244. 중요 정보 접근 — Wazuh 기반 중요 정보 접근 탐지

changseop lee·2026년 10월 7일

Soc Wazuh 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 중요 정보 접근 탐지구성

시스템 보안 · 취약점

목록 보기

244/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 44/50편 (전체 244/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

6단계는 SOC 탐지 구현입니다. 첫 번째는 Wazuh입니다. E영역 전편의 개별 룰(104000번대)을 하나의 Wazuh 탐지 스택으로 묶어, 파일 접근 감사·FIM·DB 로그·상관을 통합 구성합니다.

Wazuh 접근·유출 탐지 스택
 [입력]  auditd(sensitive_read/cred_access/data_access/exfil)
         + FIM(중요 파일 변경) + DB 로그 + 네트워크 로그
 [룰]    104000(기반) → 104010~104370(개별) → 104390/104410(상관)
 [연계]  MITRE(T1005/T1552/T1041/T1048)
 [출력]  alert → dashboard / 대응(E47)

계층: 기반 → 개별 탐지 → 접근·유출 상관 → 경보

Wazuh는 auditd·FIM을 통합하고, DB·네트워크 로그를 localfile로 수집해 E영역 전체 탐지를 한 플랫폼에서 구현합니다.

2. 왜 중요한가

Wazuh는 파일 접근(OS)·FIM·DB·네트워크를 한 플랫폼에서 상관해 접근→유출을 포착합니다.
계층형 룰(기반→개별→상관)로 오탐을 줄이고 유출 체인을 확정합니다.
읽기 감사량이 많으므로 대상 선별(E02·03)과 룰 튜닝이 품질을 좌우합니다.

3. 핵심 명령어 / 설정

구성 요소	역할	편
auditd 접근 감사	파일 읽기	E03
기반 룰 104000	접근 포착	E01
개별 룰	유형별 탐지	E09~37
상관 룰	접근→유출 체인	E40·42
DB·NET 로그	엔진·유출	E41

4. 실습 (실습 예시)

# Wazuh 접근·유출 탐지 구성 (분석 방법)
# 1) auditd 접근 감사 수집(ossec.conf audit)
# 2) FIM 중요 파일 감시
#    <directories check_all="yes" whodata="yes">/etc/shadow,/etc/ssh</directories>
# 3) DB·네트워크 로그 localfile 수집
# 4) 커스텀 룰 배치 후 검증
sudo /var/ossec/bin/wazuh-logtest   # 룰 매칭 검증(필수)
sudo tail -f /var/ossec/logs/alerts/alerts.json | grep 1040

5. 정상 상태

$ (wazuh-logtest, 서비스 정상 접근)
Rule: 104000 (level 5) -> '중요 정보 접근 감사 이벤트' (기반 룰만)
→ 서비스 정상 접근은 저레벨 기반 룰만, 경보 없음

서비스의 정상 접근이 기반 룰(저레벨)만 매칭하고 개별·상관 룰에 안 걸리는, 오탐 없는 상태가 정상입니다.

6. 이상 상태

$ (wazuh-logtest, cat shadow by devops)
Rule: 104080 (level 13) -> '비인증 주체 shadow 접근'
Rule: 104410 (level 15) -> '접근·유출 교차 상관' (유출 연계)
→ 개별+상관 룰 매칭, 최고 레벨 경보

비인가 shadow 접근이 개별 룰(104080)+상관 룰(104410)에 매칭 → 최고 레벨 경보
계층형 룰이 정상은 통과, 유출 공격은 경보 → 정확한 탐지
wazuh-logtest 검증 완료 → 운영 투입 가능

7. 로그 분석 (분석 방법)

Wazuh 접근·유출 탐지 스택 흐름입니다(가상의 예시).

[auditd] cat /etc/shadow (sensitive_read)
   ↓ (agent 수집·파싱)
[기반 룰 104000] 접근 포착(level 5)
   ↓
[개별 룰 104080] shadow 접근(level 13)
   ↓ (접근→유출 세션 상관)
[상관 룰 104410] 유출 확정(level 15)
   ↓
[경보] dashboard + 대응(E47)

계층	룰	역할
기반	104000	포착
개별	104xxx	유형 탐지
상관	104390·104410	유출 확정

계층형 룰이 정상은 통과시키고 유출만 고레벨로 확정합니다.

8. SOC 관제 포인트

Wazuh는 파일 접근·FIM·DB·네트워크를 통합한 계층형 탐지 스택으로 구성합니다.
기반→개별→상관 계층으로 접근을 포착하고 유출 체인을 확정합니다.
모든 룰은 wazuh-logtest로 검증하고, 읽기 감사량은 대상 선별로 관리합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,wazuh,">
  <!-- E영역 탐지 스택 요약: 기반 → 개별 → 상관 계층 -->
  <!-- 104000(기반) / 104010~104370(개별) / 104390·104410(상관) -->
  <rule id="104430" level="12">
    <if_group>syssec_e</if_group>
    <field name="audit.key" type="pcre2">sensitive_read|cred_access|data_access|exfil</field>
    <options>no_full_log</options>
    <description>중요 정보 접근·유출 Wazuh 통합 탐지(그룹 집계용)</description>
    <mitre><id>T1005</id></mitre>
  </rule>
</group>

개별 룰을 유지하고 이 집계 룰은 대시보드·통계용으로 씁니다. 모든 룰 변경 후 wazuh-logtest 필수입니다.

10. 대응 방법

초기 확인 — auditd 접근 감사·FIM·DB/NET 로그·커스텀 룰 배치를 확인합니다.
범위 확인 — wazuh-logtest로 정상(통과)·유출(경보) 매칭을 검증합니다.
증거 확보 — 룰 구성·logtest 결과·alerts 로그를 보존합니다.
차단/조치 — 오탐은 서비스 화이트리스트 튜닝(E46), 미탐은 룰 보강으로 조정합니다.
재발 방지 — Wazuh 계층형 접근·유출 탐지 스택을 운영합니다.

11. 핵심 정리

구성 요소	역할
auditd 접근 감사	파일 읽기
기반·개별 룰	포착·유형 탐지
상관 룰	접근→유출 확정
DB·NET 로그	엔진·유출
면접 포인트	"Wazuh는 파일 접근·FIM·DB·NET 통합 계층형 — logtest 검증 필수"