시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 43/50편 (전체 393/450)
학습 단계: 방어 회피 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.
선행 학습
1. 개념
5단계 마지막은 변조 전후 비교와 무결성 검증입니다. 기준(해시·백업·중앙 사본)과 현재 상태를 대조하면 "무엇이·어떻게" 변조됐는지 정확히 입증합니다. 삭제는 존재/부재로, 변조는 내용 차이로 드러납니다.
변조 전후 비교·무결성 검증
기준 소스: 해시DB(AIDE)·백업·중앙 사본·골든 이미지
비교 대상: 현재 파일·로그·바이너리
방법: 해시 비교, diff, 중앙 vs 로컬
결과: 변조 파일·변조 내용·변조 시점 확정
원리: 기준이 있어야 변조가 "증명"된다핵심은 "기준이 있어야 변조를 증명한다"입니다. 사전 해시DB·백업·중앙 사본이 없으면 변조 여부 판정 자체가 불가능하므로, 기준 확보가 선행 조건입니다.
2. 왜 중요한가
- 변조 입증은 기준(해시·백업·중앙 사본)과 현재 상태의 대조로 이뤄집니다.
- 기준이 없으면 변조 여부 판정 자체가 불가능하므로 사전 기준 확보가 필수입니다.
- 해시 비교는 변조 사실을, diff는 변조 내용을, 시점 분석은 변조 시각을 입증합니다.
3. 핵심 명령어 / 설정
| 기준 | 비교 방법 | 입증 |
|---|---|---|
| 해시DB(AIDE) | 해시 비교 | 변조 사실 |
| 백업 | diff | 변조 내용 |
| 중앙 사본 | 로컬 대조 | 로그 변조 |
| 골든 이미지 | 바이너리 비교 | 교체 입증 |
| 없음 | 판정 불가 | 기준 필요 |
4. 실습 (실습 예시)
# 변조 전후 비교·무결성 검증 (분석 방법)
# 해시DB 기준 무결성 검사(변조 파일 식별)
sudo aide --check 2>/dev/null | grep -E 'changed|Entries|f ' | head
# 백업 vs 현재 내용 비교(변조 내용)
# diff <(cat /backup/etc/passwd) /etc/passwd
# 바이너리 해시 vs 패키지 원본
dpkg -V 2>/dev/null | grep -vE '^$' | head; rpm -Va 2>/dev/null | head
# 중앙 로그 vs 로컬(로그 변조 내용)
echo "중앙 사본과 로컬 로그 라인 단위 diff → 변조 구간 식별"5. 정상 상태
$ (AIDE check) 변경 없음(또는 승인된 변경)
$ (dpkg -V / rpm -Va) 무결성 정상
$ (중앙 vs 로컬) 일치무결성 검사에 변경이 없고(또는 승인된 변경만), 패키지 바이너리가 무결하며, 중앙과 로컬 로그가 일치하는 상태가 정상입니다.
6. 이상 상태
$ (AIDE check)
changed: /usr/bin/ssh (해시 불일치 — 백도어 교체)
$ (dpkg -V)
??5?????? /bin/ps (ps 바이너리 변조 — 루트킷)
$ (중앙 vs 로컬)
로컬 auth.log 02:00 라인 삭제 / 중앙엔 존재(변조 입증)- ssh·ps 해시 불일치 → 바이너리 변조·교체
- 중앙 vs 로컬 diff → 특정 라인 삭제 입증
- 기준 대조로 변조 파일·내용·시점 확정 → 정탐
7. 로그 분석 (분석 방법)
변조 전후 비교·무결성 검증입니다(가상의 예시).
[공격자] 바이너리 교체·로그 라인 삭제
BUT 해시DB·백업·중앙 사본은 변조 전 상태 보존
↕ (검증)
[분석가]
AIDE: 현재 vs 기준 해시 → 변조 파일 식별
dpkg -V: 패키지 원본 vs 현재 → 교체 입증
중앙 vs 로컬 diff → 삭제된 라인 복원·입증
↓
= 기준이 있으면 변조 파일·내용·시점 모두 증명| 기준 | 현재 | 결론 |
|---|---|---|
| 해시DB | 불일치 | 변조 사실 |
| 백업/중앙 | diff | 변조 내용 |
| 패키지 | 불일치 | 바이너리 교체 |
기준 대조가 변조 입증의 핵심이자 전제입니다.
8. SOC 관제 포인트
- 변조 입증은 기준(해시·백업·중앙 사본)과 현재 상태의 대조로 이뤄집니다.
- 기준이 없으면 변조 판정이 불가능하므로 AIDE·백업·중앙 수집의 사전 확보가 필수입니다.
- 해시 비교(사실)·diff(내용)·시점 분석(시각)으로 변조를 완전히 입증합니다.
9. 탐지 규칙
<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
<rule id="107420" level="13">
<if_sid>107000</if_sid>
<field name="audit.key">integrity_mismatch</field>
<description>무결성 기준 대비 변조 확인(바이너리·로그 변조 입증)</description>
<mitre><id>T1565</id><id>T1070</id><id>T1554</id></mitre>
</rule>
</group>AIDE 해시DB·패키지 검증·중앙 로그 사본을 기준으로 상시 무결성 검사를 운영하고, 기준 대비 불일치를 변조로 경보합니다. 기준 DB는 오프라인·읽기 전용으로 보호합니다.
10. 대응 방법
- 초기 확인 — 해시DB·백업·중앙 사본 기준과 현재 파일·로그·바이너리를 대조합니다.
- 범위 확인 — 해시 불일치(사실)·diff(내용)·시점으로 변조를 입증합니다.
- 증거 확보 — 기준·현재·차이(변조 파일·내용·시점)를 보존합니다.
- 차단/조치 — 변조 입증이면 영향 범위 확정·원본 복구·근본 원인 조사를 진행합니다.
- 재발 방지 — 변조 전후 비교와 무결성 검증을 운영합니다.
11. 핵심 정리
| 기준 | 비교 방법 |
|---|---|
| 해시DB(AIDE) | 해시 비교 |
| 백업 | diff |
| 중앙 사본 | 로컬 대조 |
| 골든 이미지 | 바이너리 비교 |
| 면접 포인트 | "변조는 기준이 있어야 증명 — AIDE·백업·중앙 사본 사전 확보가 전제" |
12. 다음 편 예고
다음 편 394. 방어 회피·흔적 삭제 — Wazuh 기반 방어 회피 탐지 에서는 SOC 탐지 연계 단계로, Wazuh 기반 방어 회피 탐지를 다룹니다.
이전 편: 392. 방어 회피·흔적 삭제 — 방어 회피 이벤트 상관분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점
