050. SIEM·로그 수집 — SIEM 구조와 로그 수집 종합 정리

A영역종합 SIEM SIEM · 보안관제 SIEM종합 Soc Wazuh 보안관제

SIEM · 보안관제 › A. SIEM 구조와 로그 수집 · 50/50편
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Wazuh 4.x 올인원 / Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

049. SIEM·로그 수집 — 실전 시나리오 — 신규 서버 SIEM 편입부터 첫 Alert까지

1. 개념

A영역 50편을 정리합니다. 한 문장으로 요약하면 "Alert를 믿으려면, 그 Alert가 만들어진 데이터부터 믿을 수 있어야 한다"입니다. 수집·정규화·저장·운영의 네 축이 이 신뢰를 만듭니다.

A영역 50편 지도
 [구조·환경 001~008]   SIEM 5계층 · Wazuh 구성요소 · 에이전트 등록·상태 · localfile
 [로그 소스 009~020]   인증 · journald · auditd · 웹 · DB · 방화벽 · IDS · Windows
                       syslog · 네트워크 장비 · 컨테이너 · 수집 누락(침묵)
 [디코딩·정규화 021~030] 3단계 처리 · 기본/커스텀/JSON 디코더 · logtest 회귀
                       공통 스키마 · 시간 · 식별자 · 보강 · 품질 지표
 [저장·파이프라인 031~040] 인덱스·매핑 · 보존(ISM) · EPS 용량 · Filebeat·Logstash
                       백프레셔 · 전송 보안 · 무결성 · 종합 점검
 [검색·운영 041~048]   DQL · 집계 · 시각화 · SOC 대시보드 · 수집 상태 · 튜닝
                       체크리스트 · 장애 대응
 [종합 049~050]        편입 시나리오 · 종합 정리

신뢰의 4축
 수집됐는가 → 해석됐는가 → 저장·검색되는가 → 계속 그런가(운영)

B영역에서는 이렇게 신뢰할 수 있게 된 데이터 위에 탐지 룰을 설계·검증·튜닝하는 방법(룰 구조, 빈도·상관 룰, Sigma, MITRE 매핑, 오탐 관리)을 다룹니다.

2. 왜 중요한가

A영역은 이후 모든 탐지·분석·대응 영역의 전제 조건입니다.
수집 품질을 설명할 수 있는 관제원은 Alert 판단의 신뢰도도 높습니다.
면접에서 "SIEM을 어떻게 운영하나"에 구조적으로 답할 수 있습니다.

3. 핵심 명령어 / 설정

축	핵심 질문	대표 지표
수집	로그가 오는가	에이전트 상태·소스 침묵
해석	필드로 나뉘는가	디코딩 실패율·필드 채움률
저장	검색·보존되는가	cluster status·지연·보존일
운영	계속 그런가	체크리스트 수행·장애 대응

4. 실습 (실습 예시)

# A영역 종합 점검 루틴 (분석 방법) — 10분 점검
sudo /var/ossec/bin/wazuh-control status | grep -c 'is running'
sudo /var/ossec/bin/agent_control -l | grep -cE 'Disconnected|Never'
sudo grep -oP "events_dropped='\K[0-9]+" /var/ossec/var/run/wazuh-analysisd.state
curl -sk -u 'admin:<비밀번호>' https://localhost:9200/_cluster/health | grep -oP '"status":"\K[a-z]+'
tail -n 1 /root/siem-ops/daily_check.log

5. 정상 상태

running 6 · 끊김 0 · drop 0 · green · 일일 점검 오늘 기록 있음

네 축의 대표 지표가 모두 기준값이면 이 SIEM이 만드는 Alert를 신뢰하고 탐지 개선(B영역)에 집중할 수 있습니다.

6. 이상 상태

running 6 · 끊김 2 · drop 1,204 · yellow · 일일 점검 4일 전

여러 축에서 동시에 이상 → Alert 신뢰도 낮음
이 상태에서 룰을 튜닝하면 잘못된 데이터로 잘못된 결론
수집·운영 축부터 복구한 뒤 탐지 작업으로 넘어가야 함

7. 로그 분석 (분석 방법)

「SIEM · 보안관제」 시리즈 흐름입니다(가상의 예시).

A SIEM 구조와 로그 수집   데이터를 믿을 수 있게 만든다        ← 완료
   ↓
B 탐지 룰 엔지니어링      믿을 수 있는 데이터로 무엇을 잡을지 정한다
   ↓
C 보안 이벤트 분석·트리아지  울린 Alert를 판단한다
   ↓
D 위협 헌팅·MITRE ATT&CK  울리지 않은 것을 찾는다
   ↓
E 침해사고 대응(IR)       확인된 사고를 처리한다
   ↓
F SOC 운영·보고           이 모든 것을 반복 가능하게 만든다

영역	관제 질문
A	데이터를 믿을 수 있나
B	무엇을 잡을까
C	이 Alert는 진짜인가
D~F	놓친 것·처리·운영

각 영역은 앞 영역의 결과를 전제로 합니다. A영역에서 만든 점검 지표는 B영역 이후에도 "이 결론을 믿어도 되는가"를 판단하는 기준으로 계속 쓰입니다.

8. SOC 관제 포인트

10분 종합 점검을 교대 시작 루틴으로 씁니다.
네 축 지표를 주간 보고의 첫 페이지에 둡니다.
탐지 개선 작업 전에 수집 신뢰도를 먼저 확인합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,siem_a,">
  <rule id="110490" level="3">
      <if_sid>110000,110190,110300,110360,110390</if_sid>
      <description>A영역 수집·저장 신뢰도 관련 이벤트(종합 대시보드 집계용)</description>
    </rule>
</group>

A영역에서 만든 수집·저장 관련 룰을 하나로 묶어 대시보드에서 "데이터 신뢰도" 패널을 만드는 집계용 예시입니다. if_sid에 여러 룰 ID를 쉼표로 나열할 수 있습니다.

10. 대응 방법

초기 확인 — 네 축의 대표 지표를 확인합니다.
범위 확인 — 이상 축의 영향 범위를 확인합니다.
증거 확보 — 점검 결과를 기록합니다.
차단/조치 — 수집·운영 축을 우선 복구합니다.
재발 방지 — 종합 점검을 교대 루틴과 주간 보고에 반영합니다.

11. 핵심 정리

축	질문
수집	오는가
해석	나뉘는가
저장	찾을 수 있는가
운영	계속 그런가
면접 포인트	"Alert를 믿으려면 데이터부터 믿을 수 있어야 한다 — 수집, 해석, 저장, 운영의 네 축"

12. 다음 편 예고

A영역 「SIEM 구조와 로그 수집」 50편이 이 글로 마무리됩니다. 다음 B영역 「탐지 룰 엔지니어링」에서는 Wazuh 룰 구조와 레벨 설계, 빈도·상관 룰, Sigma 룰 변환, MITRE ATT&CK 매핑, 오탐 관리와 룰 회귀 시험을 다룹니다. 전체 목록은 아래 시리즈 링크에서 확인할 수 있습니다.

이전 편: 049. SIEM·로그 수집 — 실전 시나리오 — 신규 서버 SIEM 편입부터 첫 Alert까지
📚 시리즈 전체 보기: SIEM · 보안관제