SOC·SIEM·SOAR·위협인텔리전스

경보가 절반으로 줄면 보안이 좋아진 것일까

앞 절의 문서 검사 작업자에서 평소와 다른 프로세스 실행이 관측됐다. 같은 시각에 외부 연결 거부와 문서 처리 오류도 나타났다. 세 장비에서 알렸다고 세 사고인 것은 아니며, 같은 원본 기록이 여러 번 복제된 것이라면 독립적인 증거 세 개도 아니다.

운영자는 경보를 줄여 피로를 낮추고 싶지만, 규칙을 약하게 해서 실제 위험도 놓쳤다면 개선이라고 할 수 없다. 이 절은 관측된 사실·추정·대응 명령·실제 결과를 분리하고 어떤 근거로 사건을 우선 처리할지 설명한다. 모든 자료와 계산은 자체 교육 사례다.

누가 무엇을 했다는 기록인가

책임추적성은 행위와 결과를 주체·시간·근거에 연결하는 성질이다. 기록이 있어도 시각·대상·출처를 신뢰할 수 없으면 사건을 잘못 묶을 수 있다. 여기서는 그 기록을 수집·분석하고 실제 조치 결과까지 연결한다.

1. 사람·분석·조치를 나누어 연결한다

보안관제는 신뢰할 수 있는 사건 자료를 수집·분석하여 보안 이상과 영향을 판단하고, 승인된 대응과 결과 확인·개선으로 연결하는 운영체계다.

보안운영센터(SOC)는 보안 감시·분석·대응을 수행하도록 사람·책임·절차·기술을 구성한 조직적 기능이다. 보안정보·이벤트관리(SIEM)는 여러 출처의 보안 기록을 모으고 정규화·검색·상관분석하여 탐지와 조사를 지원하는 기능이다. 보안 오케스트레이션·자동화·대응(SOAR)은 정한 대응 절차에 따라 여러 도구의 조회·조치·승인과 결과 기록을 연결하는 기능이다.[SS-C05]

SOC를 반드시 특정 건물로, SIEM과 SOAR를 서로 완전히 분리된 제품으로 이해할 필요는 없다. 중요한 구별은 누가 판단과 위험을 책임지는지, 무엇을 수집·분석하는지, 어떤 권한으로 어떤 조치를 실행하는지다. 도구가 만든 경보가 곧 사고 확정이나 자동 차단의 승인은 아니다.

사건·경보·사고와 위협정보

관측 사건은 파일 생성이나 연결 시도처럼 기록된 발생 사실이고, 경보는 탐지 조건에 맞아 검토를 요청한 결과다. 보안사고 선언은 확인된 정책·영향 기준에 따른 판단이므로 원본 사건이나 경보와 같은 단위로 세지 않는다. 조직은 어떤 조건에서 사고로 선언하고 누가 우선순위를 정하는지 정해야 한다.[SS-C05]

사이버 위협인텔리전스(CTI)는 위협 자료를 분석·맥락화하여 판단과 대응에 활용할 수 있게 한 정보다. 침해지표(IoC)는 침해 가능성을 시사하는 관측 가능한 단서다. 파일 해시·도메인·주소 같은 지표가 알려진 목록과 일치하더라도 출처, 관측 시점, 신뢰도와 실제 행위 맥락을 확인해야 한다.[SS-C05]

공유 주소 하나의 일치로 모든 이용자를 같은 공격자라고 단정하지 않는다. 지표가 유효했던 기간, 수집 방식, 현재 자산에서 실제로 관측됐는지, 반증이 있는지를 기록한다. 단순히 목록을 내려받은 것과 의사결정 가능한 위협 분석은 다르다.

2. 관측에서 결과 확인까지

아래 SVG에서 호스트·통신·문서 기록의 수집 상태·형식·시각을 확인한 뒤 상관분석하고 분석가 판단으로 넘긴다. 자산 중요도·업무 맥락·검증된 위협정보는 분석가 판단의 추가 근거이며 경보가 자동 승인을 뜻하지 않는다. 승인·대상·범위를 고정한 대응 뒤 명령의 실제 결과를 확인하고 복구·재시험·규칙 개선으로 이어간다.

원본과 정규화된 자료를 연결할 식별자를 남긴다. 정규화는 출처마다 다른 필드를 공통 의미로 읽게 만드는 것이지 원본을 버리거나 불확실한 시각을 정확한 값으로 만드는 작업이 아니다. 탐지 엔진이 하나의 경보로 묶어도 분석가는 출처·중복·자산·범위를 다시 확인한다.

쓸 수 있는 기록과 남기면 안 되는 비밀

수집 계약에는 사건 ID, 출처, 사건 시각과 수신 시각, 주체·세션의 안전한 식별자, 대상 객체·버전, 행위, 판정 이유와 실제 결과를 정의한다. OWASP Logging Cheat Sheet는 애플리케이션 문맥의 기록, 필요한 사건 속성, 민감정보 제외와 로그 자체의 보호·검증을 강조한다.[SS-C06]

비밀번호·세션 비밀·접근 토큰·문서 본문은 일반 관제 로그에 남기지 않는다. 외부 입력에 포함된 줄바꿈·구분자가 가짜 로그 행을 만들지 않도록 안전하게 인코딩하고, 기록 조회·삭제 권한을 업무 실행 권한과 분리한다. 수집 중단·저장공간 부족·시간 오차도 시험한다. 애플리케이션이 모든 보안 이벤트를 기록한다고 가정하거나 수집되지 않은 구간을 사건 0건으로 채우지 않는다.

시계가 동기화되지 않았거나 기록이 늦게 도착하면 사건의 순서를 단정하지 않는다. 원래 시각과 수신 시각, 알려진 오차를 함께 남기고 불명확한 선후관계는 미확인으로 표시한다. 여러 도구가 같은 원본을 복제했을 때에는 원본 식별자를 따라 중복을 구분한다.

3. 직접 계산: 조치 명령과 완료 시각

자체 사건 SS-T1은 모든 시계가 동일 UTC 기준으로 신뢰 가능하고 같은 날의 기록이라고 가정한다. 분석가 확인 이후에만 격리 명령을 승인했다.

수집 지연은 2분이고 최초 사건부터 경보까지는 3분이다. 분석가 확인에서 격리 효과 확인까지는 4분이며, 명령 발행 뒤 실제 효과 확인까지는 3분이다. 최초 사건에서 격리 효과 확인까지는 9분이다. 09:06은 명령을 보낸 시점이지 격리가 확인된 시점이 아니다.

이 사건 하나를 조직의 평균 탐지시간이나 평균 대응시간이라고 부르지 않는다. 여러 사건을 비교하려면 각각의 시작·종료 정의, 미완료 사건의 처리, 누락·시각 오차와 집계 대상을 먼저 맞춰야 한다. 여기서는 단계별 지연을 나누어 어느 구간을 개선할지 판단한다.

4. 경보 감소와 탐지 품질을 함께 계산한다

자체 표본 SS-D1은 사후 검토로 악성 10건·정상 90건이 확인된 사건 100건이다. 각 사건은 독립된 평가 항목으로 한 번 세며, 두 규칙은 같은 100건을 평가한다. 이는 의도적으로 만든 교육 표본이고 실제 운영의 악성 비율을 추정하는 자료가 아니다.

경보 중 실제 악성의 비율을 정밀도, 전체 악성 중 경보로 찾은 비율을 재현율로 읽는다. 정상 중 잘못 경보를 낸 비율은 오탐률이다. 이름보다 분모를 먼저 적으면 정밀도와 오탐률을 서로 반대로 계산하는 실수를 줄일 수 있다.

A는 경보 20건 중 악성 8건이므로 정밀도 40%, 악성 10건 중 8건을 찾아 재현율 80%다. 오탐률은 정상 90건 중 12건인 약 13.33%다. B는 경보 10건 중 악성 6건이므로 정밀도 60%, 재현율 60%, 오탐률은 4/90로 약 4.44%다.

B는 경보를 20→10건으로 줄이고 정밀도를 높이지만 놓친 악성은 2→4건으로 늘린다. 그래서 “B가 모든 면에서 개선됐다”는 결론은 틀리다. 누락된 사건의 피해와 분석 인력, 다른 탐지의 보완 여부를 보고 정책을 정한다. 경보가 0건일 때 경보 중 정밀도의 분모도 0이므로 자동으로 100%라고 표시하지 않는다.

우선순위는 심각도 숫자 하나가 아니다

이 사례에서는 문서 검사 작업자의 비정상 프로세스와 실제 비인가 외부 연결 시도를 원본이 다른 기록으로 확인하면 긴급 조사한다. 업무 담당자는 처리 중이던 문서와 영향을 식별하고 분석가는 알려진 정상 유지보수 작업인지 대조한다. 파일 해시 지표 하나의 일치만 있으면 조사 단서로 남기되 전체 고객 서비스를 자동 차단하지 않는다.

NIST SP 800-61 Rev.3는 여러 출처의 사건을 상관분석하고 영향·범위와 위협 맥락을 사용하며, 정한 기준에 따른 사고 선언·분류·우선순위를 연결한다. 단순 도착순 처리나 한 제품의 경보 등급을 조직의 피해 평가와 동일시하지 않는다.[SS-C05]

규칙 B를 당장 전면 적용하는 대신 고위험 문서 처리 경로는 A와 추가 맥락 검토를 유지하고, 저위험 범위의 제한 시험에서 B의 누락을 점검하는 선택을 할 수 있다. 이 선택은 자체 예제의 판단이며 실제 성과 개선은 별도 검증해야 한다. 미확인 사건을 사후 정답으로 억지 분류해서 표본을 완성하지 않는다.

5. 실제 대응 절차 SS-P1

SS-P1은 침해가 의심되는 전용 검사 작업자 한 대를 제한적으로 격리하는 절차다. 핵심 DB나 공동 게이트웨이 전체를 같은 자동화 권한으로 차단하지 않는다. 분석가가 사건·대상·근거를 확인하고 운영 담당이 그 작업자의 신규 작업 배정을 멈춘 뒤, 승인된 제한 권한으로 격리한다. 공동 핵심 자산으로 대상이 바뀌면 업무 영향과 추가 승인을 다시 받는다.

일부 증거 수집은 격리 전에 필요할 수 있지만 진행 중 피해를 막는 판단을 무조건 뒤로 미루지는 않는다. 원본 자료와 조치 기록을 보존하며 모든 메모리·네트워크 증거가 완전하게 확보됐다고 주장하지 않는다. 상세 포렌식 보존 절차는 뒤의 담당 장에서 다룬다.

관제 자동화의 자격증명에는 필요한 조회·대상 제한 조치만 허용한다. 분석가 화면에서 잘못 선택한 자산, 승인 후 변경된 대상, 같은 조치 재요청, 응답 손실을 시험한다. 명령은 한 번만 실제 반영되었는데 재시도로 격리·해제가 반복되지 않도록 결과와 요청을 연결한다. 자동화가 보류한 사건의 담당자와 인계 기한도 정한다.

자동화의 이익과 함께 커지는 피해 범위

사람이 항상 더 정확하거나 자동화가 항상 더 안전한 것은 아니다. 반복 가능하고 되돌릴 수 있는 제한 조치와 고위험 의사결정을 구분한다. 통신·수집·정책 저장소 장애 때 누가 수동으로 이어받을지 정하지 않으면 자동화가 멈춘 순간 대응도 끊긴다.

관제의 흔한 실패

원본 세 개를 모았다고 했지만 실제로 같은 탐지기의 알림을 세 저장소에서 읽었다면 독립 근거를 과장한 것이다. 경보가 0건인 구간에 수집기가 꺼져 있었다면 안전한 구간으로 집계할 수 없다. 조치 API의 성공 응답을 받아도 실제로 대상의 연결이 끊겼는지는 별도로 확인해야 한다.

공유 IP나 오래된 도메인 지표로 사용자 전체를 차단하는 조치, 분석가가 볼 필요 없는 문서 본문을 관제에 복제하는 조치, 시간초과를 대응 완료로 바꾸는 조치는 모두 피한다. 부족한 근거와 남은 위험을 기록하고 다음 담당자에게 전달한다.

이 절의 보조 범위

보안시스템의 관측 자료를 사건과 주체에 연결하고 탐지 품질·대응 결과를 판단한다. 대상은 문서 서비스의 원본 기록·경보·위협 맥락·제한 조치다. 경보와 확정 사고, 명령과 효과, 정밀도와 재현율의 경계를 구분하며 수집 누락·오탐·미탐·응답 손실을 시험한다. 전 조직 탐지율, 공격자 귀속, 완전한 포렌식이나 독립 승인까지 완료하지 않는다.

6. 자체 10점 문제

SS-D1의 규칙 A·B를 경보 수·정밀도·재현율로 비교하고, SS-T1에서 격리 완료 시각과 단계별 지연을 구분하여 설명하라.

비교에서는 같은 100건이라는 평가 범위를 고정한다. 시각 설명에서는 무엇부터 무엇까지 재는지 먼저 적는다.

표를 직접 계산하기: 악성·정상·경보의 총수를 각각 적고, A와 B의 누락된 악성 수까지 함께 비교한다. 시각은 시작과 종료 사건을 먼저 쓴다.

A: 경보 20, 정밀도 8/20, 재현율 8/10
B: 경보 10, 정밀도 6/10, 재현율 6/10
09:06 명령 → 09:09 효과 확인, 둘을 한 시각으로 합치지 않음

7. 자체 25점 문제

문서 검사 작업자의 침해 의심 사건에 SOC·SIEM·SOAR와 위협정보를 연결한 운영안을 작성하라. 기록의 신뢰·우선순위·제한 대응·결과 확인·복구와 평가 기준을 포함하라.

역할 이름이나 제품 기능 목록 대신 실제 승인 대상, 입력, 조치와 완료 기준을 정한다. 확인되지 않은 지표 일치만으로 전 서비스를 차단하는 대안도 검토한다.

분석가 입장에서 쓰기: 확인된 사실과 가설을 나누고, 검사 작업자 한 대의 조치 권한·승인·실제 효과를 끝까지 기록한다. 자체 문제이며 공식 채점표가 아니다.

8. 자기교정

조건 변경

효과 확인이 09:12라면? 명령 후 지연은 6분, 분석가 확인 후는 7분, 최초 사건부터는 12분이다. 시각 표에서 시작점을 유지한다.

경보를 0건으로 만드는 규칙이라면? 이 표본에서 재현율은 0/10=0%이고 정밀도는 0/0이라 정의되지 않는다. 이를 오탐 없는 완벽한 탐지라고 쓰지 않는다. 평가 분모를 확인한다.

같은 격리 요청이 응답 손실로 다시 도착하면? 사건·조치 ID와 실제 결과를 조회해 이미 반영한 조치를 중복 실행하지 않는다. 결과가 모호하면 성공을 추측하지 않고 확인 단계로 넘긴다. SS-P1을 적용한다.

출처와 적용 한계

SS-C05는 NIST SP 800-61 Rev.3 공식 최종판의 NIST SP 800-61 Rev.3(2025-04-03 최종판)의 Table 3 중 DE.AE-02·03·04·06·07·08, RS.MA와 용어집의 CTI·IoC를 근거로 한다. 2012년 Rev.2의 단계명을 최신판인 것처럼 인용하지 않으며, 미국의 지침을 모든 한국 조직의 법적 의무로 바꾸지 않는다. PDF의 해당 표와 본문을 대조했다.

SS-C06은 OWASP Logging Cheat Sheet의 Event attributes·Data to exclude·Event collection·Verification·Protection을 독립적으로 설명한 것이다. 관찰일은 2026-09-19이며 웹 문서의 발행일을 이 날짜로 추정하지 않는다. SS-T1·SS-D1·SS-P1과 표·도식·답안은 자체 작성이고 원문 그림을 복사하지 않았다. 전 조직 성과, 포렌식 완결, 독립 기술·권리·독자 승인은 별도다.

회독의 핵심

관제는 기록을 쌓는 일이 아니라 출처·시각·맥락에 근거하여 제한된 조치를 하고 결과를 확인하는 일이다. 경보 수만 줄이지 말고 분모가 같은 탐지 품질과 누락 피해를 비교한다. 명령·완료·복귀를 구별하고 관측하지 못한 구간은 모르는 것으로 남긴다. 다음 절에서는 클라우드 책임·객체 인가·배포 출처로 이 판단을 확장한다.

분모를 회상하기: A의 8/20과 8/10이 각각 어떤 질문에 답하는지 말한다. B의 경보 감소와 악성 누락 증가를 함께 설명한 뒤, 09:06 명령만으로 09:09 효과를 생략할 수 없는 이유를 평가와 대응에서 확인한다.