시험 직전 요약장

정상 상태의 파일 해시·권한·소유자 등의 정보를 기준선으로 보관하고 현재 상태와 비교한다. AIDE와 Tripwire는 이런 파일 무결성 검사에 사용하는 대표 도구다.

정상 상태 확인 → 기준선 생성·보호 → 현재 파일과 비교↓변경 발견 → 원인과 승인 여부 확인

해시가 다르면 내용이 변경된 것이다. 그러나 정상 패치나 설정 변경도 해시를 바꾸므로 악성 변경 여부는 별도로 판단한다. 해시는 누가 왜 바꿨는지 직접 알려주지 않는다. 감사 기록은 변경 주체와 행위를 추적하는 데 도움을 준다.

공격자가 대상 파일과 기준선까지 함께 바꾸면 비교의 신뢰성이 무너진다. 기준선은 별도로 보호하고 승인된 변경을 확인한 뒤에만 갱신한다. 파일 크기와 수정 시각이 같아도 내용은 다를 수 있다.

전체 맞춤원본 크기새 창 보기

예를 들어 ‘authpriv의 warning’은 인증 관련 출처의 경고 메시지다. authpriv 자체가 가장 높은 긴급도를 뜻하지 않는다. 프로그램이 부여한 수준과 실제 보안 영향도 구분해야 한다.