SOC · 보안관제 개요

SOC(Security Operations Center, 보안관제센터) 는 조직의 보안 이벤트를 상시 모니터링·분석·대응하는 조직·체계다. 탐지 기술(SIEM·EDR 등)만을 뜻하지 않고, 사람·프로세스·기술이 함께 돌아가는 운영 체계 전체를 가리킨다.

이 섹션은 단일 조직의 자체 관제뿐 아니라, 다수 고객사를 원격으로 관제하는 대규모 운영 관점에서 정리한다. 규모가 커질수록 "탐지를 잘하는가"보다 "일관된 품질로 24시간 돌아가는가" 가 핵심이 되기 때문이다.

SOC가 하는 일

기능	내용
모니터링	로그·이벤트 상시 수집·관찰 (24x7)
탐지	상관분석·룰·위협 인텔로 의심 이벤트 식별
분석(트리아지)	오탐/정탐 판별, 영향·우선순위 산정
대응	격리·차단·에스컬레이션, 침해사고 대응 연계
개선	탐지 룰·유스케이스 튜닝, 지표 기반 품질관리

사람·프로세스·기술

SOC는 세 축이 맞물려야 성립한다. 하나만 좋아도 안 된다.

• 사람: 분석가 계층(Tier), 교대 근무, 역할 분담
• 프로세스: 트리아지 절차, 에스컬레이션 기준, 런북, SLA
• 기술: 로그 수집, SIEM/상관분석, EDR·NDR, SOAR, 위협 인텔

자체 SOC vs 위탁(MSSP) vs 하이브리드

구분	특징
자체(In-house)	조직 맥락 이해 깊음, 인력·24x7 유지 비용 큼
위탁(MSSP)	24x7·전문성 확보 쉬움, 조직 맥락·기밀 공유 한계
하이브리드	1차 관제는 위탁, 심층 분석·대응은 내부 — 현실적으로 가장 흔함

이 섹션 구성

문서	내용
운영 모델	Tier 체계·24x7 교대·역할, 자체/위탁/하이브리드
탐지 파이프라인	로그 소스→수집→상관분석→알람→트리아지→대응, 유스케이스
지표와 품질관리	MTTD·MTTR 등 지표, 오탐 관리, 룰 튜닝, QM

침해사고 대응(IR)은 SOC의 대응 단계와 이어지는 별도 주제로, 이후 추가한다.