045. SIEM·로그 수집 — 수집 상태 모니터링 대시보드

SIEM · 보안관제 › A. SIEM 구조와 로그 수집 · 45/50편
학습 단계: 검색·대시보드·운영
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Wazuh 4.x 올인원 / Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 044. SIEM·로그 수집 — SOC 대시보드 설계 원칙

1. 개념

A영역에서 다룬 수집 지표들을 SIEM 운영용 대시보드 하나로 모읍니다. 관제 첫 화면의 "수집 이상" 숫자를 눌렀을 때 이동하는 상세 화면이라고 생각하면 됩니다.

수집 상태 대시보드 구성
 [에이전트]  Active/Disconnected/Never connected 수 · 끊긴 목록·마지막 연결
 [소스]      호스트×소스 수신량 히트맵(최근 24h) · 0건 조합(020편)
 [분석]      events_received 추이 · events_dropped(037편)
 [전송·저장] 최신 문서 지연 · cluster status · 디스크 사용률(031·035편)
 [품질]      디코딩 실패율 · 필드 누락률(030편)

데이터 출처
 wazuh-monitoring-*  (에이전트 상태 이력)
 wazuh-statistics-*  (매니저 통계)
 점검 스크립트 JSON 결과(check=...)  ← 앞 편들의 룰 예시

핵심: SIEM이 "자기 자신"을 감시하는 화면

수신량 히트맵(호스트×시간)은 특정 호스트·시간대만 비어 있는 패턴을 시각적으로 바로 보여 줘, 소스 침묵 탐지에 특히 효과적입니다.

2. 왜 중요한가

• 수집 장애를 사용자 문의보다 먼저 발견할 수 있습니다.
• 분산된 점검 결과를 한 화면에서 판단할 수 있습니다.
• SIEM 운영 품질을 수치로 보고할 수 있습니다.

3. 핵심 명령어 / 설정

패널	데이터	이상 기준(예)
에이전트 상태	wazuh-monitoring	Disconnected ≥ 1
수신량 히트맵	alerts 집계	빈 칸
드롭	statistics·점검 JSON	> 0
저장 지연	점검 JSON	≥ 10분
클러스터	점검 JSON	yellow/red

4. 실습 (실습 예시)

# 에이전트 상태 이력 확인 (실습 예시, monitoring 인덱스)
AUTH='admin:<비밀번호>'
curl -sk -u "$AUTH" -H 'Content-Type: application/json' "https://localhost:9200/wazuh-monitoring-*/_search?size=0" -d '{
  "query": { "range": { "timestamp": { "gte": "now-1h" } } },
  "aggs": { "status": { "terms": { "field": "status" } } } }' | grep -E '"key"|"doc_count"'

5. 정상 상태

active 3 · disconnected 0
히트맵: 모든 호스트×시간 칸 채워짐
drop 0 · 지연 4초 · green · 디스크 41%

모든 패널이 기준 안에 있으면 SIEM이 들어오는 데이터를 신뢰할 수 있는 상태입니다.

6. 이상 상태

히트맵: db01 × 02:00~05:00 빈 칸 (다른 호스트 정상)
에이전트 상태: db01 active (끊김 없음)

• 에이전트는 살아 있는데 로그만 없음 → 소스 침묵
• DB 백업 작업으로 인한 정상 무활동인지, 로그 설정 변경인지 확인
• 에이전트 상태만 보는 감시로는 놓치는 유형

7. 로그 분석 (분석 방법)

수집 상태 판독 흐름입니다(가상의 예시).

[에이전트 패널] 끊김 여부
   ↓
[히트맵] 빈 칸 → 호스트 전체 / 특정 시간 / 특정 소스
   ↓
[분석·저장 패널] 드롭·지연·클러스터
   ↓
[품질 패널] 디코딩 실패 급증
   ↓
[결론] 어느 구간 장애인지(040편 점검 지도) → 대응

증상	구간
에이전트 끊김	수집
히트맵 빈칸(에이전트 정상)	소스
드롭·지연	분석·전송
red	저장

히트맵의 빈칸이 정상 무활동인지 판단하려면 그 호스트의 평소 패턴(야간 무활동 여부)을 기준선으로 함께 봐야 합니다.

8. SOC 관제 포인트

• 수집 상태 대시보드를 SIEM 운영 담당의 첫 화면으로 둡니다.
• 관제 첫 화면의 수집 이상 패널과 연결합니다.
• 주간 보고에 수집 가용률(정상 시간 비율)을 넣습니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,siem_a,">
  <rule id="110440" level="8">
      <if_sid>110190</if_sid>
      <list field="host" lookup="match_key_value" check_value="high">etc/lists/critical-hosts</list>
      <description>중요 자산 소스 침묵(수집 상태 대시보드 상세 확인)</description>
    </rule>
</group>

020편의 소스 침묵 룰(110190)을 상위로 두고, 중요 자산이면 별도 표시하는 예시입니다. 필드 이름(host)은 침묵 점검 스크립트가 남기는 형식에 맞춥니다.

10. 대응 방법

1. 초기 확인 — 에이전트·수신량·드롭·저장 패널을 확인합니다.
2. 범위 확인 — 이상 구간과 영향 호스트·소스를 확인합니다.
3. 증거 확보 — 패널 상태를 캡처·기록합니다.
4. 차단/조치 — 해당 구간을 복구하고 누락 데이터를 확인합니다.
5. 재발 방지 — 수집 가용률을 정기 보고합니다.

11. 핵심 정리

패널	감시 대상
에이전트	연결
히트맵	소스 침묵
드롭·지연	처리
클러스터·품질	저장·파싱
면접 포인트	"SIEM이 자기 자신을 감시하는 화면 — 에이전트가 살아 있어도 로그는 멈출 수 있다"

12. 다음 편 예고

다음 편 046. SIEM·로그 수집 — SIEM 성능 튜닝 — 노이즈 로그 필터링 에서는 탐지 가치가 낮은 대량 로그를 식별하고 수집 단계·디코딩 단계·룰 단계 중 어디서 줄일지 판단하는 노이즈 필터링 방법과 위험을 다룹니다.

---

이전 편: 044. SIEM·로그 수집 — SOC 대시보드 설계 원칙
📚 시리즈 전체 보기: SIEM · 보안관제