SIEM · 보안관제 › A. SIEM 구조와 로그 수집 · 44/50편
학습 단계: 검색·대시보드·운영
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Wazuh 4.x 올인원 / Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.
선행 학습
1. 개념
SOC 대시보드는 하나로 모든 것을 보여 주려 하면 실패합니다. 누가, 언제, 무엇을 판단하려고 보는가에 따라 화면을 나눕니다. 관제 첫 화면은 "지금 조치가 필요한가"에만 답하면 됩니다.
대시보드 3종
① 관제 첫 화면(실시간) : 지금 대응할 것이 있는가
② 분석 화면(조사용) : 이 Alert의 맥락은 무엇인가(호스트·출발지 드릴다운)
③ 보고 화면(일·주간) : 추이·성과·개선 지표
관제 첫 화면 배치(위 → 아래)
[1행] 고위험 Alert 수 · 미처리 건수 · 수집 이상(에이전트·침묵)
[2행] 레벨별 추이(최근 24h)
[3행] 상위 대상: 호스트 · 출발지 · 룰
[4행] 고위험 Alert 목록(최신순, 클릭 시 분석 화면)
핵심: 위에서 "판단", 아래로 갈수록 "상세"수집 이상(에이전트 끊김·소스 침묵)을 첫 화면 1행에 두는 이유는, Alert가 없는 것이 정상인지 수집 장애인지를 먼저 알아야 나머지 숫자를 믿을 수 있기 때문입니다.
2. 왜 중요한가
- 역할별 화면 분리로 각 화면이 단순해집니다.
- 배치 순서가 일정하면 교대 근무자 간 판단 속도가 같아집니다.
- 수집 상태를 함께 보여 주면 "조용한 장애"를 놓치지 않습니다.
3. 핵심 명령어 / 설정
| 화면 | 사용자 | 핵심 질문 |
|---|---|---|
| 관제 첫 화면 | 관제원(실시간) | 지금 대응할 것이 있는가 |
| 분석 화면 | 분석가 | 맥락·범위는 |
| 보고 화면 | 관리자·고객 | 추이·개선 |
| 수집 상태 | SIEM 운영 | 데이터를 믿을 수 있는가 |
4. 실습 (실습 예시)
# 관제 첫 화면 패널 정의서 (분석 방법)
cat <<'T'
행 | 패널 | 질의/집계 | 기준·임계
1 | 고위험 Alert(1h) | rule.level >= 12 count | 전일 동시간 대비
1 | 미처리 건수 | (티켓 시스템 연동 또는 태그) | 0 목표
1 | 수집 이상 | Disconnected 에이전트 수 + 침묵 소스 수 | 0 목표
2 | 레벨별 추이(24h) | date_histogram 30m × level 구간 | 급증 표시
3 | 상위 호스트·출발지 | terms agent.name / data.srcip (level>=10) | Top 10
4 | 고위험 목록 | level>=12 최신순, 열: 시각·호스트·룰·출발지 | 클릭→분석
T5. 정상 상태
1행: 고위험 2(전일 3) · 미처리 0 · 수집 이상 0
2행: 추이 평탄
→ 판단: 즉시 대응 사항 없음(10초 내 판단)1행만 보고도 대응 필요 여부를 판단할 수 있고, 아래 행이 그 판단의 근거를 보여 주면 잘 설계된 첫 화면입니다.
6. 이상 상태
1행: 고위험 0 · 미처리 0 · 수집 이상 3(에이전트 끊김 web01·db01·app01)
→ 고위험 0을 "평온"으로 보면 오판- 핵심 서버 3대 수집 중단 → 고위험 0의 신뢰도 낮음
- 수집 이상 패널이 없었다면 놓쳤을 상황
- 첫 화면에서 데이터 신뢰도를 먼저 확인하는 구조의 효과
7. 로그 분석 (분석 방법)
첫 화면 판독 순서입니다(가상의 예시).
[1행 오른쪽] 수집 이상 = 0 ?
├─ 아니오 → 데이터 신뢰도 낮음 → 수집 복구 먼저
└─ 예 → 숫자 신뢰
↓
[1행 왼쪽] 고위험·미처리 → 대응 대상 존재?
↓
[2행] 언제부터
↓
[3·4행] 어디·무엇 → 분석 화면으로 이동| 1행 상태 | 판단 |
|---|---|
| 수집 이상 有 | 숫자 불신, 복구 우선 |
| 고위험 有 | 목록 확인 |
| 모두 0 | 정상 감시 지속 |
관제 첫 화면의 성공 기준은 "새로 온 관제원도 같은 순서로 같은 판단을 내리는가"입니다. 배치 순서와 판독 순서를 문서로 함께 남깁니다.
8. SOC 관제 포인트
- 화면을 역할별로 분리하고 각 화면의 질문을 명시합니다.
- 첫 화면 1행에 수집 상태를 반드시 둡니다.
- 판독 순서를 교대 인수인계 문서에 넣습니다.
9. 탐지 규칙
<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,siem_a,">
<rule id="110430" level="12">
<if_sid>504</if_sid>
<list field="agent.name" lookup="match_key_value" check_value="high">etc/lists/critical-hosts</list>
<description>중요 자산 에이전트 연결 끊김(첫 화면 수집 이상 패널 대상)</description>
</rule>
</group>첫 화면 "수집 이상" 패널에 들어갈 이벤트를 룰로 정의한 예시입니다. 중요 자산의 수집 중단은 다른 Alert 숫자의 신뢰도를 떨어뜨리므로 높은 레벨로 둡니다.
10. 대응 방법
- 초기 확인 — 첫 화면 1행의 수집 상태와 고위험 수치를 확인합니다.
- 범위 확인 — 수집 이상이 있으면 영향 자산·기간을 확인합니다.
- 증거 확보 — 판단 근거(화면 상태·질의)를 기록합니다.
- 차단/조치 — 수집 복구 또는 고위험 Alert 분석으로 진행합니다.
- 재발 방지 — 화면 구성과 판독 순서를 정기 검토합니다.
11. 핵심 정리
| 원칙 | 내용 |
|---|---|
| 화면 분리 | 관제·분석·보고 |
| 배치 | 판단 → 상세 |
| 1행 | 수집 상태 포함 |
| 기준 | 10초 판단·같은 순서 |
| 면접 포인트 | "첫 화면은 지금 대응할 게 있는가에만 답한다 — 그 숫자를 믿을 수 있는지가 1행에 있어야 한다" |
12. 다음 편 예고
다음 편 045. SIEM·로그 수집 — 수집 상태 모니터링 대시보드 에서는 에이전트 상태·소스별 수신량·분석 드롭·저장소 상태·파이프라인 지연을 한 화면에 모아 SIEM 자체의 건강을 감시하는 대시보드를 구성합니다.
이전 편: 043. SIEM·로그 수집 — 시각화 구성 — 지표·추이·Top N
📚 시리즈 전체 보기: SIEM · 보안관제
