SOC 지표와 품질관리
SOC가 커질수록 "열심히 한다"는 증명이 안 된다. 지표로 관리해야 품질이 유지되고 SLA를 지킬 수 있다.
핵심 지표
| 지표 | 의미 | 주의 |
|---|---|---|
| MTTD (평균 탐지 시간) | 발생~탐지까지 | 짧을수록 좋음 |
| MTTR (평균 대응 시간) | 탐지~대응완료까지 | 트리아지/분석/대응 구간을 나눠 봐야 병목이 보임 |
| 알람량 | 기간당 알람 수 | 과다하면 알람 피로·누락 |
| 오탐률(FP rate) | 오탐/전체 알람 | 높으면 신뢰 하락, 정탐을 묻어버림 |
| 에스컬레이션 비율 | L1→L2 비율 | 너무 높으면 L1 기준이 약함 |
| SLA 준수율 | 계약 대응시간 충족 | 원격관제의 계약 근거 |
:::warning 지표의 함정 "알람 처리 건수"를 성과로 삼으면 빨리 닫기 유인이 생겨 정탐을 놓친다. 처리량(Quantity)과 정확도(Quality)를 함께 봐야 한다. :::
알람 피로와 오탐 관리
과도한 오탐은 SOC의 가장 흔한 실패 원인이다.
- 오탐이 많은 유스케이스를 식별해 튜닝 또는 폐기한다. 안 고치는 룰은 분석가가 무시하게 된다.
- 예외·화이트리스트는 근거와 만료를 두고 관리한다(영구 예외는 미탐의 씨앗).
- 중복 알람을 묶고(aggregation), 우선순위로 정렬해 "볼 것부터" 보게 한다.
탐지 룰·유스케이스 튜닝
- 신규 유스케이스는 운영 투입 전 테스트(과거 로그로 오탐량 추정).
- 정기적으로 유스케이스를 리뷰해 커버리지(새 위협 반영)와 노이즈(오탐) 를 함께 조정한다.
- ATT&CK 커버리지 맵으로 미탐 전술을 찾아 우선순위를 정한다.
품질관리(QM)
대규모·원격관제에서 품질은 개인기가 아니라 프로세스로 유지한다.
- 처리 샘플 검수: 분석가가 닫은 알람을 QM이 표본 재검토해 오분류를 잡는다.
- 런북·기준의 표준화: 같은 상황에 같은 판단이 나오게.
- 교대 인수인계 점검: 열린 건·임시 차단이 유실되지 않는지.
- 고객사 보고: 지표·주요 이벤트·조치 내역을 주기적으로 보고(원격관제의 신뢰 근거).
요약
- MTTD·MTTR·오탐률·SLA를 함께 본다. 처리량만 보면 품질이 무너진다.
- 오탐 관리와 룰 튜닝이 탐지 신뢰를 지킨다.
- 규모가 커질수록 QM(표본 검수·표준화·인수인계)이 성패를 가른다.