249. 중요 정보 접근 — 실전 시나리오 — 권한 상승부터 데이터 유출까지

목록 보기

249/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 49/50편 (전체 249/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

E영역을 실전 시나리오로 종합합니다. D영역(권한 상승)→E영역(접근·수집·유출)의 전체 공격을 관제 화면과 로그 흔적 중심으로 재구성합니다. SOC가 보는 탐지·판정·차단·통지의 관점으로 서술하며, 모든 데이터는 가상입니다.

시나리오 개요(가상)
 대상: 고객 DB 보유 웹 서버(192.0.2.50, 가상 IP)
 상황: 웹 취약점 침투 → 권한 상승(D) 완료(가정)
 목표: 고객 개인정보 DB 유출
 관제: Wazuh+ELK+DLP로 탐지, 관제원이 대응

권한 상승(D) → 접근(E) → 수집 → 유출 → 대응·통지

이 시나리오는 E영역 전편(접근·유출 탐지·분석·대응)이 실제 데이터 유출 사건에서 어떻게 작동하는지 보여줍니다.

2. 왜 중요한가

전체 시나리오로 보면 개별 탐지가 "데이터 유출 사건 대응"으로 어떻게 통합되는지 이해됩니다.
관제 화면·로그 흔적 중심 서술은 실무 SOC의 데이터 유출 대응 관점을 보여줍니다.
접근→수집→유출 연계와 유출 전 차단·유출 후 통지가 실전으로 확인됩니다.

3. 핵심 명령어 / 설정

단계	공격(가상)	탐지(관제)
상승	sudo 상승(D)	103300 경보
접근	DB 자격증명·고객DB	104120·104230
수집	tar·staging	104240
유출	rclone 클라우드	104340·104410
대응	차단·통지	104460

4. 실습 (실습 예시)

# 실전 시나리오 관제 분석 (분석 방법)
SES=99
echo "=== 세션 $SES 데이터 유출 타임라인 ==="
sudo ausearch -k perm_change,cred_access,data_access,exfil --session $SES -i 2>/dev/null \
  | grep -E 'time->|proctitle='
# 유출 범위(통지 대상) 산정
sudo ausearch -k data_access,cred_access --session $SES -i 2>/dev/null | grep -oE 'name="[^"]+"' | sort -u

5. 정상 상태

$ (평시 관제 화면)
데이터 유출 경보: 0 (고위험)
세션: 서비스·백업의 정상 데이터 접근만
→ 평시엔 유출 경보 없음

평시에는 유출 경보가 없고, 서비스·백업의 정상 데이터 접근만 기록되는 상태가 정상입니다.

6. 이상 상태

$ (사건 발생 — 관제 화면 타임라인)
03:42 devops sudo bash              [D 103300 상승 level 14]
03:43 devops cat database.yml       [E 104120 DB 자격증명 level 12]
03:44 devops mysql SELECT * users   [E 104230 민감 테이블 level 13]
03:45 devops tar czf /dev/shm/.d    [E 104240·104360 staging level 12]
03:47 devops rclone copy 외부클라우드 [E 104340 유출 level 12]
       → 104410 교차 상관: 접근→유출 (level 15)
       → DLP: 주민번호 1,200건 포함 탐지

상승(D)→DB 자격증명 접근→민감 테이블 조회→staging→클라우드 유출
교차 상관(104410)+DLP로 유출 확정, 범위 = 고객 PII 1,200건
관제원: 세션 조사→타임라인→정탐→차단(연결·세션)→통지(개인정보 유출)

7. 로그 분석 (분석 방법)

실전 데이터 유출 사건 흐름입니다(가상의 예시).

[03:42] 상승   sudo bash            → D 103300 (관제 인지)
   ↓
[03:43] 접근   cat database.yml     → E 104120 (자격증명)
   ↓
[03:44] 조회   SELECT * users       → E 104230 (민감 테이블)
   ↓
[03:45] 수집   tar → /dev/shm/.d    → E 104240·104360 (staging)
   ↓
[03:47] 유출   rclone 클라우드      → E 104340·104410 (유출 확정)
   ↓
[대응] 연결 차단 → 세션 종료 → 계정 잠금 → PII 유출 통지

시각	단계	탐지
03:42	상승	D 103300
03:43~44	접근	E 104120·104230
03:45	수집	E 104240
03:47	유출	E 104340·104410

상승부터 유출까지 5분 공격이 관제 화면에 단계별 경보로 포착되고, 교차 상관·DLP로 확정됩니다.

8. SOC 관제 포인트

실전 시나리오는 상승(D)→접근→수집→유출(E)을 관제 관점으로 재구성합니다.
개별 탐지가 교차 상관·DLP·타임라인을 통해 데이터 유출 사건 대응으로 통합됩니다.
유출 전 차단(피해 방지)·유출 후 통지(법적)가 데이터 사건 대응의 핵심입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,scenario,">
  <!-- 상승(D)→접근→수집→유출(E) 전체 공격 체인 최종 상관 -->
  <rule id="104480" level="15" frequency="3" timeframe="1800">
    <if_matched_sid>104410</if_matched_sid>
    <same_field>audit.session</same_field>
    <description>데이터 유출 전체 공격 체인 확증(상승→접근→수집→유출)</description>
    <mitre><id>T1005</id><id>T1041</id><id>T1567</id></mitre>
  </rule>
</group>

전체 체인 상관(level 15)은 최우선 경보입니다. D영역·E영역 룰을 세션으로 엮어 데이터 유출 전 과정을 한 사건으로 포착합니다.

10. 대응 방법

초기 확인 — 상승(D)→접근→수집→유출(E) 경보를 세션으로 연결합니다.
범위 확인 — 타임라인(E39)으로 전체 흐름과 유출 범위(통지 대상)를 재구성합니다.
증거 확보 — 전 단계 경보·세션 로그·DLP 결과를 사건 증거로 보존합니다.
차단/조치 — 유출 목적지 차단·세션 종료·계정 잠금·법적 통지를 진행합니다.
재발 방지 — 상승 인지+접근·유출 확정+신속 차단·통지의 사건 대응 체계를 운영합니다.

11. 핵심 정리

단계	탐지·대응
상승(D)	103300 — 인지
접근·조회(E)	104120·104230 — 자격증명·민감 테이블
수집·유출(E)	104240·104340·104410 — staging·유출 확정
대응	차단·세션 종료·통지
면접 포인트	"상승부터 유출까지 세션 상관으로 한 사건 — 유출 전 차단+유출 후 통지"

12. 다음 편 예고

다음 편 250. 중요 정보 접근 — 중요 정보 접근 로그 분석 종합 정리 에서는 E영역을 마무리하는 중요 정보 접근 로그 분석 종합 정리를 다룹니다.

이전 편: 248. 중요 정보 접근 — 중요 정보 접근·유출 탐지 규칙 모음
📚 시리즈 전체 보기: 시스템 보안 · 취약점

changseop lee

코드에 숨겨진 위협을 읽고 AI로 보안의 미래를 설계합니다. 프론트엔드 개발 경험을 자산 삼아 더 견고하고 지능적인 보안 운영 시스템을 구축해 나가는 과정을 기록합니다