248. 중요 정보 접근 — 중요 정보 접근·유출 탐지 규칙 모음

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 48/50편 (전체 248/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 247. 중요 정보 접근 — 중요 정보 접근 Alert 대응 절차
• 198. 권한 변경 이상 징후 탐지 규칙 모음(D영역)

1. 개념

E영역에서 만든 모든 탐지 규칙(104000번대)을 하나의 레퍼런스로 모읍니다. "어떤 규칙이 있고, 무엇을, 어떤 레벨로 탐지하는가"를 빠르게 찾을 수 있게 집대성합니다.

E영역 탐지 규칙 체계(104000번대)
 104000        기반(접근 감사)
 104010~104170 중요 파일 접근(shadow·키·DB·홈 등)
 104180~104270 DB·대량 접근(파일 직접·덤프·staging)
 104280~104370 데이터 유출(전송·DNS·ICMP·클라우드·압축)
 104380~104420 분석·상관·내부위협
 104430~104460 SOC 탐지·튜닝·DLP·대응

레벨: 정상 예외(2) ~ 유출 체인 확정(15)

모든 규칙은 실습용 예시이며, wazuh-logtest와 테스트 환경 검증 후 적용해야 합니다.

2. 왜 중요한가

• 규칙 모음은 운영·인수인계·튜닝의 레퍼런스로, 전체 탐지 범위를 한눈에 보여줍니다.
• 레벨 체계로 대응 우선순위를, MITRE 매핑으로 공격 기법을 추적합니다.
• 누락 유형(미탐)을 점검하는 커버리지 체크리스트 역할도 합니다.

3. 핵심 명령어 / 설정

규칙 ID	탐지	레벨	MITRE
104080·104100	shadow·SSH 키 접근	13	T1003·T1552
104180·104190	DB 파일·덤프	13·12	T1005
104310·104320	전송·DNS 유출	13·12	T1041·T1048
104390·104410	접근→유출 상관	15	T1041
104420	내부 위협	12	T1052

4. 실습 (실습 예시)

# 탐지 규칙 모음 적용·검증 (분석 방법)
# 1) 전체 룰 문법 검사
sudo /var/ossec/bin/wazuh-logtest -v 2>&1 | head
# 2) 유형별 샘플 로그로 매칭 검증(각 룰)
# 3) 커버리지 점검: 유형별 룰 존재 확인
grep -oE 'rule id="1040[0-9]{2}"' /var/ossec/etc/rules/local_rules.xml | sort -u | wc -l

5. 정상 상태

$ (룰 문법 검사) 0 errors
$ (커버리지) 접근·DB·유출·상관·내부위협 전 유형 존재

모든 룰이 문법 오류 없이 로드되고, 접근·유출 전 유형을 커버하는 상태가 정상입니다.

6. 이상 상태

$ (룰 문법 검사) 1 error: rule 104410 pcre2 syntax
$ (커버리지) DNS 터널(104320) 룰 누락

• 룰 문법 오류(104410) → 상관 탐지 미동작(수정 필요)
• DNS 터널 룰 누락 → 은닉 유출 미탐(커버리지 공백)
• 규칙 모음 점검으로 오류·공백을 사전 발견

7. 로그 분석 (분석 방법)

탐지 규칙 체계 지도입니다(가상의 예시).

[기반] 104000 접근 감사
   ├ [중요 파일] 104010~104170 (shadow·키·DB·홈)
   ├ [DB·대량] 104180~104270 (파일 직접·덤프·staging)
   ├ [유출] 104280~104370 (전송·DNS·ICMP·클라우드)
   └ [분석·SOC] 104380~104460 (상관·내부위협·대응)
         ↓
   wazuh-logtest 검증 → 테스트 환경 → 운영

영역	규칙 범위
중요 파일 접근	104010~104170
DB·대량 접근	104180~104270
데이터 유출	104280~104370
분석·SOC·대응	104380~104460

규칙 모음이 전체 탐지 범위와 커버리지를 한눈에 보여줍니다.

8. SOC 관제 포인트

• E영역 탐지 규칙(104000번대)을 유형·레벨·MITRE로 집대성한 레퍼런스입니다.
• 레벨 체계(2~15)로 대응 우선순위, MITRE로 기법을 추적합니다.
• 모든 규칙은 실습용 예시이며, wazuh-logtest·테스트 환경 검증 후 적용합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<!-- E영역 탐지 규칙 모음 요약 (104000번대) -->
<!-- 104000 기반 / 104010~104170 중요파일 접근 / 104180~104270 DB·대량 -->
<!-- 104280~104370 유출 / 104380~104420 분석·상관·내부위협 / 104430~104460 SOC·대응 -->
<group name="local,syssec_e,ruleset,">
  <rule id="104470" level="3">
    <if_group>syssec_e</if_group>
    <description>중요 정보 접근·유출 탐지 규칙 모음(레퍼런스 집계)</description>
  </rule>
</group>

규칙은 환경·데이터 분류마다 조정이 필요합니다. 반드시 테스트 환경에서 정탐·오탐을 검증한 뒤 운영에 반영하세요.

10. 대응 방법

1. 초기 확인 — 전체 규칙의 문법·로드·매칭을 wazuh-logtest로 검증합니다.
2. 범위 확인 — 유형별 커버리지(접근·DB·유출·상관·내부위협)를 점검합니다.
3. 증거 확보 — 규칙 세트·검증 결과·커버리지 매트릭스를 보존합니다.
4. 차단/조치 — 오류·공백을 수정·보강하고 테스트 환경에서 재검증합니다.
5. 재발 방지 — 규칙 모음을 운영·인수인계 레퍼런스로 유지관리합니다.

11. 핵심 정리

규칙 범위	탐지
104010~104170	중요 파일 접근
104180~104270	DB·대량 접근
104280~104370	데이터 유출
104380~104460	분석·상관·SOC·대응
면접 포인트	"규칙 모음은 커버리지 레퍼런스 — 레벨·MITRE 매핑, logtest·테스트 검증 필수"

12. 다음 편 예고

다음 편 249. 중요 정보 접근 — 실전 시나리오 — 권한 상승부터 데이터 유출까지 에서는 실전 시나리오로 전 과정을 엮는 실전 시나리오 — 권한 상승부터 데이터 유출까지를 다룹니다.

---

이전 편: 247. 중요 정보 접근 — 중요 정보 접근 Alert 대응 절차
📚 시리즈 전체 보기: 시스템 보안 · 취약점