EIS

지도 위치 : 1과목 · README 4장의 ③ 영역(시스템) — 시스템이 누구를 들여보냈고 무엇을 했는지 남기는 곳. ④ 운영(로그 분석 · 포렌식)으로 이어지는 다리 | 출제기준: 1. 정보 시스템의 범위 및 이해 > 3. 시스템 정보 | 이전: 01 단말 · 서버 시스템과 운영체제 | 다음: 03 시스템 보안위협과 공격기법 출제 빈도 : ⭐⭐ (회당 약 2.9문항 — 출제분석.md) · 변화 – (이전 3.1 → 현행 2.6) 세세항목 : 시스템 환경정보, 인증정보, 시스템/감사 로그

이 노트를 다 읽으면

1. /etc/passwd와 /etc/shadow의 필드를 순서대로 말하고, UID 0 계정과 잠긴 계정을 알아볼 수 있다.
2. 패스워드 해시 표기($6$ 등)와 솔트 가 무엇을 막는지 앞에서 배운 해시(20번 노트)와 연결해 설명할 수 있다.
3. 윈도우 인증의 SAM · LSA · SRM 이 각각 무엇을 하는지, SID의 RID 500이 무엇인지 말할 수 있다.
4. 리눅스 로그 utmp · wtmp · btmp · lastlog · pacct 를 "무엇을 기록하나 + 무엇으로 보나"로 짝지을 수 있다.
5. syslog 설정 한 줄(authpriv.* /var/log/secure)을 해석할 수 있다.
6. 윈도우 이벤트 로그 세 종류, 주요 이벤트 ID, 감사 정책 9개 항목 을 구별할 수 있다.

---

0. 이 노트의 판별 축

이 노트의 질문은 "시스템은 누가 들어왔는지 어떻게 알고, 그 흔적을 어디에 남기는가" 입니다. 앞에서 배운 인증(17번 노트)이 "누구인지 확인하는 원리"였다면, 여기는 그 원리가 리눅스 · 윈도우의 실제 파일과 프로세스 로 어떻게 구현되는지입니다. 앞 노트(01번)의 퍼미션이 이 파일들을 지키고, 다음 노트(03번)의 공격자는 이 로그를 지우려 합니다.

---

1. 시스템 정보의 지도

로그 — [기록]인데, [ 사건이 일어난 뒤에 누가 무엇을 했는지 추적하게 해 준다 ]는 점에서 일어나기 전에 막는 접근통제와 구별된다(축 5). 로그가 보장하는 성질을 책임추적성 (Accountability)이라고 합니다.

응용 로그 ↔ 시스템 로그 : 시스템 로그는 운영체제 · syslog가 남기는 것(/var/log/messages, 윈도우 시스템 로그), 응용 로그는 프로그램이 직접 남기는 것(웹 서버 접근 로그, DB 로그, 윈도우 응용 프로그램 로그)입니다.

---

2. 리눅스 계정 · 인증 정보

2.1 /etc/passwd — 7개 필드

root:x:0:0:root:/root:/bin/bash
kim:x:1001:1001:Kim CS:/home/kim:/bin/bash
backdoor:x:0:0::/tmp:/bin/sh            ← ⚠️ UID 0
daemon:x:2:2:daemon:/sbin:/sbin/nologin
 ①   ② ③  ④   ⑤      ⑥      ⑦

🔍 읽는 포인트 : 세 번째 필드가 0 인 계정은 이름이 무엇이든 root와 같은 권한 입니다. 위 예의 backdoor가 침해 흔적입니다. 점검 명령은 awk -F: '$3==0 {print $1}' /etc/passwd.

⚠️ /etc/passwd는 모든 사용자가 읽어야 하는 파일(사용자 이름 ↔ UID 변환)이라 644입니다. 그래서 옛날처럼 해시를 여기에 두면 누구나 해시를 가져가 크래킹할 수 있었고, 해시를 root만 읽는 /etc/shadow로 옮겼습니다.

2.2 /etc/shadow — 9개 필드

kim:$6$Xy7pQ...$Lk2v...:19650:1:90:7:30::
 ①        ②             ③   ④ ⑤ ⑥ ⑦ ⑧ ⑨

솔트 (Salt) — [패스워드 저장 기법]인데, [ 사용자마다 다른 난수를 섞어 해시해, 같은 패스워드도 다른 해시가 되게 한다 ]는 점에서 해시를 여러 번 반복해 계산을 느리게 하는 키 스트레칭과 구별된다. 앞에서 배운 해시의 일방향성(20번 노트)만으로는 미리 계산해 둔 표(레인보우 테이블) 를 막지 못합니다. 솔트가 붙으면 그 표가 쓸모없어집니다(03번 노트).

📝 기출 포인트 — /etc/passwd의 필드 구조(특히 세 번째 = UID , UID 0 점검)가 최근 3년 연속 나왔습니다. shadow는 "담긴 정보의 범위", 해시 알고리즘(SHA-512), 솔트의 목적이 반복됩니다.

2.3 PAM — 인증을 모듈로 갈아 끼우기

PAM (Pluggable Authentication Modules) — [인증 프레임워크]인데, [ 프로그램을 다시 컴파일하지 않고 설정 파일만 바꿔 인증 방식을 교체한다 ]는 점에서 프로그램 안에 인증 코드를 직접 넣는 방식과 구별된다.

# /etc/pam.d/sshd (예)
auth       required     pam_faillock.so ...      # 실패 횟수 잠금
auth       required     pam_unix.so              # /etc/shadow로 패스워드 확인
account    required     pam_nologin.so           # /etc/nologin 있으면 일반 사용자 거부
password   requisite    pam_pwquality.so retry=3 # 패스워드 복잡도
session    required     pam_limits.so            # 세션 자원 제한

🔍 읽는 포인트 : 첫 칸이 모듈 타입 , 둘째 칸이 제어 플래그 입니다.

앞으로 다시 만납니다 — 04번 노트에서 PAM으로 계정 잠금 (deny · unlock_time)과 패스워드 복잡도 (minlen · dcredit 등)를 설정합니다.

📝 기출 포인트 — PAM은 1과목 세 군데(운영체제 · 시스템 정보 · 대응기술)에 걸쳐 나옵니다. " 재컴파일 없이 인증 방식 변경", 모듈 타입 4개 중 아닌 것 , 처리 순서가 반복됩니다.

---

3. 윈도우 계정 · 인증 정보

3.1 SAM · LSA · SRM

[로그인 화면] → (winlogon) → LSA(lsass.exe) ──▶ SAM에서 계정 · 해시 비교
                                │                  (도메인이면 DC에 Kerberos/NTLM 인증)
                                ▼
                     인증 성공 → SID와 그룹 정보가 담긴 액세스 토큰
                                │
              파일 접근 시 → SRM이 토큰의 SID와 파일의 ACL 비교 → 허용/거부 · 감사 기록

⚠️ 시험 교재는 흔히 "SAM이 인증 → SRM이 SID를 바탕으로 액세스 토큰 발급 "으로 설명합니다. Microsoft 문서상으로는 토큰을 만드는 것은 LSA이고 SRM은 접근 검사를 맡습니다. 보기에서 SAM · LSA · SRM의 핵심 역할 (저장 · 총괄/정책/감사기록 · 접근 검사)로 판단하세요.

3.2 SID와 인증 프로토콜

S-1-5-21-3623811015-3361044348-30300820-500
│ │ │ └─ 컴퓨터(도메인) 고유 식별자 ─────────┘ └ RID
│ │ └ 식별자 권한(5 = NT Authority)
│ └ 버전
└ SID임을 표시

🔍 읽는 포인트 : 마지막 RID 가 계정을 가리킵니다. 500 = Administrator , 501 = Guest , 일반 사용자는 1000 이상 . 관리자 계정 이름을 바꿔도 RID 500은 그대로라 공격자는 SID로 관리자를 찾습니다.

📝 기출 포인트 — LSA · SAM · SRM 구분이 2018년부터 거의 매년 나옵니다("인증 구성요소가 아닌 것", "SID 매칭 · 감사 로그 = LSA"). SAM은 저장 위치와 접근 권한 (Administrators · SYSTEM), SID는 RID 필드 를 묻습니다.

---

4. 리눅스 로그

4.1 syslog — 텍스트 로그의 배달부

syslogd (rsyslogd) — [로그 데몬]인데, [ 여러 프로그램이 보낸 메시지를 종류(facility)와 심각도(priority)에 따라 정해진 파일로 나눠 기록한다 ]는 점에서 프로그램이 자기 파일에 직접 쓰는 응용 로그와 구별된다.

# /etc/rsyslog.conf (예전 /etc/syslog.conf)
# facility.priority                                     action
*.info;mail.none;authpriv.none;cron.none               /var/log/messages
authpriv.*                                              /var/log/secure
mail.*                                                  -/var/log/maillog
cron.*                                                  /var/log/cron
*.emerg                                                 :omusrmsg:*
local7.*                                                /var/log/boot.log
*.*                                                     @192.168.10.5   # 원격 로그 서버(UDP)

🔍 읽는 포인트 : authpriv.* = 인증 관련 모든 심각도 → secure. *.info = info 이상 (info · notice · warning · err · crit · alert · emerg). mail.none = 메일은 제외 . @는 원격 서버로 보냄(@@는 TCP).

4.2 텍스트 로그 — 바로 읽는 파일

4.3 바이너리 로그 — 전용 명령으로만 본다 ⭐

$ last -5
kim    pts/0   203.0.113.7    Mon Oct 13 22:10   still logged in
root   pts/1   198.51.100.23  Mon Oct 13 03:12 - 03:40  (00:28)
reboot system boot  5.14.0       Mon Oct 13 00:01

$ lastb -3
root   ssh:notty  198.51.100.23  Mon Oct 13 03:11 - 03:11  (00:00)
root   ssh:notty  198.51.100.23  Mon Oct 13 03:11 - 03:11  (00:00)
admin  ssh:notty  198.51.100.23  Mon Oct 13 03:10 - 03:10  (00:00)

🔍 읽는 포인트 : 같은 IP(198.51.100.23)가 btmp(lastb)에 연속 실패 를 남긴 직후 wtmp(last)에 root 로그인 성공 — 무차별 대입이 성공한 전형적 흔적입니다. 바이너리라서 cat으로는 깨진 글자만 보입니다.

💡 외우는 법 : u tmp = u p-to-now(지금), w tmp = w hole(전부), b tmp = b ad(실패).

4.4 로그 보존 — logrotate

# /etc/logrotate.conf
weekly          # 매주 교체
rotate 4        # 4개까지 보관하고 오래된 것 삭제
create          # 교체 후 빈 새 파일 생성
compress        # 지난 로그 압축
include /etc/logrotate.d

🔍 읽는 포인트 : 로그가 디스크를 채우는 것(가용성)과 너무 빨리 지워지는 것(추적 불가) 사이의 균형입니다. 법적 보관 기간이 있는 접속기록은 24번 노트(개인정보 안전성 확보조치)에서 다룹니다. systemd 배포판은 journalctl로 저널 로그를 봅니다. 솔라리스의 감사 모듈은 BSM (Basic Security Module)입니다.

📝 기출 포인트 — 1과목 시스템 정보에서 가장 많이 나온 문제 입니다. wtmp(7회) · btmp(7회) · utmp(4회) · lastb(3회). "wtmp에 기록되지 않는 것 = 로그인 실패", "로그인 실패 확인 명령 = lastb", "파일 ↔ 내용 ↔ 명령 매칭" 세 유형이 돌아가며 나옵니다. xferlog(FTP)와 secure(TCP Wrapper 로그)도 단골입니다.

---

5. 윈도우 로그와 감사 정책

5.1 이벤트 로그

• 저장 위치: %SystemRoot%\System32\winevt\Logs\ (.evtx, Vista 이후). 그 전에는 System32\config\의 .evt.
• 바이너리 형식 이라 메모장이 아니라 이벤트 뷰어 (eventvwr.msc)로 봅니다.
• 이벤트 수준: 오류 · 경고 · 정보 · 성공 감사 · 실패 감사.

5.2 감사 정책 — 무엇을 기록할지 정하기

감사 정책 — [보안 설정]인데, [ 어떤 사건을 보안 로그에 남길지(성공 · 실패) 정한다 ]는 점에서 사건 자체를 막는 계정 · 암호 정책과 구별된다(축 5). 위치: secpol.msc → 로컬 정책 → 감사 정책.

⚠️ 계정 로그온 ↔ 로그온 : "계정 로그온"은 인증을 처리한 쪽 (도메인 컨트롤러)에, "로그온"은 사용자가 실제로 들어간 컴퓨터 에 남습니다. 이름이 비슷해 가장 많이 헷갈리는 짝입니다.

5.3 그 밖의 흔적 — 아티팩트와 휘발성 정보

휘발성 정보 — [증거 유형]인데, [ 전원이 꺼지면 사라진다 ]는 점에서 디스크에 남는 비휘발성 정보와 구별된다(축 6). 그래서 수집 순서는 휘발성이 큰 것부터 : 레지스터 · 캐시 → 메모리 · 실행 중인 프로세스 · 네트워크 연결 · ARP 캐시 → 임시 파일 → 디스크(로그 포함) → 백업 매체. 이벤트 로그는 디스크에 저장되므로 휘발성 정보가 아닙니다.

📝 기출 포인트 — "로그인 시도 횟수가 남는 윈도우 로그 = 보안 로그 ", " 휘발성 정보가 아닌 것 = 이벤트 로그", 이벤트 로그 저장 폴더 , 감사 정책 항목 ↔ 기록 대상 매칭 이 나왔습니다. 자동 실행 Run 키 와 index.dat는 포렌식 아티팩트 문제로 나옵니다.

---

6. 실기 연결

수행준거 1.1-4 "운영체제에서 생성되는 로그파일 관리 점검" , 2.1-3 "이벤트 로그정보 생성과 관리 점검" , 3.2 "로그분석 및 대응" 에 해당합니다. 필답형에서 로그 문제는 거의 매회 나옵니다.

자주 나오는 형태

1. last · lastb · /var/log/secure 발췌를 주고 "공격 유형, 공격자 IP, 성공 여부, 대응" → 핵심어: 무차별 대입(사전 대입), btmp 연속 실패 후 wtmp 성공, 계정 잠금 임계값 설정(PAM), 해당 IP 차단(iptables · TCP Wrapper), root 원격 접속 제한
2. "로그인 실패 기록 파일과 확인 명령" → /var/log/btmp, lastb
3. /etc/passwd 몇 줄을 주고 "취약한 계정과 이유" → UID 0인 일반 계정, 셸이 있는 불필요한 시스템 계정, 두 번째 필드에 해시가 직접 들어 있는 계정(shadow 미사용)
4. syslog 설정을 주고 "인증 로그가 기록되는 파일" → authpriv. → /var/log/secure*

로그 관리 점검표

💡 서술형에서 "어디에(파일), 무엇이(내용), 무엇으로(명령)" 를 한 문장에 넣으면 부분 점수를 잃지 않습니다. 예: "로그인 실패 기록은 /var/log/btmp에 바이너리로 저장되며 lastb 명령으로 확인한다."

---

7. 확인 문제

문제 1. /etc/passwd의 한 줄 admin2:x:0:500::/home/admin2:/bin/bash에서 보안상 가장 문제가 되는 필드는? ① 두 번째 필드 x ② 세 번째 필드 0 ③ 네 번째 필드 500 ④ 일곱 번째 필드 /bin/bash

문제 2. 다음 중 /etc/shadow에 저장되지 않는 정보는? ① 패스워드 최대 사용 기간 ② 마지막 패스워드 변경일 ③ 사용자의 홈 디렉터리 ④ 패스워드 만료 경고 기간

문제 3. 리눅스에서 로그인 실패 이력을 기록하는 파일과 확인 명령의 짝으로 옳은 것은? ① utmp — who ② wtmp — last ③ btmp — lastb ④ lastlog — lastcomm

문제 4. 패스워드 해시에 솔트를 사용하는 가장 직접적인 목적은? ① 해시 계산 속도 향상 ② 해시값을 복호화할 수 있게 함 ③ 같은 패스워드라도 다른 해시가 되게 하여 사전 계산 테이블 공격을 어렵게 함 ④ 패스워드 길이 제한 완화

문제 5. 윈도우에서 계정 이름과 SID를 매칭하고 감사 로그를 기록하며 로그인 검증을 총괄하는 구성요소는? ① SAM ② LSA ③ SRM ④ NTLM

문제 6. PAM 모듈 타입이 아닌 것은? ① auth ② account ③ session ④ access

문제 7. 윈도우 감사 정책 중 사용자가 파일 · 폴더에 접근한 사건 을 기록하려면 어떤 항목을 설정해야 하는가? ① 계정 관리 감사 ② 개체 액세스 감사 ③ 정책 변경 감사 ④ 시스템 이벤트 감사

문제 8. 침해사고 현장에서 수집할 때 휘발성 정보가 아닌 것은? ① 실행 중인 프로세스 목록 ② 현재 네트워크 연결 상태 ③ 보안 이벤트 로그 파일 ④ ARP 캐시

정답과 해설

---

부록 A. 스스로 확인하기

부록 B. 자주 하는 실수 · 함정

부록 C. AI · NotebookLM 복습 프롬프트

이 02번 노트만 근거로 4지선다 7문제를 내줘.
/etc/passwd·/etc/shadow 필드, utmp·wtmp·btmp·lastlog·pacct와 확인 명령, SAM·LSA·SRM, 감사 정책 항목은 반드시 포함해줘.
로그 발췌(last, lastb 출력)를 주고 해석하는 문제도 하나 넣어줘.
내가 답하면 채점하고, 오답은 노트 0절의 판별 축과 절 번호를 근거로 설명해줘.