파일 권한, 접근통제, 로그 분석 기초

계정을 만들었다.
→ 그 계정이 어떤 파일과 자원에 접근할 수 있는가?
→ 접근 기록은 어떻게 남는가?
→ 로그를 보고 이상 행위를 어떻게 판단하는가?

파일 권한
rwx
chmod
소유자·그룹·기타 사용자
777 권한
접근통제
DAC
MAC
RBAC
로그 분석

계정 → 권한 → 접근통제 → 로그 → 사고 분석

1. user01 계정으로 로그인한다.
2. 특정 파일에 접근한다.
3. 운영체제가 권한을 확인한다.
4. 허용되면 파일을 읽거나 수정한다.
5. 접속과 작업 내역이 로그에 남는다.
6. 보안 담당자는 로그를 보고 이상 행위를 분석한다.

읽기
쓰기
실행
삭제
수정
접근

rwx = 읽기, 쓰기, 실행

-rwxr-xr--

- / rwx / r-x / r--

소유자는 읽기·쓰기·실행 가능,
그룹은 읽기·실행 가능,
기타 사용자는 읽기만 가능하다.

-rw-r--r--  일반 파일
drwxr-xr-x  디렉터리
lrwxrwxrwx  심볼릭 링크

chmod 755 file

7 / 5 / 5

소유자는 읽기·쓰기·실행 가능,
그룹과 기타 사용자는 읽기·실행 가능

777 = 모든 사용자에게 읽기, 쓰기, 실행 권한 부여

777 권한은 소유자, 그룹, 기타 사용자 모두에게 읽기·쓰기·실행 권한을 부여하므로 권한 없는 사용자가 파일을 수정하거나 실행할 수 있어 보안상 위험하다.

파일의 x는 실행 권한,
디렉터리의 x는 접근 권한이다.

chown user01 file

file의 소유자를 user01로 변경

chmod 600 secret.txt

secret.txt를 소유자만 읽고 쓸 수 있게 설정

권한은 chmod, 소유자는 chown, 그룹은 chgrp

실행한 사용자가 아니라 파일 소유자의 권한으로 프로그램이 실행되게 하는 권한

불필요한 SUID 설정은 권한 상승 위험이 있으므로 점검해야 한다.

파일 실행 시 그룹 권한을 적용하거나,
디렉터리 내 생성 파일이 특정 그룹을 상속받게 할 수 있다.

공유 디렉터리에서 사용자가 자신이 만든 파일만 삭제할 수 있게 제한하는 권한

SUID 오남용 = 권한 상승 위험

user01이 secret.txt 파일을 읽으려고 한다.

접근통제는 사용자나 프로세스와 같은 주체가 파일, 시스템, DB와 같은 객체에 접근하는 것을 권한에 따라 허용하거나 차단하는 보안 기능이다.

DAC
MAC
RBAC

객체의 소유자가 접근 권한을 설정하거나 변경할 수 있는 방식

DAC는 객체 소유자가 자신의 객체에 대한 접근 권한을 임의로 설정할 수 있는 접근통제 방식이다.

시스템이 보안 등급이나 정책에 따라 접근 권한을 강제로 통제하는 방식

1급 비밀
2급 비밀
대외비
일반

MAC는 중앙 보안 정책과 보안 등급에 따라 접근을 강제로 통제하는 방식으로, 사용자가 임의로 권한을 변경할 수 없다.

사용자에게 직접 권한을 주는 것이 아니라 역할에 권한을 부여하고, 사용자를 역할에 배정하는 방식

김철수 → 인사 담당자 역할
박영희 → 감사자 역할

RBAC는 직무나 역할에 권한을 부여하고 사용자를 해당 역할에 배정하여 접근을 통제하는 방식이다.

DAC = 소유자가 정한다
MAC = 시스템 정책이 강제한다
RBAC = 역할로 정한다

ACL은 객체에 대해 사용자나 그룹별 접근 권한을 목록 형태로 정의한 접근통제 방식이다.

로그인 성공
로그인 실패
관리자 권한 사용
파일 접근
서비스 시작과 중지
설정 변경
네트워크 접속
오류 발생

누가 접속했는가?
언제 접속했는가?
어디서 접속했는가?
무엇을 했는가?
어떤 파일에 접근했는가?
공격 흔적이 있는가?

로그는 시스템 접속, 인증 실패, 권한 사용, 파일 접근 등 주요 행위를 기록하므로 침해사고 발생 시 원인 분석, 공격 경로 추적, 피해 범위 파악, 재발 방지 대책 수립에 활용된다.

인증 로그
시스템 로그
관리자 작업 로그
파일 접근 로그

auth.log 또는 secure = 인증 관련 로그
messages 또는 syslog = 시스템 전반 로그
wtmp = 로그인 성공 이력
btmp = 로그인 실패 이력

Windows Security 로그 = 로그인, 인증 실패, 권한 사용, 감사 이벤트 확인

접속 IP
접속 시간
요청 URL
HTTP 메서드
상태 코드
User-Agent

192.168.0.10 - - [26/Apr/2026] "GET /login HTTP/1.1" 200
192.168.0.20 - - [26/Apr/2026] "POST /admin HTTP/1.1" 403

로그인 실패가 짧은 시간에 반복되었다. 어떤 공격 가능성이 있는가?

무차별 대입 공격 또는 사전 공격 가능성이 있다.

09:01 user01 login failed from 203.0.113.10
09:01 user01 login failed from 203.0.113.10
09:02 user01 login failed from 203.0.113.10
09:02 user01 login failed from 203.0.113.10
09:03 user01 login failed from 203.0.113.10

동일 계정에 대한 반복 로그인 실패

무차별 대입 공격
사전 공격
계정 탈취 시도

계정 잠금 정책 적용
접속 IP 차단 또는 제한
MFA 적용
패스워드 변경
로그 추가 분석

동일 계정에 대해 짧은 시간 동안 로그인 실패가 반복되고 있으므로 무차별 대입 공격이나 사전 공격 가능성이 있다. 대응 방안으로 계정 잠금 정책 적용, 출발지 IP 차단, MFA 적용, 패스워드 변경, 추가 로그 분석을 수행해야 한다.

10:15 user02 sudo command executed
10:16 user02 modified /etc/passwd
10:17 user02 modified /etc/shadow

일반 사용자로 보이는 user02가 sudo를 사용했고,
계정 관련 중요 파일을 수정했다.

user02가 sudo를 사용하여 /etc/passwd와 /etc/shadow를 수정한 기록이 있으므로 계정 정보 변경이나 권한 상승 가능성을 확인해야 한다. 해당 사용자의 권한 부여 사유, 작업 승인 여부, 변경된 계정 정보, 이후 로그인 기록을 점검해야 한다.

203.0.113.5 "GET /admin HTTP/1.1" 403
203.0.113.5 "GET /admin/login HTTP/1.1" 403
203.0.113.5 "GET /manager HTTP/1.1" 404
203.0.113.5 "GET /phpmyadmin HTTP/1.1" 404

관리자 페이지나 관리 도구 경로를 탐색하는 시도

권한 없는 접근 시도
취약한 관리자 페이지 탐색
스캐닝 또는 사전 탐색 행위

관리자 페이지 접근 IP 제한
인증 강화
불필요한 관리 도구 제거
웹 로그 추가 분석
WAF 또는 IDS 탐지 정책 확인

동일 IP에서 /admin, /manager, /phpmyadmin 등 관리자 또는 관리 도구 경로에 반복 접근하고 있으므로 권한 없는 접근 시도나 취약점 탐색 가능성이 있다. 관리자 페이지 접근을 허용 IP로 제한하고, 불필요한 관리 도구를 제거하며, 인증 강화와 웹 로그 추가 분석을 수행해야 한다.

로그는 침해사고 분석의 핵심 근거이므로 적절한 보관 기간을 설정하고, 접근통제와 무결성 보호를 적용하며, 시간 동기화와 중앙 집중 관리를 통해 신뢰성을 확보해야 한다.

웹 서버
DB 서버
방화벽
사용자 PC

시간 동기화 = 여러 시스템의 시간을 일치시켜 로그 분석의 정확성을 확보하는 것

시간 동기화는 여러 시스템의 로그 발생 시각을 일치시켜 침해사고 발생 순서와 공격 경로를 정확히 분석하기 위해 필요하다.

책임추적성 = 누가 어떤 행위를 했는지 추적할 수 있는 성질

책임추적성을 확보하기 위해 사용자별 개별 계정을 부여하고, 공유 계정 사용을 제한하며, 접속·권한 사용·관리자 작업 로그를 기록해야 한다. 또한 로그의 시간 동기화, 접근통제, 무결성 보호를 적용하여 사고 발생 시 실제 행위자를 추적할 수 있어야 한다.

1. 사용자가 계정으로 로그인한다.
2. 운영체제가 사용자를 인증한다.
3. 사용자가 파일에 접근한다.
4. 운영체제가 파일 권한과 접근통제 정책을 확인한다.
5. 허용되면 접근을 허용하고, 거부되면 차단한다.
6. 접속, 권한 사용, 파일 접근 기록이 로그에 남는다.
7. 보안 담당자는 로그를 분석해 이상 행위를 탐지한다.

777 권한은 소유자, 그룹, 기타 사용자 모두에게 읽기·쓰기·실행 권한을 부여한다. 따라서 권한 없는 사용자도 파일을 수정하거나 실행할 수 있어 악성코드 실행, 파일 변조, 정보 유출 등의 위험이 증가한다.

DAC는 객체 소유자가 접근 권한을 임의로 설정할 수 있는 방식이다. MAC는 시스템의 보안 정책이나 보안 등급에 따라 접근을 강제로 통제하는 방식이며, RBAC는 직무나 역할에 권한을 부여하고 사용자를 역할에 배정하여 접근을 통제하는 방식이다.

로그는 사용자 접속, 인증 실패, 권한 사용, 파일 접근, 서비스 오류 등 시스템 행위를 기록한다. 침해사고 발생 시 공격 시점, 공격 경로, 피해 범위, 행위 주체를 분석하고 재발 방지 대책을 수립하는 데 활용된다.

로그는 침해사고 분석의 핵심 근거이므로 일정 기간 보관하고, 접근통제와 무결성 보호를 적용해야 한다. 또한 시스템 간 시간 동기화를 수행하고, 중앙 로그 서버를 통해 로그를 통합 관리하여 삭제나 변조에 대비해야 한다.

rwx는 읽기, 쓰기, 실행 권한을 의미한다.

리눅스 파일 권한은 소유자, 그룹, 기타 사용자로 나누어 부여된다.

chmod 755는 소유자에게 rwx, 그룹과 기타 사용자에게 r-x 권한을 부여한다.

777 권한은 모든 사용자에게 읽기, 쓰기, 실행 권한을 부여하므로 보안상 위험하다.

SUID는 실행 파일이 파일 소유자의 권한으로 실행되게 하는 특수 권한이며, 오남용 시 권한 상승 위험이 있다.

접근통제는 주체가 객체에 접근하는 것을 권한에 따라 허용하거나 차단하는 보안 기능이다.

DAC는 소유자가 권한을 정하고, MAC는 보안 정책이 강제하며, RBAC는 역할에 따라 권한을 부여한다.

로그는 침해사고 발생 시 원인 분석, 공격 경로 추적, 피해 범위 파악, 책임추적성 확보에 활용된다.

로그 관리를 위해 접근통제, 무결성 보호, 시간 동기화, 중앙 집중 관리가 필요하다.

1. rwx의 의미를 쓰시오.
2. 리눅스 파일 권한에서 소유자, 그룹, 기타 사용자는 각각 무엇을 의미하는가?
3. chmod 755의 의미를 설명하시오.
4. chmod 644의 의미를 설명하시오.
5. 777 권한이 보안상 위험한 이유를 설명하시오.
6. SUID가 위험할 수 있는 이유를 설명하시오.
7. 접근통제란 무엇인가?
8. DAC란 무엇인가?
9. MAC란 무엇인가?
10. RBAC란 무엇인가?
11. ACL이란 무엇인가?
12. 로그 분석이 중요한 이유를 설명하시오.
13. 로그인 실패가 짧은 시간에 반복되면 어떤 공격을 의심할 수 있는가?
14. 로그 관리 시 시간 동기화가 필요한 이유는 무엇인가?

15. -rw-r--r--
16. -rwxr-xr-x
17. -rw-------
18. drwxr-x---

15. 일반 파일이며, 소유자는 읽기·쓰기 가능, 그룹과 기타 사용자는 읽기만 가능하다.

19. 리눅스 파일 권한 777이 보안상 위험한 이유를 설명하시오.

20. DAC, MAC, RBAC의 차이를 설명하시오.

21. 로그 분석이 침해사고 대응에서 중요한 이유를 설명하시오.