SIEM · 보안관제 › A. SIEM 구조와 로그 수집 · 43/50편
학습 단계: 검색·대시보드·운영
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Wazuh 4.x 올인원 / Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.
선행 학습
1. 개념
시각화는 "예쁘게 보이기"가 아니라 관제원이 한눈에 이상을 알아차리게 하는 도구입니다. 그래서 질문 하나에 시각화 하나를 대응시키고, 질문이 없는 차트는 만들지 않습니다.
질문 → 시각화 선택
지금 몇 건인가? → 지표(Metric) 숫자 + 기준 대비
언제 늘었나? → 선 그래프(시간축)
누가·무엇이 많은가? → 막대(Top N) 또는 표
어떤 조합인가? → 표(호스트×룰, 출발지×계정)
어디서 오는가? → 지도(GeoIP) — 보조용
피해야 할 것
· 항목이 많은 원형 차트(비교 불가)
· 축 없는 3D·장식 효과
· 기준선 없는 숫자(높은지 낮은지 모름)
핵심: 숫자에는 기준을, 그래프에는 시간축을지도 시각화는 보기에는 인상적이지만 판단에 주는 정보가 적은 경우가 많습니다. 국가 분포는 표나 막대로도 충분히 보이므로 보조 패널로 둡니다.
2. 왜 중요한가
- 잘 만든 시각화는 이상 징후 발견 시간을 줄입니다.
- 질문 없는 차트는 화면만 복잡하게 만들고 집중을 흩뜨립니다.
- 기준이 함께 보여야 숫자의 의미를 판단할 수 있습니다.
3. 핵심 명령어 / 설정
| 시각화 | 적합한 질문 | 주의 |
|---|---|---|
| 지표 | 현재 수준 | 기준 대비 표시 |
| 선 그래프 | 추이·급증 | 시간 단위 |
| 막대(Top N) | 상위 항목 | 상위 개수 제한 |
| 표 | 조합·상세 | 정렬 기준 |
| 지도 | 지역 분포 | 보조용 |
4. 실습 (실습 예시)
# 시각화 설계 표 작성 (분석 방법)
cat <<'T'
패널 | 질문 | 형태 | 필드/집계
고위험 Alert 수(24h) | 지금 위험 수준은 | 지표+전일비 | rule.level>=12 count
레벨별 추이(1h 단위) | 언제 늘었나 | 선 그래프 | date_histogram × rule.level 구간
상위 출발지(인증 실패) | 누가 공격하나 | 막대 Top10 | terms data.srcip
호스트×룰 표 | 어디에 무엇이 | 표 | terms agent.name × rule.id
T5. 정상 상태
패널 4개, 각 패널에 질문·기준(전일 대비) 표시각 시각화가 하나의 관제 질문에 대응하고 기준과 함께 표시되면 운영에 유용한 상태입니다.
6. 이상 상태
패널 18개: 원형 차트 7개(항목 30개 이상), 지도 3개, 기준선 없는 숫자 6개
관제원 의견: "어디를 봐야 할지 모르겠다"- 질문 없는 패널 다수 → 이상을 놓치기 쉬운 화면
- 원형 차트 항목 과다 → 비교 불가
- 패널 수를 줄이고 질문 중심으로 재구성 필요
7. 로그 분석 (분석 방법)
시각화 개선 흐름입니다(가상의 예시).
[현재 패널 목록]
↓
[질문 매핑] 각 패널이 답하는 관제 질문
↓
질문 없음 → 삭제
질문 중복 → 통합
형태 부적합 → 교체(원형→막대, 숫자→숫자+기준)
↓
[검토] 관제원이 10초 안에 이상을 찾는가| 개선 | 효과 |
|---|---|
| 질문 없는 패널 삭제 | 집중도 향상 |
| 숫자+기준 | 판단 가능 |
| 원형→막대 | 비교 가능 |
"10초 안에 이상을 찾을 수 있는가"는 간단하지만 효과적인 기준입니다. 새 관제원에게 화면을 보여 주고 어디를 먼저 보는지 확인해 보면 개선점이 드러납니다.
8. SOC 관제 포인트
- 패널마다 질문과 담당 용도를 설명으로 붙입니다.
- 분기마다 사용되지 않는 패널을 정리합니다.
- 숫자 패널은 전일·평균 대비 변화를 함께 보여 줍니다.
9. 탐지 규칙
<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,siem_a,">
<rule id="110420" level="12" frequency="30" timeframe="600">
<if_matched_level>12</if_matched_level>
<description>10분 내 고위험(레벨 12 이상) Alert 30건 초과(대시보드 지표 임계)</description>
</rule>
</group>대시보드의 "고위험 Alert 수" 지표가 평소보다 크게 늘어나는 상황을 룰로도 잡아, 화면을 보고 있지 않을 때도 알 수 있게 하는 예시입니다. 옵션 지원 여부는 버전별로 확인합니다.
10. 대응 방법
- 초기 확인 — 패널별 질문·형태·기준 표시 여부를 확인합니다.
- 범위 확인 — 관제원이 실제로 쓰는 패널과 쓰지 않는 패널을 확인합니다.
- 증거 확보 — 시각화 설계 표를 문서로 보존합니다.
- 차단/조치 — 질문 중심으로 패널을 재구성합니다.
- 재발 방지 — 정기 정리와 사용자 검토를 운영합니다.
11. 핵심 정리
| 원칙 | 내용 |
|---|---|
| 질문 1 = 패널 1 | 질문 없는 패널 금지 |
| 숫자 | 기준 함께 |
| 그래프 | 시간축 |
| 지도 | 보조용 |
| 면접 포인트 | "시각화는 질문에 답하는 도구 — 숫자에는 기준을, 그래프에는 시간축을" |
12. 다음 편 예고
다음 편 044. SIEM·로그 수집 — SOC 대시보드 설계 원칙 에서는 관제 첫 화면·분석 화면·보고 화면을 역할별로 나누고, 위에서 아래로 "위험 수준 → 추이 → 대상 → 상세" 순서로 배치하는 SOC 대시보드 설계 원칙을 다룹니다.
이전 편: 042. SIEM·로그 수집 — 검색 쿼리 실전 — 필터·집계·시계열
📚 시리즈 전체 보기: SIEM · 보안관제
