로그 변조가 위협이 되는 이유

보안 로그는 환경에서 무슨 일이 일어났는지를 보여 주는 증거입니다. 로그는 탐지, 조사, 규정 준수의 기반이 됩니다. 공격자가 로그를 수정하거나 삭제할 수 있다면 무슨 일이 발생했는지 확인할 수 없게 되고 감사 추적 정보는 무가치해집니다. 따라서 로그 무결성을 보호하는 일은 진실 자체를 보호하는 일입니다.

정교한 공격자는 안티 포렌식을 수행합니다. 즉, 자신의 흔적을 적극적으로 감춥니다. 시스템에 접근한 후에는 로깅을 비활성화하거나 로그 파일을 삭제하거나 트레일을 중지하여 이후의 활동이 기록되지 않게 하려고 합니다. 탐지되지 않은 공격자는 훨씬 더 위험하므로, 이러한 시도를 무력화하는 것은 사고 대응 준비의 핵심입니다.

흔히 사용하는 방법 중 하나는 StopLogging 또는 DeleteTrail로 CloudTrail 트레일을 중지하거나 삭제하는 것입니다. 로깅이 중지되면 그 이후의 활동에는 감사 기록이 남지 않습니다. 이러한 호출을 탐지하고 차단하거나, 호출 자체가 다른 곳에 기록되도록 하는 것이 트레일의 신뢰성을 유지하는 데 필수적입니다.

로깅이 켜져 있더라도 공격자는 로그가 저장된 S3 버킷에서 로그 파일을 삭제하려고 할 수 있습니다. 버킷이 보호되지 않았다면 객체를 제거하는 순간 기록이 사라집니다. 따라서 로그 저장 버킷을 보호하는 것은 처음부터 로깅을 활성화하는 것만큼 중요합니다.

공격자는 삭제하는 데 그치지 않고 특정 활동을 숨기거나 다른 사람에게 누명을 씌우기 위해 로그 내용을 변조하려고 할 수도 있습니다. 변조된 로그는 조사관을 적극적으로 오도하므로, 없는 로그보다 오히려 더 나쁠 수 있습니다. 따라서 삭제를 방지하는 것뿐 아니라 변조를 탐지하는 것도 별개의 중요한 목표입니다.

로그 보호는 세 가지 개념을 기반으로 합니다. 무결성(로그가 변조되지 않았음을 입증), 가용성(로그를 삭제할 수 없도록 보장), 기밀성(권한 없는 읽기 방지)입니다. AWS는 각각을 위한 구체적인 기능을 제공합니다. 한 가지에만 집중하지 말고 세 요소를 모두 다루어야 완전한 전략이 됩니다.

핵심 원칙 중 하나는 책임 분리입니다. 워크로드를 운영하는 사람과 계정이 해당 워크로드에 관한 로그를 제어해서는 안 됩니다. 공격자가 워크로드 계정을 침해하더라도 그 사실만으로 증거를 삭제할 권한까지 얻어서는 안 됩니다. 이러한 원칙에 따라 전용 로그 계정을 설계합니다.

변조 시도 자체가 매우 중요한 신호입니다. StopLogging, DeleteTrail, UpdateTrail과 같은 CloudTrail 이벤트에 지표 필터와 경보를 설정하면 누군가 로깅 구성을 건드리는 즉시 알림을 받을 수 있습니다. 공격을 숨기려는 시도는 공격이 진행 중임을 보여 주는 가장 명확한 신호인 경우가 많습니다.

PCI DSS 및 HIPAA와 같은 프레임워크는 감사 로그를 변조로부터 보호하고 보존하도록 명시적으로 요구합니다. 변조가 드러나고 보존되는 로그는 단순한 모범 사례가 아니라 규정 준수 의무입니다. 감사자는 로그가 신뢰할 수 있고 완전하다는 것을 입증하는 제어 항목을 확인합니다.

앞으로 학습할 방어책인 로그 파일 검증, 엄격하게 제한되고 변경할 수 없는 버킷, 중앙 집중식 보관 계정은 각각 특정한 변조 기법에 대응합니다. 먼저 위협을 이해하면 각 제어 항목이 존재하는 이유와 이들이 어떻게 결합되어 공격자가 쉽게 무너뜨릴 수 없는 다층 방어를 구성하는지 분명해집니다.

로그 무결성은 탐지, 포렌식, 거버넌스가 만나는 지점이므로 시험에 반복해서 등장하는 주제입니다. 침해가 발생해도 로그가 보존되도록 하는 시나리오를 예상하십시오. 올바른 답은 변경 불가성, 검증, 격리에 초점을 맞추며, 단일 계정이 스스로를 감시하도록 신뢰하는 방식은 답이 아닙니다.

이 위협에 대해 얼마나 이해했는지 확인해 보십시오.

로그는 증거이며, 공격자는 안티 포렌식을 사용해 트레일을 비활성화하고 파일을 삭제하거나 기록을 변조합니다. 무결성, 가용성, 기밀성을 보호하고, 책임 분리를 적용하여 워크로드 계정이 자신의 로그를 삭제할 수 없게 하며, StopLogging과 같은 이벤트에 경보를 설정하십시오. 규정 준수 프레임워크는 변조가 드러나고 보존되는 로그를 요구하며, 이 과정의 나머지 부분에서는 이를 구현하는 방법을 설명합니다.