250. 중요 정보 접근 — 중요 정보 접근 로그 분석 종합 정리

목록 보기

250/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 50/50편 (전체 250/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

E영역 「중요 정보 접근 로그 분석」 50편을 종합 정리합니다. 중요 정보 접근·수집·유출을 탐지·분석·대응하는 전체 체계를 한 편으로 집약합니다. D영역(권한 상승)으로 얻은 권한이 E영역에서 데이터 접근·유출로 이어지는 과정을 다뤘습니다.

E영역 전체 구조(201~250)
 1단계(E01~08) 접근 로그 기본·감사 기반·판정 기준
 2단계(E09~18) 중요 파일 접근(shadow·키·DB·홈)
 3단계(E19~28) DB·대량 접근(파일 직접·덤프·staging)
 4단계(E29~38) 데이터 유출(전송·DNS·ICMP·클라우드)
 5단계(E39~43) 로그 분석(타임라인·연계·상관·내부위협)
 6단계(E44~50) SOC 탐지·DLP·대응·시나리오·정리

D영역이 "권한 획득(상승)"이었다면, E영역은 "목적 달성(데이터 접근·유출)"의 탐지였습니다.

2. 왜 중요한가

E영역은 데이터 유출이라는 공격의 실제 목적·최대 피해를 탐지하는 마지막 방어선입니다.
모든 탐지는 6축 판정·접근→수집→유출 연계·OS/DB/NET 교차 상관을 공유합니다.
다음 영역(F: 비정상 프로세스·지속성)은 공격자가 장기 거점을 유지하는 단계입니다.

3. 핵심 명령어 / 설정

단계	핵심	편
판정 체계	6축·기준선	E04·08
중요 파일 접근	shadow·키·DB·홈	E09~18
DB·대량 접근	파일 직접·덤프·staging	E19~28
데이터 유출	전송·은닉 채널·클라우드	E29~38
분석·탐지	연계·상관·DLP·SOC	E39~50

4. 실습 (실습 예시)

# E영역 종합 점검 체크리스트 (분석 방법)
echo "[1] 접근 감사 활성:"; sudo auditctl -l 2>/dev/null | grep -cE 'sensitive|cred|data'
echo "[2] 비서비스 자격증명 접근:"; sudo ausearch -k sensitive_read,cred_access -i --start today 2>/dev/null | grep -cE 'comm="(cat|cp|tar|scp|curl)"'
echo "[3] 유출 징후:"; sudo ausearch -k exfil -i --start today 2>/dev/null | grep -cE 'curl|scp|rclone|base64'
echo "[4] DLP·FIM 연계:"; sudo /var/ossec/bin/syscheck_control -i 2>/dev/null | grep -c shadow
echo "[5] 로그 통합 수집:"; echo "OS+DB+NET 수집 상태 확인"

5. 정상 상태

[1] 감사 활성: 4  [2] 비서비스 접근: 0  [3] 유출: 0  [4] FIM: 1  [5] 통합 정상

감사 활성·비서비스 접근 없음·유출 없음·FIM 활성·통합 수집 정상의 5개 항목이 모두 양호한 상태가 정상입니다.

6. 이상 상태

[1] 감사 활성: 0(미설정)  [2] 비서비스 접근: 5  [3] 유출: 2  [4] FIM: 0

접근 감사 미설정 → 중요 정보 접근 자체가 기록 안 됨(탐지 불가)
비서비스 자격증명 접근·유출 징후 존재 → 이미 유출 가능성
체계 공백이 가장 큰 위험 → 감사 기반부터 복구

7. 로그 분석 (분석 방법)

E영역 전체 탐지 체계입니다(가상의 예시).

[D영역 상승] 권한 획득
      ↓
[E영역: 접근·유출 탐지 체계]
   기반: auditd 접근 감사 + DB/NET 로그 + 기준선(E03·04)
      ↓
   탐지: 중요파일(E09~18)·DB대량(E19~28)·유출(E29~38)
      ↓
   분석: 타임라인·연계·교차 상관·내부위협(E39~43)
      ↓
   대응: 판정(6축)→차단→통지 + DLP·FIM(E44~47)
      ↓
[F영역] 비정상 프로세스·지속성(장기 거점 유지)

축	내용
기반	접근 감사·통합 수집
탐지	유형별 룰(104000번대)
분석	연계·교차 상관
대응	6축·차단·통지·DLP

기반→탐지→분석→대응의 체계가 데이터 유출을 전 과정에서 포착합니다.

8. SOC 관제 포인트

E영역은 중요 정보 접근·수집·유출을 탐지·분석·대응하는 데이터 유출의 마지막 방어선입니다.
6축 판정·접근→수집→유출 연계·OS/DB/NET 교차 상관이 전편 공통 기법입니다.
C(정찰)→D(상승)→E(접근·유출)→F(지속성)로 공격 단계가 이어집니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<!-- E영역 종합: 중요 정보 접근·유출 탐지 체계 요약 -->
<!-- 기반(104000·감사) → 탐지(104010~104370) → 분석·상관(104380~104420) → SOC·대응(104430~104480) -->
<group name="local,syssec_e,summary,">
  <rule id="104490" level="3">
    <if_group>syssec_e</if_group>
    <description>E영역 중요 정보 접근·유출 탐지 체계(종합)</description>
    <mitre><id>T1005</id><id>T1041</id><id>T1552</id></mitre>
  </rule>
</group>

E영역의 모든 규칙은 실습용 예시입니다. 환경·데이터 분류에 맞춰 wazuh-logtest·테스트 검증 후 운영에 반영하세요.

10. 대응 방법

초기 확인 — E영역 체크리스트(감사·접근·유출·DLP/FIM·통합 수집)로 탐지 체계를 점검합니다.
범위 확인 — 기반 공백·비서비스 접근·유출 징후 여부를 종합 확인합니다.
증거 확보 — 탐지 체계 구성·기준선·규칙 세트를 유지관리 문서로 보존합니다.
차단/조치 — 공백은 기반부터 복구하고, 접근·유출 징후는 대응 플레이북으로 처리합니다.
재발 방지 — 접근·유출 탐지 체계를 지속 운영하며 F영역(지속성)으로 연계합니다.

11. 핵심 정리

단계	핵심
판정 체계	6축·기준선
중요 파일/DB/대량 접근	shadow·키·DB·덤프·staging
데이터 유출	전송·은닉 채널·클라우드
분석·대응	연계·교차 상관·DLP·통지
면접 포인트	"E영역은 데이터 유출 탐지(마지막 방어선) — 접근→수집→유출 연계·교차 상관"