탐지 현황 한눈에 — 관제 대시보드를 운영 지표로 읽는 법

'수집'과 '탐지'는 다른 문제다

로그를 잘 수집하고 있다는 이야기는 자주 듣는다. 그러나 수집과 탐지는 차원이 다른 문제다. 수집은 저장 공간이 해결해 주지만, 탐지는 룰이 동작해야 비로소 생긴다. 종합 탐지 현황은 바로 그 "지금 우리 환경에서 실제로 무엇이 탐지됐는가"를 한 화면에 모아 보여주는 곳이다.

이 화면은 관제 담당자의 상시 모니터에 띄워 두기를 권한다. V보드가 전체 로그 흐름을 보는 화면이라면, 종합 탐지 현황은 그중 룰에 걸린 것만 추려 보여주는 화면이다. 모든 수치는 당일(오늘) 기준으로 갱신되며, 어떤 수치든 클릭하면 검색 페이지로 이동해 실제 로그까지 바로 확인할 수 있다. 이 상세 추적이 핵심이다. 수치만 보고 끝나는 대시보드는 의미가 없다.

이 화면이 채워지기 시작하는 순간이 사실상 LogCenter가 수집 도구에서 탐지 플랫폼으로 전환되는 지점이다. 반대로 이 화면이 계속 비어 있다면 점검이 필요하다(그 내용은 글 마지막에서 따로 다룬다).

탐지는 세 경로로 들어온다 — 실시간·배치·시나리오

당일 탐지 건수는 세 가지 유형으로 나뉘어 표시된다. 이 구분을 이해해야 건수가 급증했을 때 어디부터 살펴봐야 할지 판단할 수 있다.

세 유형은 탐지하는 성격이 다르다. 실시간은 이미 알려진 위협을 즉시 걸러내고, 배치는 한 번에 모아 봐야 드러나는 패턴(예: 하루치 인증 실패 누적)을 탐지한다. 시나리오는 단일 이벤트만으로는 잡히지 않는 공격 — 로그인 실패 다발 뒤의 성공, 그리고 곧바로 이어지는 대량 다운로드처럼 사건이 연결되는 흐름 — 을 탐지한다. 실무에서 보면 시나리오 룰 없이 실시간 룰만 다수 등록해 둔 경우가 많은데, 실제 침해는 대개 단일 이벤트가 아니라 연쇄로 진행된다. 시나리오를 비워 두면 그 흐름 전체를 놓치게 된다.

각 유형의 건수는 클릭하면 곧바로 검색 화면으로 연결된다. "실시간이 평소보다 세 배"와 같은 변화가 보이면 해당 수치를 눌러 어떤 룰이 반응하고 있는지부터 확인하는 습관을 들이는 것이 좋다.

시나리오 룰 4종 — 가장 강력하지만 가장 적게 쓰이는 무기

세 가지 탐지 유형 중 시나리오는 단일 이벤트로는 잡히지 않는 공격을 탐지한다. 실시간·배치 룰이 개별 로그를 본다면, 시나리오는 그 위에 한 겹 더 얹어 여러 쿼리의 결과를 상관 분석한다. 그만큼 침해의 '흐름'을 잡는 데 강하지만, 설계가 번거롭다는 이유로 비워 두는 경우가 많다. 시나리오 탐지는 쿼리 유형을 네 가지로 구분한다.

기본은 가장 단순한 상관이다. 단일 룰로는 잡음가 많은 조건도, 두 조건을 함께 묶으면 정탐 확률이 크게 오른다. 오탐을 줄이는 용도로도 유효하다.

급증은 평소의 기준선을 벗어나는 변화를 본다. 무차별 대입(브루트포스), 비정상적인 쿼리 폭주, 갑작스러운 트래픽 증가처럼 '양'으로 드러나는 공격에 적합하다.

연쇄는 시나리오의 핵심이다. 실제 침해는 대개 단계를 밟는다. 정찰 → 침투 → 권한 상승 → 내부 이동 → 유출로 이어지는 흐름을, 시간 순서가 있는 쿼리로 엮어 탐지한다. 개별 단계는 평범해 보여도 순서대로 이어지면 명백한 공격이 된다.

반복은 주기성을 본다. 감염 단말이 C2로 보내는 주기적 통신은 사람의 활동과 달리 규칙적인 간격을 갖는다. 이 주기성 자체가 탐지 신호가 된다.

위험 레벨 — High가 많은 것이 좋은 신호는 아니다

탐지 결과는 High·Medium·Low로 집계된다. 대응 우선순위를 정하는 기준이다.

여기서 초기 운영 단계에 자주 발생하는 함정이 하나 있다. 구축 직후 High가 대량으로 발생하면 "탐지가 잘 된다"고 받아들이기 쉽다. 그러나 그것은 룰 조건이 느슨하다는 신호일 가능성이 훨씬 높다. High가 하루에 수백 건이면 누구도 전부 확인할 수 없다. 결국 High 전체를 무시하게 되고, 정작 중요한 High 하나가 그 안에 묻힌다. 알람 피로(alert fatigue)는 이렇게 시작된다.

위협 지도 — 특정 국가에서 공격이 집중된다면

탐지된 외부 IP의 위치가 지도에 표시된다. 확대·축소하며 어느 국가에서 유입되는지 직관적으로 볼 수 있고, 위협 IP 필터도 적용할 수 있다. 방화벽 Deny 로그나 IPS 공격 탐지와 함께 보면 공격 발신지가 한눈에 들어온다.

활용 방식은 단순하다. 특정 국가발 공격이 며칠째 지속·집중된다면 방화벽에서 해당 국가 IP 대역 차단을 검토한다. 한 가지 덧붙이면, 차단 대상 IP를 주요 정보 연계의 블랙 IP 리스트에 등록해 두면 이후 탐지 시 CTI 대조까지 자동으로 함께 수행된다. 차단과 탐지 자산화를 한 번에 처리해 두는 편이 효율적이다.

다만 GeoIP가 만능은 아니다. 공격자는 경유지를 거치므로 표시된 국가가 실제 출처가 아닐 수 있다. 지도는 "어디를 먼저 의심할 것인가"의 출발점이지 결론이 아니다.

Top 10과 티켓 — 탐지에서 대응으로 이어지는 연결고리

탐지 결과 Top 10은 전체·실시간·배치·시나리오로 구분해 가장 많이 탐지된 항목을 보여준다. 정기적으로 확인하면 우리 환경에서 반복되는 패턴이 드러난다. 같은 IP나 패턴이 계속 올라온다면 두 가지를 함께 의심해야 한다. 오탐일 수도 있고, 실제로 지속되는 공격일 수도 있다. 반복 탐지가 많은 룰은 대개 임계값을 조정할 시점이 됐다는 신호다.

이 화면의 진짜 가치는 탐지에서 끝나지 않고 대응으로 이어진다는 점에 있다. 실시간 탐지 목록은 계속 갱신되는데, 업데이트를 일시 정지하면 해당 탐지 건에 대해 곧바로 티켓을 생성할 수 있다. 담당자를 지정하고 처리 이력을 남기는 순간, 그 탐지는 "확인하고 흘려보낸 알람"이 아니라 추적 가능한 업무가 된다.

목록은 위험 레벨, MITRE ATT&CK, 탐지 유형, 티켓 상태, 패턴명으로 필터링된다. 티켓 상태는 신규 → 진행 중 → 소명 완료 → 종료(또는 소명 기간 만료) 순으로 진행된다. 이 티켓들이 축적되면 반복 패턴 분석과 월간 보고서의 근거 데이터가 된다. 감사나 사고 대응 시 "우리가 이렇게 처리했다"를 입증할 수 있는 것이 결국 이 이력이다.

티켓 생명주기와 SLA — 탐지를 '관리되는 업무'로

티켓을 생성하는 것까지는 앞에서 다뤘다. 중요한 것은 그다음이다. 티켓은 탐지 패턴별로 하나만 생성되며, 다음 상태를 따라 흐른다.

티켓에는 심각도(심각·높음·보통·낮음)와 종료 타입(해결됨·완화됨·수용된 위험·해결 불가)을 지정한다. 단순히 "닫았다"가 아니라 어떻게 닫았는지를 남기는 것이다. 종료된 티켓도 필요하면 다시 열어 재소명할 수 있다.

소명 요청 — 내부 감사와 연결되는 지점

담당자는 사용자 관리나 인사 정보에 등록된 이메일로 소명을 요청할 수 있다. 요청받은 사용자는 메일 링크를 통해 별도 웹페이지에서(로그인 없이) 소명 내용을 작성·제출하고, 제출하는 순간 티켓 상태가 자동으로 '소명 완료'로 바뀐다. 비업무 시간 접근이나 대량 다운로드처럼 "본인 확인이 필요한" 탐지에 특히 유효하며, 내부 감사 프로세스와 자연스럽게 맞물린다.

티켓 상세 — 증적은 여기서 나온다

티켓에는 탐지 결과, IoC, MITRE ATT&CK, 원본 로그, 타임라인, 히스토리 탭이 붙는다. 각 탭은 복사하거나 Excel로 내보낼 수 있어, 그대로 사고 보고서의 근거가 된다.

보고서로 마무리 — 반복 업무를 자동화한다

탐지하고 티켓으로 처리했다면, 마지막은 보고다. 맞춤 보고서는 종합 탐지 현황·티켓·리소스 데이터를 위젯으로 끌어와 정형화된 문서로 출력한다. 텍스트·이미지·위젯·코멘트 영역을 드래그 앤드 드롭으로 배치해 원하는 양식을 만들 수 있다.

실무에서 가장 큰 효과는 두 가지다. 첫째, 일·주·월 단위 정기 보고서를 자동 생성·발송하도록 걸어 두면 매번 수작업으로 집계하던 시간이 사라진다. 둘째, ISMS-P나 개인정보보호법 감사에서 요구하는 로그 수집·접근 이력 보고서를 즉시 제출 가능한 형태로 준비할 수 있다. 탐지에서 시작한 데이터가 티켓을 거쳐 보고서까지 한 줄기로 이어지는 셈이다.

하루 운영 루틴 — 관제 모니터로 쓰는 법

화면 기능만 나열하면 활용법이 와닿지 않으니, 이 화면을 관제 모니터로 운영할 때의 실제 흐름으로 정리한다.

아침 점검. 전날 야간(대략 18:00~09:00)에 발생한 High부터 확인한다. 비업무 시간대의 High는 내부 이상 행위이거나 외부 공격일 가능성이 높다. 인적이 없는 시간대에 활동이 있었다는 뜻이기 때문이다. Top 10에서 전날에는 없던 새로운 패턴이 등장했는지도 함께 확인한다.

건수가 급증했을 때. 전일 대비 탐지가 크게 늘었다면 유형별 현황부터 확인한다. 실시간이 늘었는지 배치가 늘었는지를 구분하면 어느 룰을 점검할지 좁혀진다. 한 유형에서만 급증했다면 대부분 해당 유형의 룰 조건 문제다.

국가 집중. 위협 지도에서 특정 국가의 공격이 계속된다면 대역 차단을 검토하고 블랙 IP에 등록한다.

High 처리. 실시간 목록을 일시 정지하고 해당 건으로 티켓을 생성한다. 담당자를 배정하고 처리 이력을 남기면 된다. 그대로 흘려보내지 않는 것이 핵심이다.

화면이 비어 있다면 — 가장 흔한 두 가지 원인

"종합 탐지 현황이 비어 있다"는 문의가 의외로 많다. 원인은 대부분 둘 중 하나다.

• 탐지 룰이 없다. 당연한 이야기지만 설정 → 탐지&알림에 배치·실시간·시나리오 룰이 등록돼 있어야 결과가 생긴다. 이 화면은 룰이 탐지한 결과를 보여줄 뿐, 스스로 탐지를 만들어 내지 않는다.
• Save Data 설정이 맞지 않다. 해당 오브젝트의 Save Data가 Indexed 또는 Parsing으로 설정돼 있어야 한다. 이 설정이 어긋나면 룰을 등록해도 대조할 데이터가 들어오지 않아 원인 표시 없이 빈 화면이 된다.

심층 사례 — 야간에 시작된 연쇄 침해, 시나리오 룰이 잡다

단일 이벤트로는 평범해 보이는 행위도 시간 순서로 이어지면 명백한 침해가 된다. 종합 탐지 현황에서 이 흐름을 어떻게 포착하는지 한 사례로 따라가 본다.

보안 담당자를 위한 활용 방안

종합 탐지 현황의 숫자는 보고용 통계가 아니다. 잘 읽으면 룰 품질과 팀 성숙도를 그대로 드러내는 지표가 된다. 현황판을 SOC 자가 진단 계기판으로 쓰는 방법을 정리한다.

종합 탐지 현황은 화려한 화면이 아니다. 그러나 관제 담당자 입장에서는 가장 자주 보게 되는 화면이고, 잘 다듬어 두면 하루 업무의 리듬을 여기서 잡을 수 있다. 수치를 클릭해 로그까지 파고들고, High는 티켓으로 전환하고, 반복되는 항목은 룰을 조정하는 사이클이 돌기 시작하면 탐지가 비로소 대응으로 연결된다. 띄워 두는 것에 그치지 말고, 매일 직접 다루는 화면으로 활용하기를 권한다.