353. 방어 회피·흔적 삭제 — 로그·포렌식 아티팩트 감사 기반 구성

목록 보기

353/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 3/50편 (전체 353/450)
학습 단계: 방어 회피 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

방어 회피를 탐지하려면 삭제·변조될 수 있는 로그·아티팩트 자체를 감시·보호해야 합니다. 핵심은 "로그가 지워지는 것을 또 다른 로그로 포착"하는 이중 구조입니다. 주요 포렌식 아티팩트와 그 감사 구성을 정리합니다.

방어 회피 탐지 기반 아티팩트
 로그: /var/log/*(secure·messages·audit) → 삭제·변조 대상
 히스토리: ~/.bash_history → 삭제 대상
 인증 기록: wtmp·utmp·lastlog → 변조 대상
 감사: auditd 로그·규칙 → 무력화 대상
 무결성: FIM(파일 변경 감시) → 변조 탐지 수단

이중 구조:
 로그 삭제 행위 자체를 auditd watch + 중앙 수집으로 포착

핵심은 로그를 지우는 행위를 또 다른 채널(auditd watch, 중앙 수집)이 기록하게 하는 것입니다. 로컬 로그만으로는 자기 삭제를 탐지할 수 없습니다.

2. 왜 중요한가

로그·아티팩트는 삭제·변조의 대상이므로, 삭제 행위 자체를 별도 채널로 감시해야 합니다.
로컬 로그만으로는 자기 삭제를 탐지할 수 없어 중앙 수집·auditd watch가 필수입니다.
FIM(무결성 감시)은 변조를 탐지하는 핵심 수단입니다.

3. 핵심 명령어 / 설정

아티팩트	위협	감사 수단
/var/log/*	삭제·변조	auditd watch·중앙 수집
~/.bash_history	삭제	auditd watch
wtmp·utmp	변조	FIM·중앙 수집
auditd 규칙	무력화	auditd 자체 감사
설정 파일	변조	FIM

4. 실습 (실습 예시)

# 방어 회피 탐지 기반 구성 (분석 방법)
# 로그 디렉터리 삭제·변경 감시(auditd watch)
sudo auditctl -w /var/log/ -p wa -k log_tamper 2>/dev/null
# 히스토리·인증 기록 감시
sudo auditctl -w /var/log/wtmp -p wa -k log_tamper 2>/dev/null
# auditd 규칙 자체 감시(무력화 탐지)
sudo auditctl -w /etc/audit/ -p wa -k audit_tamper 2>/dev/null
# 중앙 수집 설정 확인
grep -rE '@@|omfwd' /etc/rsyslog.conf /etc/rsyslog.d/ 2>/dev/null | head

5. 정상 상태

$ auditctl -l | grep log_tamper (watch 설정됨)
$ (중앙 수집) @@logserver:514 (설정됨)

로그·아티팩트 변경 감시(watch)가 설정되고 중앙 수집이 동작해, 삭제·변조를 별도 채널로 포착할 준비가 된 상태가 정상입니다.

6. 이상 상태

$ auditctl -l (log_tamper watch 없음)
$ (중앙 수집) 설정 없음
→ 로그 삭제를 탐지할 수단이 없음(탐지 사각)

로그 변경 감시(watch) 미설정 → 삭제·변조 탐지 불가
중앙 수집 미설정 → 로컬 로그 삭제 시 증거 소실
감사 기반 미비는 방어 회피 탐지 역량 자체의 결함 → 보강 필요

7. 로그 분석 (분석 방법)

방어 회피 탐지 기반 구조입니다(가상의 예시).

[로그 삭제 행위] rm /var/log/secure
   ↓ (포착 채널)
 ① auditd watch(/var/log) → "log_tamper" 이벤트
 ② 중앙 수집 → 삭제 전 로그 사본 보존
   ↓
[탐지] 삭제 행위 기록 + 원본 사본 → 방어 회피 탐지
 = 로그를 지워도 지운 행위와 사본이 남음

채널	역할
auditd watch	삭제 행위 기록
중앙 수집	원본 보존
FIM	변조 탐지

이중 채널이 자기 삭제 탐지의 핵심입니다.

8. SOC 관제 포인트

방어 회피 탐지는 삭제·변조 대상 아티팩트를 별도 채널로 감시·보호하는 것이 기반입니다.
auditd watch(삭제 행위 기록) + 중앙 수집(원본 보존) + FIM(변조 탐지)이 핵심 수단입니다.
로컬 로그만으로는 자기 삭제를 탐지할 수 없어 이중 구조가 필수입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107020" level="5">
    <if_sid>107000</if_sid>
    <field name="audit.key" type="pcre2">log_tamper|audit_tamper</field>
    <description>로그·아티팩트 변경 감시 이벤트(방어 회피 탐지 기반)</description>
    <mitre><id>T1070</id></mitre>
  </rule>
</group>

auditd watch·중앙 수집·FIM을 Wazuh로 통합 수집합니다. 로그 전송 단절은 별도 경보로 탐지 사각을 방지합니다.

10. 대응 방법

초기 확인 — 로그·아티팩트 변경 감시(watch)·중앙 수집·FIM 설정을 확인합니다.
범위 확인 — 삭제 행위 기록 채널과 원본 보존 채널의 이중 구조를 확인합니다.
증거 확보 — 감사 구성·수집 상태·무결성 기준을 보존합니다.
차단/조치 — 기반 미비 시 watch·중앙 수집·FIM을 구성합니다.
재발 방지 — 방어 회피 탐지 기반을 H영역 전체의 토대로 구축합니다.

11. 핵심 정리

아티팩트	감사 수단
/var/log/*	auditd watch·중앙 수집
히스토리	auditd watch
wtmp·utmp	FIM·중앙 수집
auditd 규칙	자체 감사
면접 포인트	"로그 삭제는 또 다른 채널로 포착 — watch+중앙 수집 이중 구조가 기반"