AccessScope

액세스 로그 진단 도구

서버 로그에서 공격 시도를 근거와 함께 찾아내는 진단 도구입니다. RoamSwitch에 동봉되는 별도의 도구(Mac / Linux)입니다.

할 수 있는 일

로그에서 공격 시도를 찾아 근거 행을 보여 줍니다
이 단말의 로그를 자동으로 찾습니다
종합 위험도와 탐지 목록을 보고서로 정리합니다
제외 규칙과 이전 진단과의 비교로, 확인할 건수를 줄일 수 있습니다

읽을 수 있는 로그

ApachenginxCaddyTraefikHAProxyAWS ALB・CloudFrontSSH・sudo・PAM메일데이터베이스fail2banDockermacOS 통합 로그

Docker 컨테이너의 로그도 읽기만 하는 방식으로 조사할 수 있습니다(사용할 때 확인 화면이 나옵니다)

결과 활용

보고서는 Markdown, JSON, SARIF, CSV로 내보낼 수 있습니다
탐지된 IP의 차단 목록을 내보낼 수 있습니다(목록을 쓸 뿐 차단은 하지 않습니다)
자사 IP 등은 이유를 붙여 제외할 수 있습니다
이전 진단과 비교해, 새로운 탐지만 알려 줍니다

안전 설계

수신 포트를 열지 않습니다. 로그는 읽기만 하고 바꾸지 않습니다
권한을 올리지 않고, 지금 읽을 수 있는 범위만 읽습니다
로그에서 온 문자열은 화면에 텍스트로만 표시합니다
통신하는 것은 선택한 LLM과, 버튼을 눌렀을 때의 Mac 업데이트 확인뿐입니다

한계

로그에 남은 사실만이 근거입니다. 탐지가 없다는 것이 안전의 증명은 아닙니다
탐지는 시도가 있었다는 뜻이며 공격이 성공했다는 증거는 아닙니다. User-Agent 등은 위장할 수 있습니다
여러 로그에 걸친 연쇄와 평소와의 차이는 경험칙이며, 놓치거나 오탐할 수 있습니다

명령으로 사용하기

accessscope scan --auto --since 7d --report report.md

찾아내는 것

웹 공격: SQL 인젝션경로 탐색XSS명령 주입알려진 취약점(CVE)SSRF
로그인 무차별 대입: 웹 로그인SSH메일데이터베이스여러 IP의 시도
탐색·스캔: .env 등의 탐색공격 도구존재하지 않는 경로의 연속
웹 셸·성공 의심: 웹 셸로 보이는 접근실패가 이어진 뒤의 성공
여러 로그에 걸친 연쇄: 같은 주소가 웹과 SSH에 출현정찰에서 공격으로의 흐름
평소와의 차이: 낯선 접속원의 로그인새로운 User-Agent새로운 경로
그 밖: 대량의 요청·전송크롤러 사칭로그에 심어 둔 AI 지시

자체 시험 데이터로 측정한 값입니다. 공격 탐지는 약 99%, 정상 트래픽에서 중간 이상 탐지가 나온 것은 약 2%였습니다. 실제 서버에서의 보증은 아닙니다.

화면 예시

AccessScope의 「로그 진단」 화면. nginx, Apache, SSH, Docker의 로그가 발견되었고 「진단」 버튼이 표시되어 있습니다 — 로그를 찾아 고르고 진단합니다

진단 결과 대시보드. 종합 위험도 게이지, 심각도별 건수, 분류별 발생 건수, 시간별 추이가 표시되어 있습니다 — 종합 위험도와 분류별 건수

탐지 목록. SQL 인젝션, 여러 로그에 나타난 같은 주소, 낯선 접속원에서의 SSH 로그인에 대해 근거 로그 행과 이유가 표시되어 있습니다 — 근거 로그 행과 이유를 읽을 수 있습니다

실제 화면에 예시 데이터를 넣어 표시한 것입니다. IP 주소 등은 모두 가상입니다.

LLM에 의한 분석(선택, 기본값은 꺼짐)

전달하는 것은 요약과 근거 로그 행(1건당 몇 줄)뿐입니다. 원본 로그는 전달하지 않습니다
비밀(키·토큰·비밀번호 등)은 가림 처리합니다. 보내기 전에 내용 전체를 확인할 수 있습니다
「LLM으로 로그 찾기」는 파일 이름과 위치만 전달하며, 내용은 전달하지 않습니다
켜면 내용이 선택한 LLM의 서비스로 전송됩니다. RoamSwitch의 「Zero Telemetry」 설명에 이 기능은 포함되지 않습니다
꺼 둔 상태라면 진단 내용이 단말 밖으로 나가는 일은 없습니다. root에서도 LLM을 실행할 수 있지만 LLM이 root 권한으로 동작하므로 권한 없는 일반 사용자로 실행하기를 권합니다(화면 앱은 root로 실행 중일 때 설정에 주의 문구를 표시합니다)

입수

Mac은 RoamSwitch의 DMG에 들어 있습니다(앱과 명령. macOS 12 이상)
Linux는 RoamSwitch의 deb / rpm / tarball에 들어 있습니다(Server Edition은 명령만)
Mac의 앱 내 업데이트는 버튼을 눌렀을 때만 lafine.net에 접속하며, 서명을 확인한 뒤 설치합니다
RoamSwitch와는 별개의 도구이며 라이선스는 Apache License 2.0입니다(RoamSwitch EULA의 대상 외)

단말에 저장하는 것은 찾아낸 로그의 목록(discovered.json), 이전 진단과의 비교에 쓰는 상태 파일, 제외 규칙(suppress.toml)입니다. 외부로는 전송하지 않습니다. 자세한 내용은 개인정보 처리방침을 확인해 주세요.

Mac용(RoamSwitch) 다운로드 Linux용(RoamSwitch) 설치