245. 중요 정보 접근 — ELK/SIEM 기반 접근·유출 탐지와 정탐·오탐 판단

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 45/50편 (전체 245/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 244. 중요 정보 접근 — Wazuh 기반 중요 정보 접근 탐지
• 196. ELK/SIEM 기반 권한 변경 탐지와 정탐·오탐 판단(D영역)

1. 개념

ELK/SIEM은 대량 접근 로그의 검색·집계·시각화·행동 분석(UEBA)에 강합니다. 접근·유출 탐지를 ELK로 구현하고, 핵심인 정탐/오탐 판단과 튜닝을 다룹니다. 읽기 감사는 특히 노이즈가 많아 튜닝이 중요합니다.

ELK 접근·유출 탐지·튜닝
 [쿼리]   audit.key:sensitive_read AND NOT 서비스계정
 [집계]   세션·주체·전송량(상관 E42)
 [시각화] 타임라인·Top 접근자·전송량 추이·UEBA
 [판정]   6축(E08)으로 정탐/오탐
 [튜닝]   오탐 → 서비스·백업·업무패턴 예외

목표: 노이즈 많은 읽기 감사에서 정탐 추출

읽기 감사는 정상 접근이 매우 많아 노이즈가 큽니다. 서비스·업무 패턴을 예외하고 이상 접근만 남기는 튜닝이 핵심입니다.

2. 왜 중요한가

• ELK는 대량 접근 로그를 집계·시각화하고 UEBA로 행동 이상(내부 위협 E43)을 봅니다.
• 정탐/오탐 판단(6축 E08)이 노이즈 많은 접근 탐지의 실질 가치를 결정합니다.
• 전송량·세션 상관 시각화는 유출을 직관적으로 드러냅니다.

3. 핵심 명령어 / 설정

판정	신호	처리
정탐(TP)	6축 위험·유출 연계	대응(E47)
오탐(FP)	서비스·백업·업무	좁은 예외
미탐(FN)	룰·소스 공백	보강
노이즈	정상 읽기 과다	대상 선별
알림 피로	오탐 과다	튜닝

4. 실습 (실습 예시)

# ELK 접근·유출 탐지·튜닝 (분석 방법, KQL 예시)
# 1) 비서비스 주체의 중요 정보 접근
audit.key:sensitive_read and not audit.auid:(mysql or www-data or backup)
# 2) 접근 + 유출 세션 상관
audit.session:99 and (audit.key:sensitive_read or audit.key:exfil)
# 3) 전송량 급증(UEBA)
# aggregation: sum(network.bytes_out) by auid, 베이스라인 대비
# 4) 업무 패턴 예외(정상 접근)
... and not (audit.auid:alice and file:영업DB)

5. 정상 상태

$ (튜닝 후 경보)
정탐 1 / 오탐 0 (최근 7일)
→ 서비스·업무 패턴 예외 후 이상 접근만 남음

튜닝(서비스·업무 예외) 후 정탐만 남고 오탐이 0인, 신뢰할 수 있는 탐지 상태가 정상입니다.

6. 이상 상태

$ (튜닝 전 경보)
정탐 1 / 오탐 320 (최근 7일)
오탐 320건: 서비스 계정·백업의 정상 중요 정보 접근

• 튜닝 전 오탐 320건(서비스·백업 정상 접근) → 정탐 1건이 묻힘(알림 피로)
• 서비스 계정·백업·업무 패턴 예외 → 오탐 제거 → 정탐 부각
• 튜닝은 정탐 유지하며 정상 접근 패턴만 좁게 예외

7. 로그 분석 (분석 방법)

정탐/오탐 판단·튜닝 흐름입니다(가상의 예시).

[경보] 접근 탐지 321건
   ↓ (6축 판정 E08)
[분류] 정탐 1(비서비스·유출 연계) / 오탐 320(서비스·백업)
   ↓ (튜닝)
[예외] not auid:서비스계정, not 업무패턴 (좁게)
   ↓
[결과] 정탐 1건만 경보 → 대응 집중

항목	튜닝 전	튜닝 후
정탐	1(묻힘)	1(부각)
오탐	320	0
알림 피로	높음	낮음

튜닝으로 노이즈를 제거하면 이상 접근에 집중할 수 있습니다.

8. SOC 관제 포인트

• ELK/SIEM은 접근·유출의 집계·시각화·UEBA·정탐/오탐 판단에 강합니다.
• 읽기 감사는 노이즈가 커, 서비스·업무 패턴을 좁게 예외하는 튜닝이 핵심입니다.
• 전송량·세션 상관 시각화가 유출을 직관적으로 드러냅니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,tuning,">
  <!-- 서비스·백업 계정의 정상 접근 예외(좁게) -->
  <rule id="104440" level="2">
    <if_sid>104000</if_sid>
    <field name="audit.auid" type="pcre2">^(mysql|www-data|nginx|postgres|backup)$</field>
    <field name="audit.tty">(none)</field>
    <description>서비스·백업 계정의 비대화형 정상 접근(예외)</description>
    <options>no_email_alert</options>
  </rule>
</group>

예외는 서비스 계정+비대화형(tty none)처럼 좁게 설계합니다. 넓은 예외는 계정 오용(E26)을 놓치므로 피합니다.

10. 대응 방법

1. 초기 확인 — 경보를 6축(E08)으로 정탐/오탐으로 분류합니다.
2. 범위 확인 — 오탐의 공통 정상 맥락(서비스·백업·업무 패턴)을 식별합니다.
3. 증거 확보 — 경보·판정 근거·튜닝 전후 지표를 보존합니다.
4. 차단/조치 — 오탐은 좁은 예외로 튜닝, 미탐은 룰·소스 보강으로 조정합니다.
5. 재발 방지 — 정탐 유지+노이즈 최소화를 목표로 ELK 탐지를 운영합니다.

11. 핵심 정리

판정	처리
정탐(TP)	대응(E47)
오탐(FP)	좁은 예외
미탐(FN)	룰·소스 보강
노이즈	대상 선별
면접 포인트	"읽기 감사는 노이즈 큼 — 서비스·업무 패턴 좁은 예외로 정탐 추출"

12. 다음 편 예고

다음 편 246. 중요 정보 접근 — DLP·FIM 연계 데이터 보호 탐지 에서는 DLP·FIM 연계를 다루는 DLP·FIM 연계 데이터 보호 탐지를 다룹니다.

---

이전 편: 244. 중요 정보 접근 — Wazuh 기반 중요 정보 접근 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점