247. 중요 정보 접근 — 중요 정보 접근 Alert 대응 절차

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 47/50편 (전체 247/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 246. 중요 정보 접근 — DLP·FIM 연계 데이터 보호 탐지
• 197. 권한 변경 Alert 대응 절차(D영역)

1. 개념

탐지(E44·45)가 경보를 만들면, 관제원은 표준 절차로 대응합니다. 데이터 유출은 피해가 확정되는 특성상, 유출 전 차단과 유출 후 통지가 모두 중요합니다.

접근·유출 Alert 대응 절차(플레이북)
 ① 분류:   경보 레벨·데이터 분류·단계(접근/수집/유출)
 ② 조사:   6축(E08)+타임라인(E39)+연계(E40)+유출 범위
 ③ 판정:   정탐/오탐, 유출 여부·범위 결정
 ④ 차단:   유출 전→전송 차단 / 유출 후→목적지 차단·세션 종료
 ⑤ 통지:   유출 확정 시 법적 통지(개인정보보호법)·보고

핵심: 유출 전 차단(피해 방지) + 유출 후 통지(법적)

데이터 유출은 법적 통지 의무(개인정보보호법)가 있어, 대응에 유출 범위 산정·통지가 포함됩니다.

2. 왜 중요한가

• 표준 절차는 데이터 유출의 신속·일관된 대응을 보장합니다.
• 유출 전 차단은 피해 방지, 유출 후 통지는 법적 의무 이행입니다.
• 각 단계가 E영역 분석 기법(6축·타임라인·연계·유출 범위)과 연결됩니다.

3. 핵심 명령어 / 설정

단계	핵심 행동	참조
분류	레벨·데이터·단계	E08
조사	6축·타임라인·연계·범위	E39·40
판정	유출 여부·범위	E42
차단	전송·세션·목적지	—
통지	법적 통지·보고	컴플라이언스

4. 실습 (실습 예시)

# 접근·유출 Alert 대응 (분석 방법)
SES=99
# ② 조사: 세션 타임라인·유출 범위
sudo ausearch -k sensitive_read,cred_access,exfil --session $SES -i 2>/dev/null | grep -E 'time->|proctitle=|name='
# ④ 차단(정탐 시 예시): 유출 목적지 연결 차단은 방화벽에서, 세션 종료
# ⑤ 유출 범위: 접근 대상 목록 = 통지 범위
sudo ausearch -k sensitive_read,data_access --session $SES -i 2>/dev/null | grep -oE 'name="[^"]+"' | sort -u

5. 정상 상태

$ (오탐 대응 예시)
경보: backup의 정기 백업 접근 (03:00)
조사: 6축 모두 정상, 유출 없음
판정: 오탐 → 서비스 예외 튜닝(E45)

정상 백업 경보를 조사해 오탐으로 판정하고 좁은 예외로 튜닝해 종결하는 것이 정상 흐름입니다.

6. 이상 상태

$ (정탐 대응 예시)
경보: 접근→수집→유출 체인 (ses=99, 104410)
조사: shadow+DB+고객DB 접근 → tar → curl 외부(E39 타임라인)
판정: 정탐, 유출 범위 = 고객 PII 1,200건
차단: 유출 목적지 차단 → 세션 종료 → 계정 잠금
통지: 개인정보 유출 → 법적 통지·보고

• 접근→수집→유출 체인 경보를 세션 조사로 유출 범위(고객 PII 1,200건) 산정
• 차단: 목적지 차단→세션 종료→계정 잠금
• 통지: 개인정보 유출 법적 통지·보고로 종결

7. 로그 분석 (분석 방법)

접근·유출 Alert 대응 흐름입니다(가상의 예시).

[경보] 접근·유출 Alert (level 13+)
   ↓ ① 분류(레벨·데이터·단계)
[우선순위] 유출 단계 최우선
   ↓ ② 조사(6축·타임라인·유출 범위)
[판정] ③ 정탐/오탐, 유출 여부·범위
   ├ 유출 전 → ④ 전송 차단(피해 방지)
   └ 유출 후 → ④ 목적지 차단·세션 종료 + ⑤ 통지
   ↓
[종결·보고]

단계	산출
분류	우선순위
조사	타임라인·범위
판정	유출 여부·범위
차단·통지	대응·법적

유출 전 차단과 유출 후 통지가 데이터 대응의 두 축입니다.

8. SOC 관제 포인트

• 접근·유출 경보는 표준 플레이북(분류→조사→판정→차단→통지)으로 대응합니다.
• 유출 전 차단(피해 방지)과 유출 후 통지(법적 의무)가 데이터 대응의 특성입니다.
• 유출 범위 산정(접근 대상=통지 범위)이 법적 대응의 핵심 산출물입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,response,">
  <!-- 유출 고위험 경보에 대응 우선순위 태깅 -->
  <rule id="104460" level="14">
    <if_sid>104370,104390,104410</if_sid>
    <description>데이터 유출 고위험 경보 — 즉시 대응·통지 플레이북 적용</description>
    <mitre><id>T1041</id></mitre>
    <group>response_priority,data_breach,</group>
  </rule>
</group>

유출 경보는 대응 우선순위로 태깅합니다. active-response(자동 전송 차단)는 테스트 검증 후 신중히 적용합니다.

10. 대응 방법

1. 초기 확인 — 경보를 레벨·데이터 분류·단계(접근/수집/유출)로 분류합니다.
2. 범위 확인 — 세션 조사(6축·타임라인·연계)로 유출 여부·범위를 판정합니다.
3. 증거 확보 — 경보·조사 근거·유출 범위(통지 대상)를 보존합니다.
4. 차단/조치 — 유출 전은 전송 차단, 유출 후는 목적지 차단·세션 종료·법적 통지를 진행합니다.
5. 재발 방지 — 표준 대응 플레이북을 일관되게 운영·기록합니다.

11. 핵심 정리

단계	핵심 행동
분류	레벨·데이터·단계
조사	6축·타임라인·유출 범위
판정	유출 여부·범위
차단·통지	전송 차단 / 법적 통지
면접 포인트	"데이터 대응은 유출 전 차단+유출 후 통지 — 유출 범위 산정이 법적 핵심"

12. 다음 편 예고

다음 편 248. 중요 정보 접근 — 중요 정보 접근·유출 탐지 규칙 모음 에서는 접근·유출 탐지 규칙을 집대성하는 중요 정보 접근·유출 탐지 규칙 모음을 다룹니다.

---

이전 편: 246. 중요 정보 접근 — DLP·FIM 연계 데이터 보호 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점