(범위 밖)
$ (개인 반출)
04:00 rclone copy 고객DB personal-gdrive:/

• alice가 업무(영업) 범위 밖 HR·재무 데이터 접근 급증 → 권한은 있으나 비정상
• 개인 Google Drive로 고객 DB 반출 → 데이터 유출
• 합법 권한 + 범위 밖 접근 + 개인 반출 → 내부 위협 → 정탐

7. 로그 분석 (분석 방법)

내부 위협 탐지 흐름입니다(가상의 예시).

[행동 기준선] alice = 영업 DB, 업무 시간, 일정 범위
      ↓ (비교)
[관측] HR·재무 접근 급증 + 개인 클라우드 반출
      ↓
[맥락] 퇴사 예정(동기) + 행동 변화
      ↓
[판정] 합법 권한·범위 밖·개인 반출 → 내부 위협

축	정상	내부 위협
접근 범위	업무 내	범위 밖
반출 채널	없음	개인 저장소
동기	없음	퇴사·불만

권한이 아닌 행동 패턴 이탈로 내부 위협을 판정합니다.

8. SOC 관제 포인트

• 내부 위협은 합법 권한이라 비인가 탐지로는 안 잡히며, 행동 패턴 이탈로 탐지합니다.
• 업무 범위 밖 접근·개인 채널 반출·동기(퇴사·불만)와 결합한 행동 변화가 신호입니다.
• 행동 기준선(평소 업무 패턴) 대비 이탈이 내부 위협 탐지의 핵심입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,insider,">
  <!-- 개인 클라우드·저장소로 데이터 반출 -->
  <rule id="104420" level="12">
    <if_sid>104280,104340</if_sid>
    <field name="audit.proctitle" type="pcre2">(gmail|googledrive|dropbox|onedrive|personal|/media/usb|/mnt/usb)</field>
    <description>개인 저장소·채널로 데이터 반출(내부 위협)</description>
    <mitre><id>T1052</id><id>T1567</id></mitre>
  </rule>
</group>

업무 범위 이탈은 UEBA(행동 분석)·ELK 베이스라인으로 탐지합니다. 인사 정보(퇴사 예정)와 결합해 위험도를 조정합니다.

10. 대응 방법

1. 초기 확인 — 주체의 업무 범위 대비 접근 이탈·개인 채널 반출을 확인합니다.
2. 범위 확인 — 행동 기준선 변화·동기(퇴사·불만)·반출 데이터를 확인합니다.
3. 증거 확보 — 접근·반출 이벤트와 행동 패턴 변화를 보존합니다.
4. 차단/조치 — 내부 위협 정탐이면 인사·법무 연계·접근 제한·반출 데이터 조사를 진행합니다.
5. 재발 방지 — 행동 기준선 기반 내부 위협 탐지(UEBA)를 운영합니다.

11. 핵심 정리

내부 위협 신호	패턴
업무 외 접근	권한O·범위 밖
퇴사 접근 급증	동기+행동
점진적 유출	탐지 회피
개인 반출	메일·클라우드·USB
면접 포인트	"내부자는 합법 권한 — 권한 아닌 행동 패턴 이탈로 탐지(UEBA)"

12. 다음 편 예고

다음 편 244. 중요 정보 접근 — Wazuh 기반 중요 정보 접근 탐지 에서는 6단계로 넘어가 Wazuh 기반 중요 정보 접근 탐지를 다룹니다.

---

이전 편: 242. 중요 정보 접근 — 접근·유출 이벤트 상관분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점