> For the complete documentation index, see [llms.txt](https://h08.gitbook.io/undefined/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://h08.gitbook.io/undefined/custom-rule-and-active-response/3./3.1.md).

# 3.1 중요 키 파일 접근 탐지

## 1. 개요 

* 서버 내부에 저장되어 있는 핵심 프라이빗 키 파일 WHSKey.pem을 비인가 사용자가 무단으로 읽거나 복사하려는 시도를 탐지

***

## 2. 룰 

### 200100

```xml
<group name="audit,access,security">
  <rule id="200100" level="10">
    <if_sid>80700</if_sid>
    <match>/home/ubuntu/WHSKey.pem</match>
    <description>Access to PEM key file detected</description>
    <mitre>
      <id>T1552.004</id>
    </mitre>
  </rule>
</group>
```

***

## 3. 환경설정

### 3.1 Manager

* 위 xml 탐지룰 설정

### 3.2 Agent

* 감사 규칙 추가&#x20;

  ```bash
  sudo auditctl -w /home/ubuntu/WHSKey.pem -p r -k pem-read
  ```

  * `auditctl` 또는 `audit.rules`) 중요 키 파일에 대한 읽기 권한 접근을 감시하도록 설정
  * -w : 감시할 파일 경로 지정
  * -pr : 감시할 권한 유형
  * -k : 식별 태그 설정 (keyword)

***

## 4. 작동원리

1. 비인가 접근 시도

* 공격자가 `cat /home/ubuntu/WHSKey.pem` 등의 명령어를 사용하여 중요 키 파일의 내용을 확인하려 함

2. 커널 레벨 감지 (Auditd)

* 리눅스 커널에 설정된 Auditd가 해당 파일에 대한 읽기 시스템 콜을 즉시 포착

3. 로그 기록

* Auditd는 `/var/log/audit/audit.log`에 이벤트를 기록
* 로그에는 접근한 파일명(`name="WHSKey.pem"`), 접근 유형(`type=PATH`), 실행한 사용자(`ouid`) 등의 상세 정보포함

4. Wazuh 수집 및 경보

* Wazuh Agent가 실시간으로 로그를 읽어 Server로 전송한다.
* Server는 룰 200100과 매칭되는 문자열을 확인하고, 대시보드에 기록된다

<figure><img src="https://3550524140-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FMQqlpxjtA7kpPBgieO9x%2Fuploads%2FSHlfubHqkqvH1lmUYR3g%2Fimage.png?alt=media&amp;token=f5e07eaf-5058-4948-bc19-4c2be9c47888" alt=""><figcaption></figcaption></figure>