246. 중요 정보 접근 — DLP·FIM 연계 데이터 보호 탐지

changseop lee·2026년 10월 7일

DLP FIM Soc 데이터보호 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 중요 정보 접근

시스템 보안 · 취약점

목록 보기

246/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 46/50편 (전체 246/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

접근 감사(OS)는 "누가 접근했나"를 보지만, 데이터 내용은 못 봅니다. DLP(내용 기반)·FIM(무결성)을 연계하면 "민감 내용이 어디로 가는가·중요 파일이 바뀌었나"까지 보는 다층 보호가 됩니다.

데이터 보호 3층 결합
 [OS 접근 감사] 누가·무엇을·언제 (E영역 기본)
 [DLP]          내용 기반: 주민번호·카드번호 패턴 전송 차단
 [FIM]          무결성: 중요 파일 변경·삭제 탐지

결합: 접근(OS) + 내용(DLP) + 변경(FIM) = 완전한 데이터 보호

DLP는 전송 내용에서 민감 패턴(주민번호·카드번호)을 탐지·차단하고, FIM은 중요 파일의 변경·삭제를 감시합니다. 셋을 결합해야 완전합니다.

2. 왜 중요한가

OS 접근 감사만으로는 "민감 내용이 실제 나갔는가"(DLP)를 못 봅니다.
DLP는 내용 패턴(PII·카드번호)으로 유출을 탐지·차단해 접근 감사를 보완합니다.
FIM은 중요 파일 변경·삭제(반포렌식)를 감시해 접근 후 조작을 포착합니다.

3. 핵심 명령어 / 설정

계층	탐지	보완점
OS 접근 감사	주체·대상·시각	내용 못 봄
DLP	민감 내용 패턴	전송 차단
FIM	파일 변경·삭제	무결성
결합	접근+내용+변경	완전
네트워크 DLP	전송 내용 검사	유출 차단

4. 실습 (실습 예시)

# DLP·FIM 연계 (분석 방법)
# FIM: 중요 파일 변경 감시(Wazuh syscheck)
sudo /var/ossec/bin/syscheck_control -i 2>/dev/null | head
# DLP 패턴(전송 데이터의 민감 패턴 — 분석용 예시)
# 주민번호/카드번호 패턴이 전송·파일에 포함되는지
grep -rlE '[0-9]{6}-[0-9]{7}|[0-9]{4}-[0-9]{4}-[0-9]{4}-[0-9]{4}' /tmp /dev/shm 2>/dev/null

5. 정상 상태

$ (FIM) 중요 파일 변경 없음(무결성 유지)
$ (DLP 패턴) staging 경로에 민감 패턴 없음

중요 파일 무결성이 유지되고, 임시 경로에 민감 패턴(PII) 데이터가 없는 상태가 정상입니다.

6. 이상 상태

$ (FIM)
/etc/shadow 변경 감지(접근 후 조작)
$ (DLP 패턴)
/tmp/.d/export.csv: 주민번호 1,200건 포함(유출 staging)

FIM이 shadow 변경 감지 → 접근 후 조작(반포렌식·계정 조작)
DLP가 staging 파일에서 주민번호 1,200건 탐지 → 민감 내용 유출 준비
접근(OS)+내용(DLP)+변경(FIM) 결합 → 완전한 유출 포착 → 정탐

7. 로그 분석 (분석 방법)

DLP·FIM 연계 흐름입니다(가상의 예시).

[OS 접근] cat 고객DB (누가·무엇을, E영역)
   +
[DLP] staging/전송 데이터에 주민번호 패턴 (내용)
   +
[FIM] 중요 파일 변경·삭제 (무결성)
   ↓ (3층 결합)
[종합] 접근+민감 내용+조작 → 유출 확정·차단

계층	알려주는 것
OS 접근	누가·무엇을
DLP	민감 내용
FIM	변경·삭제

세 계층 결합이 접근·내용·무결성을 모두 포착합니다.

8. SOC 관제 포인트

DLP(내용)·FIM(무결성)을 OS 접근 감사와 연계해 다층 데이터 보호를 구성합니다.
DLP는 민감 패턴(PII·카드번호) 전송을 탐지·차단해 "내용" 공백을 메웁니다.
FIM은 중요 파일 변경·삭제를 감시해 접근 후 조작을 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,dlp,">
  <!-- FIM 중요 파일 변경 + 접근 연계 -->
  <rule id="104450" level="13">
    <if_group>syscheck</if_group>
    <field name="file" type="pcre2">/etc/shadow|/etc/sudoers|고객DB경로</field>
    <description>중요 파일 변경(FIM) — 접근·유출 연계 감시</description>
    <mitre><id>T1565</id></mitre>
  </rule>
</group>

DLP는 전용 솔루션(네트워크·엔드포인트)과 연계합니다. FIM은 Wazuh syscheck로 구성하고 접근 감사와 상관합니다.

10. 대응 방법

초기 확인 — OS 접근·DLP(내용 패턴)·FIM(변경) 세 계층 신호를 확인합니다.
범위 확인 — staging·전송 데이터의 민감 패턴, 중요 파일 변경을 확인합니다.
증거 확보 — 접근·DLP·FIM 이벤트와 민감 내용 범위를 보존합니다.
차단/조치 — 유출 정탐이면 DLP 전송 차단·세션 종료·무결성 복구·통지를 진행합니다.
재발 방지 — OS 접근+DLP+FIM 다층 데이터 보호를 운영합니다.

11. 핵심 정리

계층	탐지
OS 접근 감사	주체·대상·시각
DLP	민감 내용 패턴·차단
FIM	파일 변경·삭제
결합	접근+내용+무결성
면접 포인트	"OS 접근은 내용을 못 봄 — DLP(내용)·FIM(무결성) 결합으로 완전 보호"