Security Onion

01무엇이고, 어떤 일을 하나

• Suricata 경보와 프로토콜 메타데이터를 연결한다.
• 전체 패킷과 호스트 로그를 조사 자료로 보관한다.
• SOC 화면에서 경보·검색·사건 분석을 이어간다.

02어떤 순서로 동작하나

1. 배치 설계

   관리·수집 경로와 센서가 볼 링크를 정한다. SPAN·TAP의 범위·방향·대역폭이 관찰 가능한 데이터의 한계를 만든다.

2. 자료 생성

   설정한 Suricata·Zeek 등의 구성 요소가 경보·흐름·응용 메타데이터를 만든다. 각 구성 요소가 같은 패킷을 모두 완전하게 받는다고 가정하지 않는다.

3. 저장·검색

   수집 자료를 검색 저장소와 PCAP 보관 경로에 연결한다. 보존 기간·용량·인덱싱 지연을 각각 확인한다.

4. 조사 연결

   경보의 시간·흐름·호스트에서 메타데이터와 원본 패킷으로 이동한다. 현재 2.4 문서의 SOC와 과거 Sguil·Barnyard2 자료를 구분한다.

03먼저 알아둘 용어와 구성요소

Sensor

패킷과 관련 자료를 수집·분석하는 위치.

SOC

Security Onion Console로 경보와 조사 기능을 제공하는 화면.

NSM

네트워크 증거를 지속 수집하여 조사를 가능하게 하는 접근.

Full packet capture

설정된 범위에서 전체 패킷 바이트를 보관하는 기능.

04예제로 따라가기

• 한 경보의 HTTP 요청과 같은 흐름의 DNS·TLS 메타데이터를 연결하면 외부 통신의 문맥을 좁힐 수 있다.
• 센서가 인터넷 경계만 본다면 같은 VLAN 내부 통신 전체가 자동으로 수집되는 것은 아니다.
• 과거 배포에서 사용한 도구가 새 버전에도 필수로 포함되는 것은 아니다. 설치 버전에 맞춰 센서·저장·SOC 화면의 실제 자료 경로를 대조한다.

05혼동하기 쉬운 점과 확인 기준

• 플랫폼을 설치해도 센서 포트에 트래픽이 들어오지 않으면 네트워크 분석 자료가 생성되지 않는다.
• 경보가 적다는 결과만으로 보호 수준을 판단하지 않고 수집량·손실·규칙·시간 범위를 함께 확인한다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.