Security Information and Event Management의 약자. 방화벽, 서버, EDR, 클라우드 서비스, 인증 기반 등의 로그를 한곳에 모아 형식과 시각을 맞추고, 여러 사건을 조합한 규칙(상관 분석)으로 공격의 의심을 탐지하여 경고로 제시하는 구조. 조사를 위한 로그 검색이나, 규정에서 요구하는 로그의 장기 보존에도 사용된다. SOC(보안 관제 센터)의 분석가가 감시에 사용하는 중심적인 도구 중 하나이다.
일본어 명칭: SIEM(セキュリティ情報イベント管理)
SIEM(보안 정보 및 이벤트 관리)은(는) 사이버 공격과 방어의 실무 등 1개 분야의 연습 문제 2개에 나와요.
분야: 사이버 공격과 방어의 실무
로그 하나만으로는 판단할 수 없는 사건도 조합하면 공격의 의심이 강해집니다. 예를 들어 '같은 계정으로 짧은 시간에 다수의 로그인 실패가 있었고, 그 직후 평소와 다른 국가에서의 로그인이 성공했으며, 이어서 대량의 파일이 다운로드되었다' 같은 흐름을 하나의 경고로 정리합니다.
탐지와 조사의 질은 수집하는 로그의 질로 결정됩니다. 필요한 로그를 빠짐없이 수집하고, 모든 기기의 시계를 NTP로 맞추며, 변조되기 어려운 형태로 일정 기간(규정이나 계약에서 요구하는 기간 등) 보존해 두는 것이 전제입니다. 로그의 양이 늘어날수록 비용도 들기 때문에 무엇을 수집할지를 목적에 따라 정합니다.
규칙이 너무 넓으면 오탐이 대량으로 나와 분석가가 진짜 공격을 놓치는 원인이 됩니다(경고 피로). 환경에 맞춰 규칙을 조정하고 SOAR로 정형적인 확인을 자동화함으로써 분석가가 중요한 경고에 집중할 수 있게 합니다.
정답: C. SIEM은 많은 기기의 로그를 수집하여 상관 분석하는 구조, SOAR는 대응 절차(플레이북)를 자동으로 실행하는 구조, SOC는 그것들을 사용하여 감시하는 조직이다
SIEM(Security Information and Event Management)은 방화벽, 서버, EDR, 클라우드 등의 로그를 한곳에 모아 시각을 맞추고, 여러 사건을 조합한 규칙(상관 분석)으로 공격의 의심을 경고로 제시합니다. SOAR(Security Orchestration, Automation and Response)는 경고에 대해 정보 수집, 단말 격리, 계정 정지 같은 정해진 절차를 플레이북으로 자동 실행하여 분석가의 수고를 줄입니다. SOC(보안 관제 센터)는 이러한 구조를 사용하여 감시, 경고 분석, 인시던트인지 여부의 판정과 보고를 수행하는 조직으로, 24시간 체제를 갖추는 경우도 많습니다. SOC가 판정한 인시던트에 대한 대응은 CSIRT가 중심이 되어 진행하는 경우가 많습니다.
정답: B. 3명
분석가가 확인하는 경고는 1440 × (1 − 0.75) = 360건/일이며, 1시간당 360 ÷ 24 = 15건입니다. 분석가 1명은 1시간에 60 ÷ 10 = 6건을 처리할 수 있으므로, 필요한 인원수는 15 ÷ 6 = 2.5명이 되고, 올림하여 3명입니다. SOAR의 자동 처리가 없으면 1시간에 60건이 되어 60 ÷ 6 = 10명이 필요합니다. 실제로는 휴식이나 다른 업무가 있고 경고 건수도 시간대에 따라 바뀌므로, 가동률에 여유를 두고 인원수를 정합니다.
SIEM은 로그를 수집하여 분석하고 공격의 의심을 찾아내는 구조입니다. SOAR는 발견된 경고에 대해 정보 수집이나 단말 격리 등의 정해진 절차(플레이북)를 자동으로 실행하는 구조입니다. 두 기능을 함께 제공하는 제품도 있습니다.
SIEM 자체는 주로 탐지와 조사를 위한 구조로, 통신을 차단하지는 않습니다. 공격을 멈추는 것은 SOAR에 의한 자동 대응이나 EDR, 방화벽 등의 기기, 그리고 판단하는 사람의 역할입니다.
SIEM(Security Information and Event Management)은 방화벽, 서버, EDR, 클라우드 등의 로그를 한곳에 모아 시각을 맞추고, 여러 사건을 조합한 규칙(상관 분석)으로 공격의 의심을 경고로 제시합니다.
보안 감시 체제에서 사용되는 SIEM, SOAR, SOC의 역할의 조합으로 올바른 것은?EDR(엔드포인트 탐지 및 대응) 보안 관제 센터(Security Operations Center) 공급망 공격(Supply Chain Attack) 디지털 포렌식(Digital Forensics) 사이버 킬 체인(Cyber Kill Chain) 인시던트 대응 제로 트러스트 측면 이동(Lateral Movement) 침입 탐지 시스템(IDS) 침투 테스트(Penetration Testing)