SIEM 구축: 계획과 모범 사례

사이버 보안 관리자가 오류 로그를 분석하는 일은 번거롭습니다. 우선 수백 건의 항목을 일일이 살펴봐야 할 뿐 아니라, 다양한 시스템, 서버, OS 등에서 이 과정을 여러 번 반복해야 합니다. 게다가 시스템마다 로그를 기록하는 방식이 달라, 분석가는 수많은 형식을 익혀야 합니다. 이 작업을 마치면 새로 해석한 데이터에서 반복된 로그인 실패, 비정상적인 접속 시간, 평소와 다른 위치에서의 접속 같은 패턴을 찾아야 합니다.

이 과정은 번거롭고 시간이 많이 걸릴 수 있습니다. 그래서 SIEM은 모든 조직의 보안 체계에 꼭 필요한 도구입니다. 다양한 소스에서 위협 인텔리전스를 수집해 데이터를 쉽게 처리합니다. 실시간 모니터링의 이점을 누리고, 수상한 보안 사고가 발생하면 알림을 받을 수 있습니다. 이상 징후도 신속하게 찾아낼 수 있습니다.

오늘은 SIEM 구축에 관해 알아보겠습니다. SIEM이란 무엇일까요? 어떤 이점이 있으며 조직에는 어떻게 단계별로 구축할까요? 지금 시작하겠습니다.

SIEM이란 무엇이며 어떻게 작동하나요?

오늘은 SIEM 솔루션의 배포에 대해 이야기해 보겠습니다. 다음과 같은 질문에 답해 보겠습니다: SIEM이란 무엇인가요? 왜 유용한가요? 그리고 조직 내에서 단계별로 어떻게 구현할 수 있나요? 시작해 보겠습니다.은 네트워크의 여러 보안 시스템에 흩어진 로그를 수집하고 분석해 적시에 보안 알림을 제공하는 강력한 도구입니다. SIEM이 없다면 보안 담당자가 시스템마다 접속해 각기 다른 형식을 익히고 데이터에서 오류의 단서를 찾아야 하므로 로그 분석에 많은 시간과 노력이 듭니다. SIEM은 조직 인프라의 다양한 소스에서 수집한 보안 관련 데이터도 분석합니다.

적합한 SIEM 선택하기

SIEM 선택 기준은 조직마다 다르지만, 모든 기업이 신중하게 결정해야 할 중요한 사안입니다.  SentinelOne과 같은 선도 기업은 업계 최고 수준의 제품을 제공합니다. 중요한 것은 조직의 고유한 요구사항에 맞는 제품을 찾는 것입니다. SIEM마다 기능이 크게 다르므로 먼저 운영 환경과 보안 우선순위를 평가하세요.SIEM이란 무엇이며 어떻게 작동하나요?

SIEM 보고서 생성에 시간이 걸리면 사고 탐지와 대응이 늦어질 수 있습니다. 따라서 자동화에 중점을 두고, 선택한 SIEM이 실시간으로 보고서를 생성해 전반적인 보안 태세를 강화하는지 확인해야 합니다.

솔루션은 네트워크 전반의 보안 시스템에서 수집된 서로 다른 로그를 통합 분석하여 시의적절한 보안 경보를 제공하는 강력한 보안 도구입니다. 이를 활용하지 않으면 보안 관리자가 각 시스템을 개별적으로 탐색하고 형식을 파악하며 오류 단서를 찾아 데이터를 샅샅이 뒤져야 하므로 로그 분석이 지루하고 힘든 작업이 될 것입니다. SIEM은 또한 조직 인프라 내 다양한 출처의 보안 관련 데이터를 분석합니다.를 선택할 때는 특히 조직의 성장에 따른 확장성을 고려해야 합니다. 네트워크에서 생성되는 데이터가 계속 늘어나므로, 새로운 데이터 소스를 추가하고 변화하는 요구사항에 대응할 수 있어야 합니다. 장치나 데이터 소스에 따른 라이선스 방식 등 확장성을 명확히 파악해야 향후 요구사항에도 대비할 수 있습니다.

이벤트의 장기 보관과 규정 준수도 중요합니다. 로그와 보안 이벤트 데이터가 빠르게 유입되므로, 저장 용량이 충분하고 보관 방식을 조정할 수 있는 SIEM을 선택해야 합니다. 그래야 규정을 준수하면서 필요한 정보만 보관할 수 있습니다.

마지막으로, 결코 중요성이 떨어지지 않는 요소는 사용자 요구 사항에 맞춰 제품을 쉽게 배포하고 구현할 수 있는지입니다. SIEM 제품의 배포는 여러 부서 간 협업에 크게 의존하는 과정 중 하나입니다. 더 포괄적인 문서와 사용자 가이드를 제공하고 설정 절차가 덜 복잡한 벤더를 선택하면, 선택한 SIEM 제품의 배포와 구성 과정을 크게 앞당길 수 있습니다. 이를 통해 팀은 도구를 빠르게 가동하고 최대한 활용해 조직을 더욱 효과적으로 보호할 수 있습니다.

새로운 SIEM 구축을 위한 조직 준비

새로운 SIEM을 구축하려면 신중한 계획과 실행은 물론, 조직의 보안 및 규정 준수 요구사항을 충분히 이해해야 합니다. 첫 단계는 보안 목표를 정의하는 것입니다. 위협 탐지 역량 강화, 네트워크 전반의 가시성 향상, GDPR, HIPAA 또는 PCI-DSS 준수 중 무엇을 위해 SIEM을 구축하시나요?

명확한 목표는 전체 구축 과정의 토대가 됩니다. 모든 단계가 조직의 전반적인 보안 전략과 일치해야 합니다.

구현을 시작하기 전에 조직의 현재 보안 태세를 분석하는 것이 매우 중요합니다. 이를 위해 잠재적인 모든 데이터 소스, 필요한 통합 유형, SIEM 솔루션을 조직 환경에 맞추는 데 필요한 사용자 지정 수준을 파악해야 합니다. 현실적인 일정과 주요 이정표를 포함해 프로젝트 범위를 정하면 기대치와 리소스를 효과적으로 관리할 수 있습니다. 무엇보다 SIEM을 성공적으로 구현하고 활용하려면 직원에게 SIEM 관리, 사고 처리 절차, 보고, 문제 해결에 관한 체계적인 교육을 제공해야 합니다.

도입할 때는 단계적으로 구축하거나 배포할 수 있습니다.SIEM 도구의 확장성을 고려해야 합니다. 네트워크에서 생성되는 데이터의 양은 계속해서 증가하고 있으므로, 새로운 데이터 소스의 추가와 변화하는 요구 사항을 수용할 수 있는 솔루션의 확장성이 가장 중요할 것입니다. 장치 또는 데이터 소스를 기반으로 한 라이선싱을 통해 솔루션의 확장성을 투명하게 파악하는 것이 향후 요구 사항을 수용할 수 있는 여지를 확보하는 데 중요합니다.

장기적인 이벤트 저장 및 규정 준수도 필수적입니다. 로그와 보안 이벤트 데이터는 빠르게 유입되므로, 충분하면서도 사용자 정의 가능한 저장 기능을 갖춘 SIEM을 선택하는 것이 중요합니다. 이는 규정 준수에 크게 기여하며, 관련 정보만 저장소에 보관되도록 보장합니다.

SIEM 설치 및 구성

SIEM 설치의 첫 단계는 공급업체 웹사이트에서 소프트웨어를 다운로드하는 것입니다. 그런 다음 SIEM을 설치합니다. 일부 공급업체는 SIEM 소프트웨어가 사전 설치된 전용 하드웨어도 제공합니다. 그렇지 않다면 설치할 하드웨어가 전체 네트워크를 지속적으로 모니터링할 수 있는 컴퓨팅 성능을 갖췄는지 확인해야 합니다.

클라우드 기반 제품을 선택했다면 클라우드 제공업체의 플랫폼(AWS, Azure, GCP 등)에 새 인스턴스만 설정하면 됩니다. 구체적인 구성 단계는 SIEM 공급업체의 안내를 참조하세요.새로운 SIEM 솔루션을 위한 조직 준비

데이터 소스 통합

설치가 완료되면 미리 선정한 데이터 소스를 SIEM에 연동해야 합니다. 일반적인 데이터 소스로는 라우터와 같은 네트워크 장치, 애플리케이션 서버와 사용자 장치, IPS 및 IDS 시스템, 클라우드 리소스 사용량과 보안 이벤트에 대한 인사이트를 제공하는 클라우드 플랫폼이 있습니다. 가능한 한 많은 데이터 소스를 포함하거나 네트워크의 특정 영역을 모니터링하기 위해 소수의 소스만 포함할 수도 있습니다. 많은 조직이 앱 및/또는 클라우드 서비스용 전용 SIEM 시스템을 운영합니다.

이러한 데이터 소스가 로그를 생성하고 SIEM으로 전송하도록 구성해야 합니다. 운영 체제별로 이벤트 수집에 사용하는 로깅 프로토콜이 다릅니다. Windows Event log와 Syslog는 네트워크를 통한 로그 전송에 널리 쓰이는 프로토콜입니다. 많은 장치와 애플리케이션에서 Syslog를 통해 SIEM으로 로그를 전달하도록 구성할 수 있습니다. 하지만, 엔드포인트에 에이전트를 설치해 로그 데이터를 SIEM으로 자동 전송하거나, SIEM을 구성해 서버 또는 애플리케이션의 특정 로그 파일을 실시간으로 모니터링할 수도 있습니다.

클라우드 서비스를 모니터링할 때는 기존 로깅 기능을 사용하지 못할 수 있습니다. 이 경우 클라우드 네이티브 로깅 서비스를 사용해야 할 수도 있습니다. 대부분의 클라우드 로깅 서비스는 상세한 로그 항목을 생성하며, 이를 SIEM으로 전송할 수 있습니다.

SIEM 맞춤 설정 및 최적화

SIEM을 가동한 후에는 원하는 대로 작동하도록 구성해야 합니다.

보통 첫 단계는 정상적인 네트워크 활동과 비정상적인 활동을 정의하는 것입니다. 이를 위해 격차 분석에서 파악한 공격 벡터에 관한 기존 데이터를 활용하는 것이 좋습니다. 이 데이터로 정상적인 활동 수준과 네트워크 트래픽의 기준을 정할 수 있습니다. 그런 다음 상관관계 규칙을 설정합니다. 상관관계 규칙은 특정 이벤트가 정해진 순서대로 발생하면 알림을 보내도록 SIEM에 지시합니다.

Luminis의 블로그에는 좋은 예시가 나와 있습니다. Luminis에 따르면, 다음과 같은 상관관계 규칙을 설정할 수 있습니다. “15분 이내에 동일한 IP에서 동일한 시스템에 서로 다른 사용자 이름으로 로그인을 다섯 번 실패하면 관리자에게 경고하고(“x”), [그리고] 이후 동일한 IP 주소에서 네트워크 내부의 어느 시스템에든 로그인에 성공하면(“y”) 다시 경고합니다.”

물론 사용자의 실수일 수도 있습니다. 하지만 공격자가 무차별 대입으로 시스템에 침입하려는 시도일 수도 있습니다.

팀의 업무 방식에 맞게 알림 체계도 조정할 수 있습니다. 이메일이나 SMS 알림 등을 설정해 보세요.

SIEM 구축 시 과제와 모범 사례

#1. 복잡성

SIEM 구축에서 가장 큰 과제는 복잡성일 수 있습니다. 보셨듯이 간단한 과정은 아닙니다.

사이버 보안 전문가가 아니라면 숙련된 팀에 투자하는 것이 중요합니다. 이 팀은 네트워크를 평가해 상관관계 규칙을 설정하고, 통합할 데이터 소스를 결정하며, 팀의 요구에 맞게 알림을 조정할 수 있어야 합니다. 그렇지 않으면 위협을 놓치거나 오탐이 발생해 조직에 영향을 줄 수 있습니다.

#2. 확장성

확장성도 조직이 대비해야 할 과제입니다. 조직이 성장하면 네트워크 트래픽 증가를 처리할 수 있는 SIEM이 필요합니다. 그렇지 않으면 위협을 놓치거나 성능 문제가 발생할 수 있습니다.

조직은 확장성을 고려해 SIEM을 선택하고, 자신에게 맞는 배포 방식을 결정해야 합니다.

#3. 숨겨진 비용

많은 SIEM에는 연간 구독료 외에 숨겨진 비용이 있을 수 있습니다. 특히 네트워크 사용량과 데이터 양에 관한 공급업체의 서비스 약관을 꼼꼼히 확인하세요.

적합한 SIEM 선택이 중요합니다

조직에 맞는 SIEM을 선택하는 과정은 길고 부담스러울 수 있습니다. 인프라를 정확히 평가하고, 적합한 서비스를 선택한 뒤, 효과적으로 작동하도록 올바르게 설정해야 합니다. 하지만 이 과정이 언제나 어려운 것은 아닙니다. 유연한 패키지와 우수한 지원을 제공하는 SentinelOne과 같은 제품을 선택하면 적합한 SIEM을 더 쉽게 찾을 수 있습니다.

이러한 데이터 소스를 구성하여 로그를 생성하고 SIEM으로 전송해야 합니다. 다양한 운영 체제는 이벤트를 검색하는 데 사용할 수 있는 여러 로깅 프로토콜을 제공합니다. Windows 이벤트 로그와 Syslog는 네트워크를 통해 로그를 전송하는 데 일반적으로 사용되는 프로토콜입니다. 많은 장치와 애플리케이션은 Syslog를 통해 SIEM으로 로그를 전달하도록 구성할 수 있습니다. 그러나 엔드포인트에 에이전트를 설치하여 로그 데이터를 SIEM으로 자동 전송하거나, 서버나 애플리케이션의 특정 로그 파일을 실시간으로 모니터링하도록 SIEM을 구성할 수도 있습니다.

클라우드 서비스를 모니터링하는 경우 기존 로깅 기능이 제공되지 않을 수 있습니다. 클라우드 네이티브 로깅 서비스를 사용해야 할 수도 있습니다. 하지만 대부분의 클라우드 로깅 서비스는 상세한 로그 항목을 생성하며, 이를 SIEM으로 전송할 수 있습니다.

SIEM 맞춤 설정 및 세부 조정

SIEM을 가동한 후에는 원하는 대로 작동하도록 구성해야 합니다.

이를 위한 첫 번째 단계는 일반적으로 정상적인 네트워크 활동의 양상을 정의하는 것입니다. 이는 갭 분석 과정에서 발견한 기존 공격 벡터에 대한 과거 데이터를 활용하는 것이 가장 효과적입니다. 이 데이터를 통해 정상적인 활동 수준과 네트워크 트래픽의 양상을 파악할 수 있습니다. 그런 다음 상관관계 규칙을 설정할 수 있습니다. 상관관계 규칙은 특정 쌍 또는 일련의 이벤트가 특정 순서로 발생하면 알림을 발생시켜야 한다고 SIEM에 지시합니다.

루미니스(Luminis)의 블로그 이 점을 잘 보여주는 사례를 제시했습니다. 그들에 따르면, 상관관계 규칙을 설정하여 “동일 IP에서 15분 이내에 동일한 시스템에 서로 다른 사용자명으로 5회 로그인 실패 시 관리자 경고("x"), [그리고] 해당 이벤트 이후 동일 IP에서 네트워크 내 임의 시스템에 성공적 로그인 발생 시("y")”

물론 이는 단순한 인적 오류일 수 있습니다. 그러나 시스템에 무차별 대입 공격을 시도하는 공격자일 수도 있습니다.

팀의 특정 워크플로우에 맞게 경보 메커니즘을 맞춤 설정할 수도 있습니다. 이메일 알림, SMS 알림 등을 설정하는 것을 고려해 볼 수 있습니다.

SIEM 구현의 과제와 모범 사례

#1. 복잡성

SIEM 구현의 가장 큰 과제는 그 복잡성일 수 있습니다. 보시다시피 쉬운 과정이 아닙니다!

사이버 보안 기술자가 아닌 경우, 상관 규칙을 설정하고 통합할 데이터 소스를 결정하며 팀의 요구에 맞게 경보를 맞춤 설정할 수 있도록 네트워크를 평가할 수 있는 숙련된 팀에 투자하는 것이 중요합니다. 그렇지 않으면 위협을 놓치거나 오탐이 발생하여 회사에 영향을 미칠 수 있습니다.

#2. 확장성

확장성은 조직이 대비해야 할 또 다른 잠재적 과제입니다. 조직이 성장함에 따라 네트워크를 통해 전송되는 트래픽의 증가량을 처리할 수 있는 SIEM 솔루션이 필요합니다. 이를 수행하지 못하면 위협을 놓치거나 성능 문제가 발생할 수 있습니다.

조직은 확장성을 고려하여 SIEM을 선택하고 자신에게 적합한 배포 모드를 선택해야 합니다.

#3. 숨겨진 비용

많은 SIEM 솔루션은 연간 구독료와 별도로 숨겨진 비용이 발생할 수 있습니다. 특히 네트워크 사용량과 데이터 용량과 관련된 공급업체의 서비스 약관을 철저히 이해해야 합니다.

적합한 SIEM 선택의 중요성

조직에 적합한 SIEM 솔루션을 선택하는 것은 길고 어려운 과정일 수 있습니다. 인프라를 정확히 평가하고, 조직에 맞는 서비스를 선택한 후 효과적으로 작동하도록 올바르게 설정해야 합니다. 하지만 이 과정이 항상 어렵지만은 않습니다. SentinelOne와 같은 솔루션은 유연한 패키지와 최상의 지원으로 적합한 솔루션 선택을 쉽게 만들어 줍니다.