[24편] 서버에서 한 작업을 다시 재생해봤다 — QueryPie 세션 녹화

지난 글에서는 서버의 rm 명령을 제한하고 감사 기록까지 확인했다. 기록에는 누가 어떤 명령을 입력했고, 그 명령이 차단됐는지가 남아 있었다. 이번에는 그때 사용했던 터미널 화면을 다시 열어 봤다.

QueryPie의 Session Logs에서 작업 세션을 골라 재생하니, 접속 당시 화면과 명령 결과가 다시 나타났다. 삭제 명령이 막힌 순간으로 이동하고, 그 뒤에 파일을 확인했던 과정도 볼 수 있었다. 특히 명령 감사에서 해당 시점의 녹화로 바로 연결되는 기능이 편했다.

종료된 작업 세션을 찾았다

관리자 화면의 Audit → Servers → Session Logs를 열고 Demo Developer를 검색했다. 앞선 SSH 실습 두 건이 목록에 있었다. 사용자와 역할, 서버 계정, 접속한 서버를 함께 볼 수 있었다.

이번에 열어 볼 기록은 03:57:38에 접속한 세션이었다. Operations Lab Operator 역할로 SSH Operations Lab에 들어가 labops 계정으로 작업한 기록이다. 22편에서 켜 둔 sessionRecording 설정을 23편에서도 그대로 사용했다.

재생을 누르니 접속 당시 화면이 나타났다

목록에서 접속 시각을 클릭하자 Session Record 창이 열렸다. 사용자는 Demo Developer, 기록 이름은 labops_20261109_035738이었다. 재생 길이는 2분 34초로 표시됐다.

재생 버튼을 누르니 시간이 흐르면서 Ubuntu 접속 안내와 labops 프롬프트가 나타났다. 아래쪽에는 녹화 안에서의 재생 시간과 실제 작업 시각인 Action Time이 따로 표시됐다.

명령을 다시 실행하는 과정 없이, 이미 끝난 작업을 관리자 화면에서 살펴볼 수 있었다. 실제 작업 시각이 함께 나와 감사 기록의 시간을 대조하기도 쉬웠다.

삭제 명령이 막힌 순간으로 이동했다

시간 막대를 눌러 rm 명령을 입력했던 구간으로 이동했다. 1분 51초 부근에서 멈추니 whoami와 pwd, 파일 조회 결과 아래에 삭제 명령과 [QueryPie] Restricted 메시지가 보였다.

일시정지한 상태에서는 시간이 더 진행되지 않았다. 앞뒤로 이동하며 필요한 화면을 볼 수 있어, 처음부터 끝까지 기다리지 않고 확인하려던 장면을 찾을 수 있었다.

차단 뒤에 이어진 작업도 볼 수 있었다

뒤쪽 구간에서는 같은 파일을 ls로 다시 확인하고 cat으로 읽는 장면이 나왔다. 파일 크기는 131바이트였고, 실습용 파일에 넣어 둔 두 줄의 문장도 보였다.

감사 목록에서는 rm이 차단됐다는 사실을 확인했다면, 녹화에서는 그 뒤에도 사용자가 연결을 유지하며 파일을 확인한 모습을 볼 수 있었다. 작업 결과를 설명할 때 필요한 앞뒤 상황이 함께 남아 있는 점이 좋았다.

명령 감사에서 해당 시점으로 바로 열 수 있었다

이번에는 Command Audit로 돌아가 차단된 rm 기록을 열었다. 상세 화면의 Session Log 항목에 Replay가 있었다. 이 링크를 눌러 같은 녹화를 다시 열었다.

재생 위치가 처음부터 시작하지 않았다. 1분 47초 지점이 선택됐고, Action Time은 감사 기록의 실행 시각과 같은 03:59:26이었다. 재생을 누르니 삭제 명령이 제한된 장면을 바로 이어서 확인할 수 있었다.

감사 목록에서 살펴볼 명령을 찾은 다음, 상세에서 Replay를 누르면 됐다. 세션 목록을 다시 검색하거나 긴 녹화에서 시간을 따로 맞추는 수고가 줄었다. 명령 기록과 당시 화면을 함께 보니 어떤 일이 있었는지 파악하기가 한결 쉬웠다.

이번에는 이미 끝난 서버 작업을 다시 확인하는 데 집중했다. 누가 접속했는지, 어떤 명령을 입력했는지, 화면에 어떤 결과가 나왔는지를 QueryPie 안에서 따라갈 수 있었다. 작업 후에 문의가 들어오거나 감사 자료를 확인할 때, 담당자의 기억에만 기대지 않고 기록된 화면을 함께 볼 수 있다는 점이 마음에 들었다.

이번 실습은 QueryPie Community 11.6.7에서 명령 감사와 세션 녹화를 켠 웹 SSH 접속으로 진행했다.

참고: Session Logs · Command Audit