사이버 공격과 방어의 실무
보안 감시 체제에서 사용되는 SIEM, SOAR, SOC의 역할의 조합으로 올바른 것은?
- ASIEM은 단말의 행위를 기록하는 소프트웨어, SOAR는 통신을 암호화하는 장비, SOC는 취약점에 붙는 식별 번호이다
- BSIEM은 대응 절차를 자동으로 실행하는 구조, SOAR는 각 기기의 로그를 수집하여 분석하는 구조, SOC는 제품의 취약점에 대응하는 개발 팀이다
- CSIEM은 많은 기기의 로그를 수집하여 상관 분석하는 구조, SOAR는 대응 절차(플레이북)를 자동으로 실행하는 구조, SOC는 그것들을 사용하여 감시하는 조직이다
정답과 해설 보기
정답: C. SIEM은 많은 기기의 로그를 수집하여 상관 분석하는 구조, SOAR는 대응 절차(플레이북)를 자동으로 실행하는 구조, SOC는 그것들을 사용하여 감시하는 조직이다
SIEM(Security Information and Event Management)은 방화벽, 서버, EDR, 클라우드 등의 로그를 한곳에 모아 시각을 맞추고, 여러 사건을 조합한 규칙(상관 분석)으로 공격의 의심을 경고로 제시합니다. SOAR(Security Orchestration, Automation and Response)는 경고에 대해 정보 수집, 단말 격리, 계정 정지 같은 정해진 절차를 플레이북으로 자동 실행하여 분석가의 수고를 줄입니다. SOC(보안 관제 센터)는 이러한 구조를 사용하여 감시, 경고 분석, 인시던트인지 여부의 판정과 보고를 수행하는 조직으로, 24시간 체제를 갖추는 경우도 많습니다. SOC가 판정한 인시던트에 대한 대응은 CSIRT가 중심이 되어 진행하는 경우가 많습니다.