리눅스 로그 분석으로 침입 흔적을 찾을 수 있나요?

리눅스 침입 흔적 확인 체크리스트:

# 1. 로그인 기록
last -50              # 최근 로그인
lastb -50             # 실패한 로그인 시도
cat /var/log/auth.log | grep "Failed password"

# 2. 의심스러운 프로세스
ps auxf              # 프로세스 트리
netstat -tulnp       # 열린 포트와 프로세스
lsof -i              # 네트워크 연결

# 3. 최근 수정된 파일
find / -mtime -3 -type f 2>/dev/null
find /tmp /dev/shm -type f  # 악성코드가 자주 숨는 곳

# 4. 크론잡 확인
crontab -l
ls -la /etc/cron.*
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u $u 2>/dev/null; done

# 5. 숨김 파일/디렉토리
find / -name ".*" -type f 2>/dev/null | head -50

# 6. 히스토리
cat ~/.bash_history

의심되면 즉시 네트워크 분리 후 분석하세요. 가능하면 디스크 이미지를 떠서 별도 환경에서 분석하는 것이 좋습니다.

예, 포맷을 권장합니다. 침입자가 뭘 했는지 100% 파악하기 어렵고, 백도어가 남아있을 수 있습니다.

대응 순서:

1. 디스크 이미지 백업 (증거 보존)
2. OS 재설치
3. 최신 보안 패치 적용
4. 깨끗한 백업에서 데이터 복원
5. 모든 패스워드/키 변경
6. 침입 경로 파악 후 보안 강화

로그 정리해서 끝내면 안 되고, 깨끗하게 다시 시작하는 게 맞습니다.