CASE #0241 · 비정상 파일 접근 분석
사건 복원 결과
타임라인 183건 · 관계 8개를 종합하여 최종 사건 흐름을 복원 · 2026-09-08 02:14 생성
위험도
HIGH
유형: 데이터 유출 · 계정 도용
분석 신뢰도
92%
5단계 흐름 중 4단계 고신뢰
근거 이벤트
24/ 183건 중
증거 보관함 보존 완료
복원 완료
02:14
분석 소요 41분 · 자동 + 검수
01
계정 침해 시작LOGIN21:03:12신뢰도 95%
admin 계정이 최초 등장 IP 203.0.113.42에서 SRV-DB-01에 로그인. 정상 관리자의 접속 기록 없음.
E-001E-014
02
백업 파일 접근FILE ACCESS21:04:37신뢰도 90%
백업 파일 config_backup.zip에 접근하고 작업용 숨김 파일 .cache_84d2 생성.
E-021
03
데이터 유출EXTERNAL CONNECTION21:06:21신뢰도 92%
198.51.100.77:8443으로 72.4 MB 업로드. 사건 내 최대 전송이며 평시 대역 외 트래픽.
E-022E-031
04
흔적 은닉 준비FILE MODIFICATION21:07:03신뢰도 84%
백업 파일 재압축(312 MB → 84 MB)으로 원본 상태 변경. 유출 후 사후 정비 흔적.
E-028
05
증거 삭제 시도FILE DELETION21:08:51 ~ 21:09:34신뢰도 88%
숨김 파일 .cache_84d2 삭제 및 auth.log 조작 시도. 원격 복제본으로 로그 복원되어 실패.
E-035E-041
주요 발견 사항
비인가 IP에서 관리자 계정 사용
admin 계정 최근 90일 이력에 없던 203.0.113.42에서 로그인 · 계정 도용 판단 근거
정기 백업 파일 무단 수정 및 유출
백업 시간대 외 config_backup.zip 수정 · 직후 대규모 외부 전송 발생
사건 내 최대 외부 전송 72.4 MB
198.51.100.77로 암호화 채널(TLS 1.3) 사용 · 일반 업무 통신과 구분됨
활동 흔적 삭제 시도
숨김 파일 삭제 후 auth.log 조작 시도 · 원격 복제본으로 복원되어 증거 확보 성공
종합 평가
판정: 계정 도용 기반 데이터 유출
수집된 로그 4종을 시간순·관계 기준으로 교차 검증한 결과, 관리자 계정 탈취 후 백업 데이터를 외부로 유출하고 흔적을 제거하려 한 일련의 과정으로 복원되었습니다. 유출 경로는 암호화 채널로 확인되며, 흔적 삭제가 실패하여 전 구간의 근거가 확보되었습니다.
권고 조치
admin 계정 즉시 잠금 · 자격증명 초기화긴급
203.0.113.42 네트워크 차단긴급
SRV-DB-01 백업 무결성 검사권장
SSH 비정상 접속 알림 정책 강화검토
근거 구성
검수: 이도현 · 보안관제팀 2급 · 2026-09-08 02:20 승인
TRACE v2.4.1 · 본 화면은 가상 시나리오 데이터로 구성된 와이어프레임입니다.