050. SIEM·로그 수집 — SIEM 구조와 로그 수집 종합 정리

Об этом предложении

SIEM · 보안관제 › A. SIEM 구조와 로그 수집 · 50/50편 학습 단계: 실전 시나리오·종합 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Wazuh 4.x 올인원 / Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 049. SIEM·로그 수집 — 실전 시나리오 — 신규 서버 SIEM 편입부터 첫 Alert까지 1. 개념 A영역 50편을 정리합니다. 한 문장으로 요약하면 "Alert를 믿으려면, 그 Alert가 만들어진 데이터부터 믿을 수 있어야 한다" 입니다. 수집·정규화·저장·운영의 네 축이 이 신뢰를 만듭니다. A영역 50편 지도 [구조·환경 001~008] SIEM 5계층 · Wazuh 구성요소 · 에이전트 등록·상태 · localfile [로그 소스 009~020] 인증 · journald · auditd · 웹 · DB · 방화벽 · IDS · Windows syslog · 네트워크 장비 · 컨테이너 · 수집 누락(침묵) [디코딩·정규화 021~030] 3단계 처리 · 기본/커스텀/JSON 디코더 · logtest 회귀 공통 스키마 · 시간 · 식별자 · 보강 · 품질 지표 [저장·파이프라인 031~040] 인덱스·매핑 · 보존(ISM) · EPS 용량 · Filebeat·Logstash 백프레셔 · 전송 보안 · 무결성 · 종합 점검 [검색·운영 041~048] DQL · 집계 · 시각화 · SOC 대시보드 · 수집 상태 · 튜닝 체크리스트 · 장애 대응 [종합 049~050] 편입 시나리오 · 종합 정리 신뢰의 4축 수집됐는가 → 해석됐는가 → 저장·검색되는가 → 계속 그런가(운영) B영역에서는 이렇게 신뢰할 수 있게 된 데이터 위에 탐지 룰을 설계·검증·튜닝 하는 방법(룰 구조, 빈도·상관 룰, Sigma, MITRE 매핑, 오탐 관리)을 다룹니다. 2. 왜 중요한가 A영역은 이후 모든 탐지·분석·대응 영역의 전제 조건입니다. 수집 품질을 설명할 수 있는 관제원은 Alert 판단의 신뢰도도 높습니다. 면접에서 "SIEM을 어떻게 운영하나"에 구조적으로 답할 수 있습니다. 3. 핵심 명령어 / 설정 축 핵심 질문 대표 지표 수집 로그가 오는가 에이전트 상태·소스 침묵 해석 필드로 나뉘는가 디코딩 실패율·필드 채움률 저장 검색·보존되는가 cluster status·지연·보존일 운영 계속 그런가 체크리스트 수행·장애 대응 4. 실습 (실습 예시) # A영역 종합 점검 루틴 (분석 방법) — 10분 점검 sudo /var/ossec/bin/wazuh-control status | grep -c 'is running' sudo /var/ossec/bin/agent_control -l | grep -cE 'Disconnected|Never' sudo grep -oP "events_dropped='\K[0-9]+" /var/ossec/var/run/wazuh-analysisd.state curl -sk -u 'admin:<비밀번호>' https://localhost:9200/_cluster/health | grep -oP '"status":"\K[a-z]+' tail -n 1 /root/siem-ops/daily_check.log 5. 정상 상태 running 6 · 끊김 0 · drop 0 · green · 일일 점검 오늘 기록 있음 네 축의 대표 지표가 모두 기준값이면 이 SIEM이 만드는 Alert를 신뢰하고 탐지 개선(B영역)에 집중할 수 있습니다. 6. 이상 상태 running 6 · 끊김 2 · drop 1,204 · yellow · 일일 점검 4일 전 여러 축에서 동시에 이상 → Alert 신뢰도 낮음 이 상태에서 룰을 튜닝하면 잘못된 데이터로 잘못된 결론 수집·운영 축부터 복구한 뒤 탐지 작업으로 넘어가야 함 7. 로그 분석 (분석 방법) 「SIEM · 보안관제」 시리즈 흐름입니다(가상의 예시). A SIEM 구조와 로그 수집 데이터를 믿을 수 있게 만든다 ← 완료 ↓ B 탐지 룰 엔지니어링 믿을 수 있는 데이터로 무엇을 잡을지 정한다 ↓ C 보안 이벤트 분석·트리아지 울린 Alert를 판단한다 ↓ D 위협 헌팅·MITRE ATT&CK 울리지 않은 것을 찾는다 ↓ E 침해사고 대응(IR) 확인된 사고를 처리한다 ↓ F SOC 운영·보고 이 모든 것을 반복 가능하게 만든다 영역 관제 질문 A 데이터를 믿을 수 있나 B 무엇을 잡을까 C 이 Alert는 진짜인가 D~F 놓친 것·처리·운영 각 영역은 앞 영역의 결과를 전제로 합니다. A영역에서 만든 점검 지표는 B영역 이후에도 "이 결론을 믿어도 되는가"를 판단하는 기준으로 계속 쓰입니다. 8. SOC 관제 포인트 10분 종합 점검을 교대 시작 루틴으로 씁니다. 네 축 지표를 주간 보고의 첫 페이지에 둡니다. 탐지 개선 작업 전에 수집 신뢰도를 먼저 확인합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,siem_a,"> <rule id="110490" level="3"> <if_sid>110000,110190,110300,110360,110390</if_sid> <description>A영역 수집·저장 신뢰도 관련 이벤트(종합 대시보드 집계용)</description> </rule> </group> A영역에서 만든 수집·저장 관련 룰을 하나로 묶어 대시보드에서 "데이터 신뢰도" 패널을 만드는 집계용 예시입니다. if_sid에 여러 룰 ID를 쉼표로 나열할 수 있습니다. 10. 대응 방법 초기 확인 — 네 축의 대표 지표를 확인합니다. 범위 확인 — 이상 축의 영향 범위를 확인합니다. 증거 확보 — 점검 결과를 기록합니다. 차단/조치 — 수집·운영 축을 우선 복구합니다. 재발 방지 — 종합 점검을 교대 루틴과 주간 보고에 반영합니다. 11. 핵심 정리 축 질문 수집 오는가 해석 나뉘는가 저장 찾을 수 있는가 운영 계속 그런가 면접 포인트 "Alert를 믿으려면 데이터부터 믿을 수 있어야 한다 — 수집, 해석, 저장, 운영의 네 축" 12. 다음 편 예고 A영역 「SIEM 구조와 로그 수집」 50편이 이 글로 마무리됩니다. 다음 B영역 「탐지 룰 엔지니어링」 에서는 Wazuh 룰 구조와 레벨 설계, 빈도·상관 룰, Sigma 룰 변환, MITRE ATT&CK 매핑, 오탐 관리와 룰 회귀 시험을 다룹니다. 전체 목록은 아래 시리즈 링크에서 확인할 수 있습니다. 이전 편: 049. SIEM·로그 수집 — 실전 시나리오 — 신규 서버 SIEM 편입부터 첫 Alert까지 📚 시리즈 전체 보기: SIEM · 보안관제