/etc/shadow 파일에 저장된 암호 해시 덤프 시 탐지합니다.
개요
| 유형 | 실시간 탐지 |
|---|---|
| MITRE 기술 | T1003.008 OS Credential Dumping: /etc/passwd and /etc/shadow |
| MITRE 전술 | TA0006 Credential Access |
쿼리
1| search contains(cmd_line, "/etc/shadow") and match(cmd_line, "\\bcat\\s+/etc/shadow\\b")
명령줄을 통해 /etc/shadow 파일에 저장된 암호 해시 덤프 시 탐지합니다.
와일드카드 매칭과 정규표현식을 함께 사용하여 단어 경계(\b)로 시작하고 공백(\s)이 뒤따르는 실제 /etc/shadow 파일을 정확하게 식별합니다.
위협 분석
- 공격자가 권한 상승(Privilege Escalation) 후 비밀번호 해시를 탈취하려는 시도일 수 있습니다.
- 탈취한 해시는 John the Ripper, Hashcat 등의 도구로 오프라인 크래킹하여 평문 비밀번호를 획득할 수 있습니다.
오탐 유형
- 시스템 관리자의 정상적인 계정 관리 또는 보안 감사 작업에서 탐지될 수 있습니다. 이 경우에는 예외 조건을 추가하여 오탐을 방지합니다.
- 예시: 보안팀의 설정 점검, 운영팀의 계정 상태 확인
대응 방안
- 실행 사용자의 권한 및 정당성을 확인합니다.
- 해당 시스템에서 선행된 권한 상승 시도 여부를 조사합니다.
- shadow 파일 내용의 외부 전송(scp, curl 등) 시도 여부를 확인합니다.
- 비인가 접근 확인 시 해당 계정을 즉시 격리하고, 시스템 전체 비밀번호 변경을 검토합니다.