요약: 두 증거 레인
세션 감사는 어떤 키·계정이 어떤 원본 IP에서 언제 인증에 성공하거나 실패했는지, 실패가 짧은 시간에 몰리지 않는지 같은 연결·신원 서사를 보여 줍니다. 근거는 sshd／sftp-server가 OS 로그 하위시스템에 남기는 이벤트입니다. macOS에서는 단일 평문 /var/log/auth.log 가정이 통하지 않고 Unified Logging 질의와 (선택) 전송 설계가 전제입니다.
바이트 검증은 공개 디렉터리 파일이 CI 산출과 일치하는지를 보여 줍니다. 무결성 가이드의 SHA256 매니페스트와 게이트가 해당합니다. 로그 없이도 해시가 맞으면 바이트는 설명되지만, 컴플라이언스와 사고 재구성에서는 두 레인을 함께 요구하는 경우가 많습니다.
이 글은 법무의 보존 기간 결정을 대체하지 않습니다. 보안·SRE에 넘길 재현 가능한 수집 템플릿, 변경 창, 우선순위를 엔지니어링 관점에서 정리합니다. 규제나 내부 감사에는 사용한 log show 인수, 시간 창, macOS 빌드 번호, 마스킹된 발췌 해시(선택)를 첨부하고 스크린샷만에 의존하지 않는 편이 좋습니다.
리전마다 predicate가 갈라지면 온콜에서 되묻기가 늘어납니다. 승인된 스니펫을 저장소로 관리하고 마이너 업그레이드마다 스모크 조회를 돌리세요. 통합 로그 외부 전송은 필드 최소화·식별자 마스킹을 법무·보안과 합의한 뒤에 진행합니다.
자주 막히는 지점
1 Finder만으로는 SFTP 전용 로그가 안 보인다. log show와 통제된 log stream으로 옮기고 sshd 프로세스·메시지 형태에 맞춘 predicate 템플릿을 고정합니다(OS 소버전에서 미세 조정 필요할 수 있음).
2 sftp-server에 성급히 DEBUG. Subsystem 행 변경 후 서비스가 불안정해진다는 보고가 있습니다. 스테이징／유지보수 창에서 검증하고 주석으로 즉시 되돌릴 절차를 둡니다.
3 keepalive 끊김을 침해로 오인. 먼저 동시 SFTP와 중간 박스 유휴 정책을 확인한 뒤 보안 티켓을 엽니다.
4 멀티테넌트 경계가 없으면 감사가 공회전. chroot와 SFTP 전용 계정을 먼저 두면 로그의 사용자명·경로에 업무 의미가 생깁니다.
5 CI 키 로테이션 변경 기록이 없다. OIDC·단명 키와 업로드 계정 매핑을 변경표에 남기고 CI 자격 증명을 참조합니다. 대화형 사용자와 무인 잡을 한 계정에 섞으면 통계가 왜곡됩니다.
6 디스크·inode를 로그가 압박. 24시간 진입점에서는 로그 로테이션과 SFTP 처리량을 같은 우선순위로 설계하지 않으면 「연결은 되는데 조사할 수 없는」 밤이 반복됩니다.
의사결정 매트릭스: 깊이 × 보존 위치 × 운용 비용
| 목표 | 접근 | 이점 | 주의 |
|---|---|---|---|
| 수시 트리아지 | 수동 log show 시간 창 | 변경 리스크 낮음 | 장기 아카이브 없음 |
| 감사 패키지 | 로컬 로테이션 파일 | 증거 첨부 용이 | 용량·마스킹 작업 |
| SOC 상관 | syslog／에이전트 전송 | 다소스 결합 | 보안 심사·네트워크 |
| DIY 축소 | 관리형 진입 호스트 | 부품 수 감소 | 벤더 평가 |
먼저 무엇을 증명할지 정한 뒤 깊이를 고릅니다. SIEM 선택 시 Apple 타임스탬프와 여러 줄 sshd 레코드를 깨지 않는 파서인지 확인하세요.
절차 스켈레톤（How-to）
# 최근 1시간 sshd 관련(predicate는 OS에 맞게 조정)
log show --last 1h --style compact --predicate 'processImagePath CONTAINS "sshd"'
# 실패만 예시(키워드는 환경에서 정제)
# log show --last 24h --predicate 'processImagePath CONTAINS "sshd" AND eventMessage CONTAINS "Failed"'
# 장기 보존은 수동 복사 대신 daemon／SIEM 에이전트＋마스킹
# sshd_config Subsystem sftp 행 변경 전: 백업, 검증, 롤백
# CI에서 SHA256 매니페스트 생성→업로드 후 원격 검증(무결성 가이드)
# 조회한 시간 창, predicate, (선택) 샘플 행 해시를 티켓에 남김
명령은 교육용 골격입니다. 프로덕션은 권한과 사내 정책을 따르세요.
티켓에 적을 관측 항목
원본 IP, 대상 호스트명, 계정 또는 프린시펄, 인증 방식 요약, UTC 타임스탬프, 성공／실패 사유, 릴리스 build_id 연계를 표준화합니다. 보존 기간은 법무가 결정하고 엔지니어링은 구현 가능성·샘플링 비율을 제시합니다.
사고 대응 중 대량보내기 전후로 여유 공간을 스냅샷해 복구 중 디스크 고갈을 피합니다. 분기마다 또는 macOS 업데이트 후 predicate를 재검토해 메시지 형태 변화를 따라갑니다. 체크섬 실패와 인증 타임라인을 나란히 두면 잘못된 파이프라인 키와 외부 침해 가설을 더 빨리 가릅니다.
FAQ 및 호스팅 원격 Mac
통합 로그로 실시간 알람을 걸 수 있나요?
스트림과 규칙 설계가 별도로 필요합니다. 본문은 계층 판단과 수동 재현 베이스에 초점을 둡니다.
VPN 로그가 sshd를 대체하나요?
둘 다 있어야 경로 재구성이 쉽습니다. 바스티온과 내부 sshd를 분리해 보관합니다.
로그에 파일 내용이 나오나요?
보통 아닙니다. 콘텐츠 수준은 비즈니스 해시와 릴리스 게이트에 둡니다.
정리: 세션 증거는 Unified Logging 규율로, 바이트 증거는 체크섬 게이트로 병행합니다. 계정과 CI 비밀을 맞추고 verbosity 변경은 신중히.
한계: 자체 운영은 sshd·로그·용량·컴플라이언스를 동시에 짊어집니다. SFTPMAC 호스팅 원격 Mac은 암호화 진입과 운영 노하우를 묶어 심야 predicate 학습 비용을 줄입니다.
플랜과 리전을 확인하고 원격 Mac 전송 진입과 배포 정책을 한 줄로.