탐지 룰부터 위협 선별까지 — 탐지를 대응으로 잇는 법

탐지됐다고 끝이 아니다

관제를 처음 하는 사람과 오래 한 사람의 차이는, 알람이 발생했을 때의 반응에서 갈린다. 초심자는 알람 수를 본다. 숙련자는 그 알람이 진짜인지부터 본다. 탐지 룰이 발동했다는 것은 "조건에 맞는 로그가 들어왔다"는 사실일 뿐, 그것이 실제 위협이라는 보장은 아니다. 그 판단을 내리는 곳이 바로 탐지 결과 페이지다.

앞서 다룬 종합 탐지 현황이 "지금 무엇이, 얼마나 탐지됐는가"를 한눈에 보여주는 대시보드라면, 탐지 결과는 그 개별 이벤트를 하나씩 열어 원인·근거 로그·위협 수준을 분석하고 대응 여부를 추적하는 화면이다. 대시보드가 '현황판'이라면 이쪽은 '조사실'인 셈이다.

그런데 탐지 결과가 채워지려면 그 전에 탐지 룰이 등록돼 있어야 한다. 화면은 룰이 탐지한 결과를 보여줄 뿐, 스스로 탐지하지 않는다. 그래서 이 글은 순서대로 진행한다. 먼저 세 가지 탐지 룰을 어떻게 등록하는지, 그다음 그 결과로 오탐과 실제 위협을 어떻게 가려내는지다.

먼저, 탐지 룰을 등록한다 — 실시간·배치·시나리오

탐지 룰은 설정 → 탐지&알림에서 등록한다. 잘 설계된 룰 하나가 수백 건의 수동 로그 분석을 대체한다. 세 가지 유형은 각각 탐지하는 방식이 다르므로, 역할을 나눠 설계하는 것이 핵심이다.

실시간 탐지 — 들어오는 즉시 탐지한다

로그가 수집되는 즉시 조건을 대조해 탐지한다. 탐지 유형은 다섯 가지다.

CTI 세 종은 앞서 다룬 위협 인텔리전스 DB와의 교차 탐지이고, UBA는 내부자 위협·계정 탈취 같은 행위 기반 탐지, 키워드는 가장 단순하지만 빠르게 적용 가능한 룰이다.

배치 탐지 — 모아 봐야 보이는 것

수집 데이터를 대상으로 지정한 패턴을 주기적으로 실행한다. 단건으로는 안 보이지만 누적·집계해야 드러나는 패턴에 적합하다. 패턴 유형은 아홉 가지를 제공한다.

시나리오 탐지 — 공격의 흐름을 탐지한다

2개 이상의 쿼리를 상관 분석해, 단일 이벤트로는 탐지되지 않는 공격의 흐름을 탐지한다. 쿼리 유형은 기본·급증·연쇄·반복 네 가지다(각 유형의 동작과 예시는 종합 탐지 현황 편에서 자세히 다뤘다). 연쇄 시나리오는 정찰 → 침투 → 권한 상승 → 유출처럼 단계로 이어지는 침해를 탐지하는 데 특히 강하다.

등록했다면, 이제 결과를 본다 — 하나의 화면에서

앞서 등록한 실시간·배치·시나리오 룰이 탐지한 결과는 모두 탐지 결과 화면에 모인다. 중요한 점은 세 유형이 완전히 동일한 방식으로 필터링·검색·상세 확인·티켓 생성을 지원한다는 것이다. 유형마다 조작법을 따로 익힐 필요가 없다.

실무에서는 위험도가 높은 실시간·시나리오 결과를 먼저 보고, 배치 결과는 주기적으로 모아 검토하는 식으로 리듬을 나누는 경우가 많다. 어느 유형이든 분석의 출발점은 같다. "이 탐지의 근거가 된 로그가 무엇인가."

3단계 상세 추적 — 원본 로그까지 가장 짧은 경로

탐지 결과의 가장 큰 가치는 탐지에서 원본 로그까지 이어지는 짧은 경로다. 오탐인지 실제 위협인지 판단하려면 결국 "무슨 로그가 조건에 걸렸는지"를 봐야 하는데, 이 화면은 그 길을 세 번의 클릭으로 줄여준다.

탐지 패턴을 클릭하면 그 패턴에 탐지된 결과 목록이 펼쳐지고, 결과 값을 클릭하면 검색 페이지가 새 탭으로 열리며 해당 로그를 바로 확인할 수 있다. 패턴명 → 결과값 → 원본 로그로 이어지는 이 3단계가, 탐지 근거에 가장 빠르게 도달하는 경로다.

이 상세 추적이 곧 오탐과 실제 위협을 가르는 판단의 근거가 된다. 예를 들어 "비정상 로그인" 룰이 발동했을 때, 원본 로그를 열어 보면 그것이 실제 공격 시도인지, 아니면 단지 직원이 비밀번호를 몇 번 틀린 것인지가 드러난다. 근거 없이 판단하지 않고 항상 로그까지 내려가 확인하는 습관이 위협 선별의 기본이다.

필터와 검색을 조합한다 — 필요한 것만 빠르게

탐지 결과는 다양한 필터와 검색을 제공한다. 단순히 목록을 좁히는 기능으로 보면 아깝다. 조합하면 관제 업무에서 필요한 정보를 빠르게 뽑아내는 도구가 된다.

예컨대 야간 당직이라면 "위험도 High + 상태 분석 필요"를 함께 걸어 둔다. 그러면 화면에는 지금 당장 사람이 봐야 할 건만 남는다. 필터는 화면을 줄이는 게 아니라, 봐야 할 것에 집중하게 만드는 장치다.

상태 관리로 잡음을 줄인다 — 무시 가능 vs 분석 필요

탐지 결과 운영에서 가장 실용적인 기능이 상태 관리다. 모든 탐지를 똑같이 대하면 금세 지친다. 각 탐지에 상태를 부여해 관제 부담을 줄인다.

같은 IP나 패턴이 반복 탐지되지만 업무상 허용된 행위로 확인됐다면 '무시 가능'으로 지정한다. 그러면 종합 탐지 현황의 Top 10에서도 그 항목이 잡음을 주지 않도록 정리된다. 반대로 의심스러운 건은 '분석 필요'로 마크해 빠뜨리지 않고 순서대로 처리한다. 이 두 상태만 꾸준히 관리해도 관제 화면의 신호 대 잡음 비가 눈에 띄게 좋아진다.

보안 레벨 보정 — 변경은 즉시 반영된다

탐지 결과에서 개별 패턴의 보안 레벨을 바꾸면, 그 변경이 즉시 종합 탐지 현황의 위험 레벨 집계에 반영되고, 해당 패턴의 알람 조건도 함께 갱신된다. 즉 분석을 하다가 "이 룰은 알람이 과도하다" 싶으면 그 자리에서 레벨을 조정할 수 있다.

티켓으로 연결 — 탐지를 대응으로 잇는다

분석 끝에 실제 위협으로 판단했다면, 그 자리에서 티켓을 생성하거나 기존 티켓과 연결한다. 탐지부터 대응 완료까지를 하나의 이력으로 묶는 것이다.

티켓으로 넘어가는 순간 그 탐지는 "봤다가 흘려보낸 알람"이 아니라 담당자·처리 상태·이력이 따라붙는 추적 가능한 업무가 된다. 이렇게 쌓인 이력은 이후 감사나 보고서 작성 시 대응 근거 자료가 된다. 탐지 결과는 분석에서 끝나지 않고, 티켓을 통해 대응으로 이어질 때 비로소 완결된다.

한 걸음 더 — 깊은 분석은 백엔드 조회로

화면에서 확인하기 어려운 상세 데이터, 특히 시나리오 탐지의 세부 결과는 백엔드 저장소를 직접 조회해 다룰 수 있다. 대량 집계나 특정 패턴의 결과를 깊게 파야 할 때 활용한다. UI가 제공하는 화면이 위협 선별의 대부분을 처리한다면, 직접 조회는 나머지 깊은 분석과 자동화·연동을 위한 수단이라고 보면 된다. 구체적인 질의 방식은 운영 환경의 내부 가이드에 따른다.

운영 루틴 — 탐지 결과를 매일 어떻게 쓰는가

• 출근 직후 — 위험도 High + 분석 필요로 필터링해, 밤사이 쌓인 우선 처리 건부터 확인한다.
• 분석 — 의심 건은 패턴명 → 결과값 → 원본 로그까지 상세 추적해 오탐인지 실제 위협인지 판단한다.
• 정리 — 오탐은 '무시 가능'으로, 추가 조사 건은 '분석 필요'로 상태를 정리한다.
• 튜닝 — 과도하게 발동하거나 전혀 발동하지 않는 룰은 점검 신호다. 레벨을 조정하거나 설정에서 조건을 수정한다.
• 대응 — 실제 위협은 티켓으로 전환해 담당자를 배정하고 이력을 남긴다.
• 보고 — 탐지일 범위 필터로 주간 통계를 추출해 보고서 근거로 활용한다.

심층 사례 — 무차별 대입에서 데이터 유출까지, 한 화면에서 추적

탐지 결과 화면에서 실제로 어떻게 위협을 선별하고 대응으로 잇는지, 한 사건을 단계별로 따라가 본다.

보안 담당자를 위한 활용 방안

탐지 결과를 개인 분석가의 감에 맡기면 사람이 바뀔 때마다 품질이 출렁인다. 위협 선별을 절차와 지표로 바꾸는 방안을 정리한다.

탐지 결과 페이지의 본질은 '판단'이다. 탐지됐다는 사실과 실제 위협이라는 판단 사이의 간격을 근거 로그로 메우는 화면이다. 오탐을 걸러 잡음을 줄이고, 실제 위협은 원본 로그까지 추적해 티켓으로 전환하고, 알람이 과도한 룰은 그 자리에서 조정한다. 이 사이클이 돌기 시작하면 관제는 알람에 쫓기는 업무에서 위협을 가려내는 업무로 바뀐다.