047. SIEM·로그 수집 — SIEM 운영 체크리스트 — 일일·주간 점검

SIEM · 보안관제 › A. SIEM 구조와 로그 수집 · 47/50편
학습 단계: 검색·대시보드·운영
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Wazuh 4.x 올인원 / Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 046. SIEM·로그 수집 — SIEM 성능 튜닝 — 노이즈 로그 필터링

1. 개념

지금까지의 점검 항목을 주기별 체크리스트로 정리합니다. 체크리스트의 목적은 사람이 바뀌어도 같은 기준으로 SIEM 상태를 확인하게 만드는 것입니다.

SIEM 운영 체크리스트
 [교대 시작 / 매일]
  □ 매니저 데몬 running · events_dropped 0         (005·037)
  □ Disconnected 에이전트 0 · 끊긴 사유 확인         (007)
  □ 소스 침묵 0 (호스트×소스 수신량)                (020)
  □ 클러스터 green · 오늘 인덱스 생성 · 저장 지연    (031·035)
 [매주]
  □ 디코딩 실패율·필드 누락률                       (030)
  □ 상위 노이즈 룰 · 튜닝 예외 만료                  (046)
  □ 용량 증가·고갈 예상일                            (034)
  □ 신규 자산 편입 여부 · 수집 인벤토리 갱신         (003)
 [매월]
  □ 인증서 만료(30일 이내)                           (038)
  □ 보존 정책·가장 오래된 인덱스                     (033)
  □ 위협 인텔·자산 CDB 갱신                          (029)
  □ 회귀 시험 샘플 갱신                              (025)

핵심: 점검 결과는 "확인함"이 아니라 수치로 남긴다

체크리스트 결과를 수치와 함께 기록하면 월별 추세를 볼 수 있고, 운영 개선의 근거가 됩니다. "이상 없음"만 적힌 기록은 나중에 아무것도 증명하지 못합니다.

2. 왜 중요한가

• 사람이 바뀌어도 같은 품질로 SIEM을 운영할 수 있습니다.
• 조용한 장애(침묵·드롭·만료)를 정기적으로 걸러냅니다.
• 점검 기록이 운영 성과와 개선 근거가 됩니다.

3. 핵심 명령어 / 설정

주기	핵심	근거 편
매일	데몬·에이전트·침묵·저장	005·007·020·031
매주	품질·노이즈·용량·자산	030·046·034·003
매월	인증서·보존·인텔·회귀	038·033·029·025
변경 시	문법 검사·회귀 시험	005·025

4. 실습 (실습 예시)

# 일일 점검 결과를 수치로 남기기 (분석 방법)
{
  echo "date=$(date +%F) shift=day"
  echo "daemons=$(sudo /var/ossec/bin/wazuh-control status | grep -c 'is running')"
  echo "disconnected=$(sudo /var/ossec/bin/agent_control -l | grep -c Disconnected)"
  echo "dropped=$(sudo grep -oP "events_dropped='\K[0-9]+" /var/ossec/var/run/wazuh-analysisd.state)"
  echo "cluster=$(curl -sk -u 'admin:<비밀번호>' https://localhost:9200/_cluster/health | grep -oP '"status":"\K[a-z]+')"
} | tee -a /root/siem-ops/daily_check.log

5. 정상 상태

date=2026-10-09 shift=day daemons=6 disconnected=0 dropped=0 cluster=green

모든 항목이 수치로 기록되고 기준값을 만족하면 그날의 SIEM 상태는 신뢰할 수 있습니다.

6. 이상 상태

daily_check.log 최근 5일: 기록 없음
그 사이 인증서 만료로 filebeat 전송 중단 3일

• 점검 중단 → 조용한 장애 장기화
• 만료 예정 항목(월간 점검)이 누락되어 사고로 이어짐
• 체크리스트 수행 여부 자체를 감시해야 함

7. 로그 분석 (분석 방법)

체크리스트 운영 흐름입니다(가상의 예시).

[수행] 주기별 점검 → 수치 기록
   ↓
[판단] 기준 위반 항목 → 티켓 생성
   ↓
[추세] 주간·월간 수치 비교
   ↓
[개선] 반복 위반 항목 → 자동 점검·룰화
   ↓
[수행 감시] 기록 누락일 확인

상태	조치
기준 위반	티켓·복구
반복 위반	자동화·근본 개선
기록 누락	수행 확인

반복해서 수동으로 확인하는 항목은 점검 스크립트와 룰(이번 영역의 check=* 예시들)로 자동화해, 사람은 판단에 집중하도록 바꿔 갑니다.

8. SOC 관제 포인트

• 일일 점검 결과를 수치 로그로 남깁니다.
• 기준 위반은 반드시 티켓으로 추적합니다.
• 체크리스트 기록 누락도 점검 대상으로 둡니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,siem_a,">
  <rule id="110460" level="10">
      <decoded_as>json</decoded_as>
      <field name="check">^daily_ops$</field>
      <field name="last_run_hours" type="pcre2">^(2[6-9]|[3-9][0-9]|[1-9][0-9]{2,})$</field>
      <description>SIEM 일일 운영 점검 26시간 이상 미수행</description>
    </rule>
</group>

일일 점검이 실행되지 않은 상태 자체를 경보하는 예시입니다. 점검이 멈추면 조용한 장애가 길어지므로, 점검 수행 여부도 감시 대상에 넣습니다.

10. 대응 방법

1. 초기 확인 — 주기별 체크리스트 수행 결과를 확인합니다.
2. 범위 확인 — 기준 위반 항목과 영향 범위를 확인합니다.
3. 증거 확보 — 점검 수치 기록을 보존합니다.
4. 차단/조치 — 위반 항목을 티켓으로 처리하고 복구합니다.
5. 재발 방지 — 반복 항목 자동화와 수행 감시를 운영합니다.

11. 핵심 정리

주기	대표 항목
매일	데몬·에이전트·침묵·저장
매주	품질·노이즈·용량
매월	인증서·보존·인텔
원칙	수치로 기록
면접 포인트	"점검은 확인함이 아니라 숫자로 남긴다 — 점검이 멈춘 것도 감시 대상이다"

12. 다음 편 예고

다음 편 048. SIEM·로그 수집 — 수집·정규화 장애 대응 절차 에서는 수집 중단·파싱 실패·저장 차단 같은 SIEM 장애가 발생했을 때 영향 평가·임시 조치·복구·누락 데이터 보완·보고까지의 대응 절차를 정리합니다.

---

이전 편: 046. SIEM·로그 수집 — SIEM 성능 튜닝 — 노이즈 로그 필터링
📚 시리즈 전체 보기: SIEM · 보안관제