로그(Log)란 무엇인가?
로그란 시스템이나 프로그램이 동작하는 과정에서 발생하는 이벤트와 상태 정보를 시간 순서대로 기록한 데이터입니다. 스마트폰의 통화 기록처럼, 사용 과정에서 발생한 이력을 시간 순으로 저장해 필요 시 확인할 수 있게 해줍니다.
실제 IT 환경에서 로그가 왜 필수적인지는 다음 상황이 잘 보여줍니다.
| CASE | 로그가 없음 | 로그가 있음 |
|---|---|---|
| 서버가 갑자기 꺼짐 | 원인 파악 불가 | 직전 이벤트로 원인 추적 |
| 해킹 위협 | 침입 경로 불명 | 공격자 행동 경로 파악 |
| 장애 발생 | 감으로 대응 | 데이터 기반으로 대응 |
즉, 로그는 장애 분석·보안 대응·서비스 운영에 필요한 핵심 데이터입니다. 최근에는 ISO 27001, ISMS-P 같은 보안 인증 체계에서도 로그 수집·보관·분석 체계를 필수 보안 항목으로 요구하고 있습니다.
단일 로그 vs 연계 분석 — 시나리오로 이해하기
사용자가 인터넷 서비스를 이용할 때 데이터는 수많은 네트워크 장비와 서버를 거치며, 각 구간은 필연적으로 시간대별 로그를 남깁니다. 같은 사건도 어느 범위의 로그를 보느냐에 따라 판단이 완전히 달라집니다.
03:00:01 로그인 실패 (비밀번호 오류)
03:00:02 로그인 실패 (비밀번호 오류)
03:00:03 로그인 성공 ✓
→ "어, 로그인 됐네. 그냥 비번 잘못 친 거 아닐까?"[방화벽] 02:59:58 해외 IP (러시아 185.220.x.x) 접속 시도 탐지 ⚠ [인증 서버] 03:00:01 로그인 실패 (김철수 계정) [인증 서버] 03:00:02 로그인 실패 (김철수 계정) [인증 서버] 03:00:03 로그인 성공 (김철수 계정) ✓ [웹 서버] 03:00:05 고객 데이터 목록 페이지 접근 [웹 서버] 03:00:07 고객 데이터 1만 건 다운로드 요청 ↓ [DB] 03:00:07 SELECT * FROM customers (전체 조회) → 해외 IP 로그인 직후 대량 데이터 조회 발생. 정보 유출 가능성 의심.
단일 로그만으로는 정상 행위처럼 보이지만, 여러 로그를 함께 분석하면 정보 유출 같은 이상 행위를 훨씬 정확하게 탐지할 수 있습니다.
로그의 종류
| 로그 종류 | 설명 | 예시 |
|---|---|---|
| 시스템 로그 | 운영체제 이벤트 및 오류 기록 | secure.log |
| 웹 로그 | 웹 서버 접근 기록 | access.log |
| 보안 로그 | 방화벽 및 IPS 탐지 기록 | firewall.log |
| DB 로그 | SQL 및 데이터 조회 기록 | query.log |
| 감사 로그 | 사용자 행위 및 설정 변경 기록 | audit.log |
각 로그는 서로 다른 정보를 담고 있으며, 보안 분석 시 서로 연계하여 활용할 수 있습니다.
로그 수집 방식
로그는 생성되는 것만으로는 의미가 없으며, 중앙 시스템으로 수집해 분석하는 과정이 중요합니다. 일반적으로 다음 방식으로 수집됩니다.
- Syslog: 네트워크 장비 및 Linux 로그 전송
- Agent: 서버 내부 에이전트 기반 수집
- SNMP Trap: 이벤트 발생 시 실시간 알림
- Database: DB Query 기반 로그 수집
- 실시간 로그: 원본 로그 발생과 동시에 저장 — Agent, Syslog, SNMP Trap, NetFlow
- 배치성 로그: 이미 적재된 원본 로그를 이후 수집 — Database, FTP/SFTP, Directory
실제 사례 — 비인가자 접근 이슈
1) 이상 징후 탐지
관제 과정에서 특정 내부 서버(192.168.1.25)의 9443 포트로 브라질 대역 Source IP의 접속 시도가 급증하고, 일부 연결 성공 로그가 확인되었습니다. 평소 발생하지 않던 해외 IP 기반 접근이 지속되어 이상 행위 가능성이 의심되는 상황이었습니다.
2) 로그 연계 분석
방화벽 로그만 단독으로 봤다면 단순 스캐닝으로 판단했을 수 있습니다. 하지만 실제 운영에서는 여러 로그를 함께 봐야 정확한 판단이 가능합니다.
| 로그 종류 | 확인 가능한 정보 |
|---|---|
| 방화벽 로그 | 외부 접근 IP·포트·차단 여부 |
| 인증 로그 | 로그인 성공/실패 여부 |
| 시스템 로그 | 권한 상승 및 서비스 실행 여부 |
| 웹 로그 | 관리자 페이지 접근 여부 |
| DB 로그 | 데이터 조회 및 다운로드 여부 |
3) 조치
분석 결과 해당 서버는 외부에 불필요하게 노출된 테스트 서버로 판단되어, 9443 서비스 종료와 방화벽 NAT 정책 삭제로 즉시 차단했습니다. 이후 SSH·웹 접근 성공 여부를 점검한 결과 실제 내부 침입으로 이어진 정황은 없었습니다 (secure 로그 내 비인가 IP 기반 session open 기록 없음).
결론
로그는 단순한 기록 데이터가 아니라 시스템과 네트워크에서 발생한 행위의 흔적이며, 장애 분석과 침입·이상 행위를 분석하는 핵심 자료입니다. 특히 방화벽·서버·웹·DB 로그를 서로 연계하면 단일 로그만으로는 파악하기 어려운 공격 흐름까지 확인할 수 있습니다.
최근에는 ISO 27001·ISMS-P·개인정보보호법 등 다양한 컴플라이언스 체계가 로그 수집·보관·분석 정책을 필수 항목으로 요구합니다. 이에 따라 기업은 단순 저장을 넘어 AI 기반 이상 탐지와 통합 분석 체계를 함께 고려해야 하는 시점에 도달했습니다.