윈도우 운영체체 보안 이벤트

Photo by Ed Hardie on Unsplash

윈도우 시스템 점검 시 각종 애플리케이션 로그와 함께 점검하는 중요한 로그가 이벤트 로그다. 시스템점검 시 초기에 파일로 수집하는 항목 중 하나이기도 하다.

일반적으로 이벤트 로그를 점검하는 방법은 점검 대상 시스템의 로그를 파일로 저장(확장자 evt)해 점검 PC에서 불러와 분석 한다. 점검 과정에서 발생할 변경 사항을 최소화 하고, 원본 파일 손상을 막기 위해 위와 같은 방식으로 점검 한다.

Windows Server 로그란 무엇인가요? 다음 표에는 몇 가지 기본 제공 이벤트 뷰어 로그가 나와 있습니다. https://learn.microsoft.com/ko-kr/training/modules/manage-monitor-event-logs/2-describe-windows-server-event-logs

다음 표에는 몇 가지 기본 제공 이벤트 뷰어 로그가 나와 있습니다.

기본 제공 로그	설명 및 사용
애플리케이션 로그	이 로그에는 Microsoft Exchange Server, SMTP(Simple Mail Transfer Protocol) 서비스 및 기타 애플리케이션과 같은 앱의 작업과 관련된 오류, 경고 및 정보 이벤트가 포함됩니다.
보안 로그	이 로그는 사용하도록 설정한 경우 감사 결과를 보고합니다. 감사 이벤트는 이벤트에 따라 성공 또는 실패를 보고합니다. 예를 들어 로그는 사용자가 파일에 액세스할 수 있는지 여부에 따라 성공 또는 실패를 보고합니다.
설정 로그	이 로그에는 애플리케이션 설정과 관련된 이벤트가 포함됩니다.
시스템 로그	Windows 구성 요소 및 서비스는 일반 이벤트를 기록하고 오류, 경고 또는 정보로 분류합니다. Windows 운영 체제는 시스템 구성 요소가 기록하는 이벤트를 미리 결정합니다.
전달된 이벤트	이 로그는 Windows 구성 요소가 원격 컴퓨터에서 수집하는 이벤트를 저장합니다. 원격 컴퓨터에서 이벤트를 수집하려면 이벤트 구독을 만들어야 합니다.

예를 들어 다음 스크린샷은 서버 컴퓨터에 대한 시스템 이벤트 로그를 표시합니다. 관리자가 NntpClient와 관련된 경고 이벤트를 선택했습니다.

그림 윈도우 이벤트 뷰어[1]

애플리케이션 로그와 마찬가지로 이벤트 로그에 대한 기본적인 형식과 각 항목에 대한 이해가 있으면 좀더 효율적으로 분석 작업이 가능하다. 특히 이벤트 로그의 경우 이벤트 ID별로 각각이 의미하는 내용이 다르기 때문이다.

참고자료: 부록L – 모니터링할 이벤트 | Microsoft

윈도우 계열 시스템의 침해사고 분석을 위해서는 기본적으로 Windows Server 제품군의 기본 이벤트 로그 3가지에 대해서 이해가 필요하다. 운영 체제를 실행하는 컴퓨터는 다음과 같은 세 가지 종류의 로그에 이벤트를 기록한다. 사용자의 로그인 성공/실패를 기록하는 보안 로그, 시스템 구동 중에 발생되는 응용프로그램의 오류 및 특이 사항을 기록하는 응용프로그램, 드라이버 충돌 및 오류관련 로그를 기록하는 시스템 로그 총 3개의 이벤트 로그를 기록 한다.

로그종류	설명
응용 프로그램 로그	응용 프로그램 로그에는 응용 프로그램이나 프로그램에서 기록한 이벤트가 포함 된다. 예를 들어 데이터베이스 프로그램에서 응용 프로그램 로그에 파일 오류를 기록할 수 있다. 로그할 이벤트는 응용 프로그램 개발자가 결정 한다.
보안 로그	보안 로그에는 파일이나 다른 개체 만들기, 열기 또는 삭제 등의 리소스 사용과 관련된 이벤트뿐만 아니라 올바른 로그온 시도 및 잘못된 로그온 시도와 같은 감사 이벤트가 기록 된다. 예를 들어 로그온 감사를 사용하는 경우 시스템에 로그온하려는 시도가 보안 로그에 기록 된다.
시스템 로그	시스템 로그에는 Windows 시스템 구성 요소에서 기록한 이벤트가 포함 된다. 예를 들어 시스템을 시작하는 동안 드라이버나 다른 시스템 구성 요소의 로드에 실패하면 시스템 로그에 기록 된다. 시스템 구성 요소가 기록하는 이벤트 유형은 서버에 의해 미리 정해져 있다.

표 윈도우 기본 이벤트 로그

언급한 로그 외에도 사용 프로그램이나 환경에 따라 이벤트 로그에 추가적으로 다른 종류의 로그가 생길 수 있다. 예를 들어 윈도우 운영체제에 디렉터리 서비스를 운영하거나 파일 복제 서비스(파일서버)를 운영할 경우 해당 로그가 추가적으로 발생된다.

디렉터리 서비스 로그	디렉터리 서비스 로그에는 Windows Active Directory 서비스에서 기록한 이벤트가 포함 된다. 예를 들어 서버와 글로벌 카탈로그 사이의 연결 문제는 디렉터리 서비스 로그에 기록 된다.
파일 복제 서비스 로그	파일 복제 서비스 로그에는 Windows 파일 복제 서비스에서 기록한 이벤트가 포함 된다. 예를 들어 도메인 컨트롤러가 시스템 볼륨 변경 정보로 업데이트되고 있는 동안 발생하는 파일 복제 실패와 이벤트는 파일 복제 로그에 기록 된다.
DNS 서버 로그	DNS 서버 로그에는 Windows DNS 서비스에서 기록한 이벤트가 포함 된다.

표 윈도우 추가 이벤트 로그

윈도우 이벤트 로그는 Windows를 시작할 때 이벤트 로그 서비스가 자동으로 시작 된다. 또한 이벤트 로그에 대해 접근 권한을 설정할 수 있어서 그룹정책 편집기(gpedit.msc)를 이용해 이벤트 로그에 대한 엑세스 사용 권한을 설정 할 수 있다. 로그 훼손을 막기 위해 사용하면 좋다.

리눅스 운영체제 보안 이벤트

윈도우와 마찬가지로 리눅스도 여러 종류의 로그가 존재한다. OS에 의해 발생되는 로그는 물론 애플리케이션에 의해 로그가 발생하는 것은 유사하다. 일반적인 로그 종류를 살펴보면 다음과 같다.

구분	경로
주요로그디렉터리	/var/adm /var/log
주요로그파일	/var/log/wtmp, /var/run/utmp, /var/log/btmp, /var/log/pact, /var/log/messages, /var/log/lastlog, /var/adm/lastlog, /var/adm/sulog

표 리눅스 주요 로그

로그 종류는 운영환경과 사용중인 애플리케이션에 따라 일부 항목은 차이가 발생할 수 있다.

최근 인공지능을 활용한 다양한 시도가 이뤄지고 있다. 사고분석 업무에도 인공 지능을 활용한 시도가 많이 이뤄지고 있다.

보안 분석가로서 최대한 공격 정보를 분석하고 확인하는 과정은 중요한 업무 핵심 요소 이지만 제한된 시간에 분석 업무를 진행하는데 한계가 있다. 보안 사고 분석 과정에 인공 지능을 활용하면 업무 효율성 증가가 예상 된다. 챗GTP를 이용해서 간단한 실험을 하려고 한다.

분서가는 분석 과정에서 다양한 시나리오를 이용해서 로그 분석을 진행 한다. 사전식 대입 공격 사례를 예로 들어 보자. 공격자의 공격 시도를 찾기 위해 인증 실패한 로그를 찾아야 한다.

다양한 보안툴을 이용하면 실시간 로그 수집을 통해서 해당 정보를 활용할 수 있다. 챗 GPT를 활용해서 보안 분석가에게 도움이 되는 방법을 실험해 보자.

로그에서 사용자 인증 실패한 로그를 찾아야 하는데 스크립트를 이용해서 찾는 방법을 물어보고 스크립트를 이용해서 인증 실패 로그를 찾는데 생성형 AI를 활용할 수 있다.

두번째는 윈도우 사용자 계정 분석에 필요한 스크립트 제작을 실험해 보자. 사고 분석 과정에서 공격자는 시스템 접속에 사용할 계정을 임의로 추가하기도 한다. 이를 확인하기 위해 특정 기간 동안 새로 생성된 사용자 계정을 검색하는 스크립트를 활용해 본다.

해킹이 인지된 시점으로 최근에 추가된 사용자 계정이 있는지 분석하는 시나리오 입니다. 윈도우 보안 이벤트 로그에 관련 로그가 남아 있는지 분석 합니다. 필요한 조건은 다음과 같습니다.

• 사고 시점을 전후로 추가된 사용자 계정 점검
• 특정 기간을 조건으로 사용자 추가 분석
• 윈도우 보안감사 로그 검색

챗GPT를 이용해서 검색에 필요한 스크립트를 확인해 보겠습니다.

유투브 영상 링크 – https://youtu.be/Yt3VGU-3kp4?feature=shared

---

[1] https://learn.microsoft.com/ko-kr/training/modules/manage-monitor-event-logs/2-describe-windows-server-event-logs