보안 업무 인계

01무엇이고, 어떤 일을 하나

• 발견 사항을 장비·서비스·로그·정책의 구체적 변경으로 연결한다.
• 탐지 규칙의 입력 형식과 기대 결과를 합의한다.
• 변경 후 동일 조건으로 재시험하여 효과와 부작용을 확인한다.

02어떤 순서로 동작하나

1. 자산·흐름 파악

   보호할 서비스와 정상 트래픽, 관측 위치와 팀별 관리 구간을 확인한다.

2. 시험 조건 정의

   검증할 행위, 대상, 전제 조건과 예상 로그·경보를 정한다.

3. 관찰 자료 수집

   센서·서버·네트워크의 시간과 식별자를 맞춰 실제 수신·탐지 여부를 확인한다.

4. 정책 명세

   출발지·목적지·방향·프로토콜·포트·행위 조건과 적용 위치·예외·소유자를 적는다.

5. 적용 후 재시험

   동일 시나리오와 정상 요청을 비교해 차단·탐지·업무 영향, 오탐과 미탐을 확인한다.

6. 인계와 운영

   룰 버전·증적·변경/복구 절차·알려진 한계를 전달하고 수신 담당자가 재현하는지 확인한다.

03먼저 알아둘 용어와 구성요소

Red Team

허가된 범위에서 공격자의 관점으로 방어 능력을 검증하는 역할이다.

Blue Team

자산 보호, 모니터링, 탐지와 대응을 수행하는 방어 역할이다.

Purple Team

공격 검증과 방어 관찰을 연결하여 통제를 개선하는 협업 활동이다.

탐지 커버리지

어떤 자산·행위·공격 시나리오를 관측하고 탐지할 수 있는지 나타내는 범위이다.

04예제로 따라가기

• 가상 시험 계약: 격리된 학습용 입력으로 같은 30초 구간의 로그인 실패 5건과 정상 2건을 준비한다. 예제 규칙은 이 구간의 실패 5건 이상일 때 경보 1건을 생성한다고 정한다.
• 송신·수집 확인: 원천 7건과 수집 7건을 시험 ID로 맞춘다. 단순 서비스 up 상태 대신 실제 시험 이벤트가 어느 경계까지 도착했는지 확인한다.
• 파싱 경계 관찰: 가상 결과에서 실패 1건의 시각 형식을 파서가 거부하여 정상화된 이벤트는 6건, 실패는 4건이라고 가정한다.
• 탐지 결과 해석: 규칙 입력에는 실패 4건뿐이므로 경보가 없는 것이 규칙 계약과 일치한다. 이 단계에서 임계값을 낮추면 파서 누락의 원인을 가릴 수 있다.
• 수정 후 같은 입력 재시험: 시간 형식 처리를 보완해 정상화된 7건과 실패 5건을 확인하고 기대 경보 1건이 생성되는지 본다. 정상 2건이 실패로 분류되지 않았는지도 함께 확인한다.
• 인계 완료: 오류 표본·파서 버전·룰 버전·중복/지연 처리·재현 절차를 전달한다. 받는 팀이 같은 기대 결과를 재현한 뒤 인계를 종료한다.

05혼동하기 쉬운 점과 확인 기준

• 활성 버전 대조: 작성한 규칙, 서버에 복사한 규칙, 실제 프로세스가 읽은 규칙 버전을 구분한다. 배포 성공 메시지와 활성 정책이 같은지 확인한다.
• 입력 위치 대조: 암호화 전·후, NAT 전·후, 프록시 앞·뒤의 관찰 필드는 다를 수 있다. 센서에서 볼 수 없는 값을 탐지 조건으로 요구하고 있지 않은지 확인한다.
• 중복과 재처리: 재전송·재수집으로 같은 사건이 여러 번 들어오면 횟수 임계값이 달라질 수 있다. 원천 ID·중복 키·재처리 정책을 같은 계약으로 맞춘다.
• 지연과 시간창: 이벤트가 늦게 도착할 때 발생 시각과 수집 시각 중 무엇으로 창을 계산하는지 확인한다. 한 팀의 정상 전송과 다른 팀의 창 만료가 동시에 성립할 수 있다.
• 검증의 두 방향: 검증용 행위를 탐지하는 것과 정상 업무를 계속 허용하는 것을 모두 시험한다. 차단 성공만 보고 정상 요청의 장애를 놓치지 않는다.
• 책임보다 경계 확인: 문제가 난 팀을 추측하기보다 동일 시험 ID의 원천·수집·파싱·규칙·전달·화면을 차례로 대조한다. 처음 달라진 경계가 다음 확인 지점이다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.