탐지 파이프라인 — 로그에서 대응까지
SOC의 탐지는 하나의 파이프라인이다. 어느 단계가 약하면 전체가 약해진다.
[로그 소스] → [수집·정규화] → [상관분석/룰] → [알람] → [트리아지(L1)]
→ [분석(L2)] → [대응·에스컬레이션] → [피드백: 룰 튜닝]
1. 로그 소스 — 무엇을 보는가
탐지는 결국 가진 로그 안에서만 가능하다. 소스 선정이 탐지 범위를 정한다.
| 영역 | 대표 소스 |
|---|---|
| 네트워크 | 방화벽, IDS/IPS, 프록시, DNS, NetFlow |
| 엔드포인트 | EDR, OS 이벤트 로그, 안티멀웨어 |
| 인증·계정 | AD/LDAP, SSO/IdP, 특권계정 |
| 애플리케이션 | 웹서버, WAF, DB 감사 로그 |
| 클라우드 | CloudTrail 류 감사, IAM, 워크로드 로그 |
- 커버리지 공백이 곧 미탐 영역이다. 로그가 없는 자산은 탐지도 없다.
- 소스마다 포맷·시간대·필드가 달라 정규화가 필요하다. 시간 동기화(NTP)가 어긋나면 상관분석이 깨진다.
2. 수집·정규화
- 에이전트/신디케이터/포워더로 수집해 SIEM(또는 로그 레이크)에 적재한다.
- 공통 스키마로 정규화해 필드를 맞춘다(사용자·호스트·행위·결과).
- 보존 기간·용량(라이선스/스토리지)이 수집 범위의 현실적 제약이 된다.
3. 상관분석과 유스케이스
유스케이스(Use Case) 는 "무엇을 어떤 조건으로 탐지할지"를 정의한 탐지 시나리오다. SOC의 탐지력은 룰 개수가 아니라 유스케이스의 질에서 나온다.
- 단일 이벤트가 아니라 여러 이벤트의 조합·순서·임계치로 판단한다(예: 다수 실패 로그인 뒤 성공 → 비정상 시간대 접근).
- 위협 인텔(IOC)·행위 기반(ATT&CK 매핑)을 함께 쓴다.
- 유스케이스는 탐지 목표 → 필요한 로그 → 로직 → 예상 오탐 → 대응 절차를 한 묶음으로 설계한다.
:::tip MITRE ATT&CK 매핑 유스케이스를 ATT&CK 기법에 매핑하면 "우리가 어떤 전술·기법을 탐지/미탐하는지"가 커버리지 맵으로 보인다. (AI 시스템 대상은 MITRE ATLAS) :::
4. 알람 → 트리아지 → 대응
- 알람: 유스케이스에 걸린 이벤트. 양이 많으면 분석가가 마비된다(알람 피로).
- 트리아지(L1): 오탐/정탐 선별, 우선순위 부여, 기준 초과 시 에스컬레이션.
- 분석(L2): 범위·영향 판단, 관련 이벤트 연계, 대응 실행.
- 대응: 계정 잠금·호스트 격리·IP 차단 등. 사고로 판단되면 침해대응(IR)으로 넘긴다.
- SOAR: 반복 대응(격리·차단·티켓 생성)을 자동화해 L1 부하를 줄인다.
5. 피드백 — 파이프라인은 순환한다
대응에서 끝이 아니라, 오탐·미탐을 룰에 되먹인다. 이 순환이 없으면 알람은 늘고 신뢰는 떨어진다. (지표·튜닝은 다음 문서)
요약
- 탐지 범위 = 가진 로그 소스의 범위. 공백이 곧 미탐.
- 탐지력 = 룰 개수가 아니라 유스케이스의 질과 ATT&CK 커버리지.
- 대응과 피드백까지 순환해야 파이프라인이 유지된다.