SIEM

01무엇이고, 어떤 일을 하나

• 여러 소스의 기록을 공통 필드로 검색하게 한다.
• 단일 장비에서 보이지 않는 사건의 전후 관계를 탐지한다.
• 우선순위·증거·담당·처리 상태를 사건 대응에 연결한다.

02어떤 순서로 동작하나

1. 수집·원본 식별

   수신 시각·출처·파일 offset 또는 이벤트 ID를 남겨 원본으로 돌아갈 경로를 만든다.

2. 파싱

   메시지를 시각·주체·주소·행동·결과로 분해하고 실패 자료와 파서 버전을 구분한다.

3. 정규화·보강

   공통 필드 의미와 단위를 맞춘 뒤 사건 당시의 자산·계정 정보를 연결한다.

4. 상관분석

   발생 시각·시간창·연결 키로 이벤트를 묶는다. 지연·역순·재전송과 중복 증거를 처리한다.

5. 사건 평가

   규칙의 심각도, 근거의 신뢰도, 실제 관찰 영향을 나누고 필요한 원본을 조사한다.

6. 대응·재검토

   결정과 조치·복구 결과를 연결하며 규칙·원본·정규화 관계를 남겨 과거 판단을 재현할 수 있게 한다.

03먼저 알아둘 용어와 구성요소

Parsing

원본 메시지에서 구조와 값을 추출하는 처리.

Normalization

서로 다른 소스의 동등한 의미를 공통 필드로 맞추는 처리.

Enrichment

자산 중요도·계정·위치 등의 문맥을 더하는 처리.

Correlation

주체·시간·행위 조건으로 여러 이벤트의 관계를 판단하는 처리.

Event

장비·서비스에서 관찰한 개별 활동 기록.

Alert

분석 조건을 만족해 검토 대상으로 보고한 경보.

Incident

조사로 평가해 대응 대상으로 관리하는 보안 사건.

04예제로 따라가기

• 상관 조건: 같은 계정에서 실패 뒤 2분 이내 성공이 있으면 검토 대상으로 삼는 교육용 규칙을 가정한다. 악성 행위 확정 규칙은 아니다.
• 실패 기록: 실패 발생=09:59, 수집=10:00이다. 계정·서비스·요청 식별 문맥이 함께 보존되어 있다.
• 성공 기록: 성공 발생=10:01, 수집=10:04다. 발생 시각 차이는 2분이지만 수집 시각 차이는 4분이다.
• 시간 선택: 발생 시간 기준으로는 조건을 만족할 수 있고 수집 시간 기준의 2분 창에서는 놓칠 수 있다. 제품의 경계 포함 방식도 명시한다.
• 늦은 처리: 이미 닫힌 분석 창에 도착했다면 재평가 또는 지연 사건 처리 정책이 필요하다. 단순 정렬 변경만으로 실시간 경보 이력이 자동 수정되지는 않는다.

05혼동하기 쉬운 점과 확인 기준

• 파싱 변화: 계정 이름·시각·행동 필드의 추출률과 타입이 바뀌었는지 확인한다. 수집량이 같아도 결합 가능한 자료는 줄 수 있다.
• 중복 영향: 원본·중계·제품 경보를 같은 근거로 여러 번 셌는지 본다. 다른 센서의 독립 관찰과 동일 이벤트 재전송은 구분한다.
• 시계 품질: 시간대 변환·시계 오차·늦은 도착 분포를 비교한다. 정확한 시각이 없는 자료에는 순서 불확실성을 남긴다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.