LogCenter UseCase No.2
From 컴플라이언스 & 클라우드컴퓨팅 기업 이너버스
SANS Top 5 Essential Log Reports에서 제시하는 보고서로 변경에 대한 관리(Unauthorized Changes to Users, Groups and Services)가 있습니다.
사용자 계정이나 그룹에 대한 변경 또는 시스템의 서비스에 대한 변경은 시스템이 이미 침투되었다는 것을 나타낼 수가 있습니다. 이런 변경에 대한 로그는 모든 다른 방어수단들이 이미 무력화되어 침투가 발생했다는 사실을 알 수 있는 마지막 표식일 수도 있습니다.
이 내용이 왜 중요할까요?
시스템이 무력화되면 공격자는 다음에 다시 원할 때에 그 시스템에 접속하기 위해서 상위 레벨의 권한을 가진 사용자 계정을 생성하는 경우가 드물지 않습니다. 그리고 이러한 무력화된 시스템에서는 실행중인 프로세스의 변경이 발생하기도 하는데요. 예를 들어 공격자가 시스템의 방화벽을 해제하거나 시스템의 접근사실을 숨길 수 있는 특정 프로세스를 실행할 수도 있습니다.
LogCenter에서는 이런 경우를 어떻게 관리할 수 있을까요?
- LogCenter에서는 시스템에서 발생한 그룹이나 계정의 생성/변경 뿐만 아니라 네트워크 장비나 네트워크계층 보안장비 등에서 발생하는 변경이벤트를 분류하고, 종합하여 관리자가 확인할 수 있도록 해줍니다.
