09 · Monitoring & Detection
보이지 않으면 지킬 수 없다
SIEM, SOC, NDR — 네트워크에서 무슨 일이 벌어지고 있는지 실시간으로 파악하고 이상 징후를 잡아내는 체계.
예방만으로는 충분하지 않다
아무리 강력한 방화벽과 인증 체계를 갖춰도, 100% 침해를 막을 수 있는 시스템은 없습니다. 그래서 보안은 "막는 것"과 동시에 "빨리 알아채는 것"을 목표로 합니다. 침해가 발생한 뒤 그것을 며칠, 몇 주 뒤에야 알아채느냐 아니면 몇 분 안에 알아채느냐는 피해 규모를 완전히 다르게 만듭니다.
로그 모니터링 — 모든 것의 기초
방화벽, 서버, 애플리케이션은 저마다 로그를 남깁니다. 로그 모니터링은 이 로그들을 수집하고, 정해둔 규칙이나 패턴에 어긋나는 항목을 찾아내는 작업입니다. 로그가 남지 않는 시스템은 사고가 나도 무슨 일이 있었는지 재구성할 방법이 없기 때문에, 로그 수집 자체가 보안의 최소 전제조건입니다.
SIEM — 흩어진 로그를 하나의 그림으로
보안 정보 및 이벤트 관리(SIEM)는 방화벽, 서버, 애플리케이션 등 수많은 소스에서 로그를 한곳에 모아 상관 분석(correlation)을 수행하는 플랫폼입니다. 개별 로그 하나만 보면 평범해 보이는 이벤트들도, 여러 소스를 함께 놓고 보면 "짧은 시간 안에 여러 서버에서 같은 계정으로 로그인 실패가 반복됐다"처럼 공격의 패턴이 드러납니다.
NDR과 트래픽 분석
네트워크 탐지 및 대응(NDR)은 로그가 아니라 네트워크를 오가는 트래픽 자체를 분석해 이상 행동을 찾아냅니다. 평소와 다른 시간대의 대량 데이터 전송, 알려지지 않은 외부 서버로의 접속 시도처럼 "내용은 암호화되어 있어도 패턴 자체가 수상한" 경우를 잡아내는 데 강점이 있습니다.
SOC — 사람이 모여 지키는 관제센터
보안 운영 센터(SOC)는 SIEM/NDR 같은 도구가 쏟아내는 경고를 실제로 검토하고 대응하는 전담 인력과 프로세스를 가리킵니다. 아무리 좋은 탐지 도구가 있어도 그 경고를 24시간 들여다보고 판단할 사람이 없다면 무용지물이기 때문에, SOC는 기술과 사람을 잇는 마지막 고리입니다.