SIEM 도입: 선택 기준과 운영 노하우

SIEM이란

SIEM(Security Information and Event Management)은 기업 내 다양한 시스템에서 발생하는 보안 이벤트를 중앙에서 수집·분석·대응하는 플랫폼입니다.

SIEM vs SOAR vs XDR

주요 솔루션 비교

• Splunk: 업계 표준. 강력한 SPL. 라이선스 비용이 매우 높음.
• Microsoft Sentinel: Azure 네이티브. ML 기반 탐지. Pay-as-you-go.
• IBM QRadar: 온프레미스 강세. 국내 금융·공공 레퍼런스 다수.
• 이글루코퍼레이션 SPiDER TM: 국내 시장 1위 SIEM.
• Wazuh: 오픈소스. OSSEC 기반. 엔드포인트 에이전트 통합.

탐지 규칙 작성 예시

Splunk SPL - 브루트포스 탐지

index=authentication action=failure
| stats count by src_ip, user
| where count > 10
| eval alert="Brute Force Attempt"
| table _time, src_ip, user, count, alert

Microsoft Sentinel KQL - 불가능한 여행 탐지

SigninLogs
| where ResultType == 0
| project TimeGenerated, UserPrincipalName, IPAddress, Location
| summarize Locations=make_set(Location)
    by UserPrincipalName, bin(TimeGenerated, 1h)
| where array_length(Locations) > 2

운영 노하우

False Positive 관리가 핵심 초기 SIEM 도입 시 하루 수천 건의 경보가 발생합니다. 6개월 튜닝 없이는 경보 피로(Alert Fatigue)로 실제 위협을 놓칩니다.

MTTR(평균 대응 시간) 목표

• High 경보: 15분 이내 초기 대응
• Medium 경보: 4시간 이내
• Low 경보: 24시간 이내

도입 전 필수 체크리스트

□ 일일 로그 수집량 예측 (GB/day)
□ 보존 기간 요건 (보통 1~3년)
□ 온프레미스 vs 클라우드 vs 하이브리드
□ 전담 운영 인력 확보 가능 여부
□ 기존 보안 솔루션 연동 목록

SIEM 도입은 제품 구매가 아닌 운영 역량 구축입니다. 전담 인력과 프로세스 없이는 투자 대비 효과를 기대하기 어렵습니다.

로그 소스 온보딩 우선순위

SIEM은 "모든 로그를 다 넣는다"가 아니라 탐지 가치가 높은 순서로 연동해야 비용과 노이즈를 잡습니다.

Sigma — 벤더 독립 탐지 룰

특정 SIEM 문법(SPL/KQL)에 종속되지 않으려면 Sigma 룰로 작성해 각 SIEM 포맷으로 변환하는 방식이 유지보수에 유리합니다.

title: 단시간 다수 로그인 실패 후 성공
logsource:
  product: windows
  service: security
detection:
  failed:
    EventID: 4625
  success:
    EventID: 4624
  timeframe: 5m
  condition: failed | count() > 10 and success
level: high

자체 구축 vs 매니지드(MSSP)

전담 분석 인력을 3교대로 확보하기 어렵다면 MSSP로 시작해 핵심 역량만 내재화하는 단계적 접근이 현실적입니다.

비용 폭증 막기

클라우드 SIEM은 수집량(GB) 또는 EPS 기반 과금이라 데이터 거버넌스가 곧 비용입니다.

• 수집 단계에서 불필요 필드 드롭(예: 디버그 로그, 헬스체크).
• 핫(분석)/콜드(보존) 티어 분리 — 오래된 로그는 저비용 스토리지로.
• ISMS-P·전자금융감독규정 등 로그 보존 기간 요건을 먼저 확인하고 티어링을 설계하세요.

탐지 규칙 품질 점검

규칙이 많아질수록 경보 피로가 커집니다. 분기마다 규칙별 경보 건수와 실제 사고로 이어진 비율을 뽑아, 오탐만 내는 규칙은 조건을 좁히거나 끄고, 한 번도 울리지 않은 규칙은 테스트 로그를 넣어 실제로 동작하는지 확인합니다.

자주 묻는 질문 (FAQ)

Q. SIEM만 도입하면 탐지가 자동으로 되나요? 아니요. SIEM은 "기반"이고, 실제 탐지율은 상관분석 룰의 품질과 지속적 튜닝에 좌우됩니다. 룰 없이는 비싼 로그 저장소일 뿐입니다.

Q. 오픈소스(Wazuh)로 시작해도 되나요? PoC와 중소 규모에는 충분합니다. 다만 대규모 수집 시 운영·확장 부담이 커지므로 성장 곡선을 보고 상용 전환을 검토하세요.

선택 기준

알람 피로 줄이기

1. 탐지 규칙에 자산 중요도·노출면 가중치
2. High↑만 온콜, 나머지는 대시보드
3. 분기마다 미사용 규칙 폐기

참고 자료

• MITRE ATT&CK
• NIST SP 800-92 Guide to Computer Security Log Management

자주 묻는 질문 (FAQ)

Q. 오픈소스 SIEM으로 충분한가요?
로그량이 중간이고 엔지니어가 있으면 가능. 규제·매니지드 대응이 필요하면 상용/MDR이 유리합니다.

Q. 처음 넣을 로그는?
IdP 인증 + EDR + 클라우드 감사 로그 세 가지부터.

검증 환경·편집자 주

• 검증 시점: 2026-09 (문서·CLI 플래그는 벤더 업데이트에 따라 달라질 수 있음)
• 명령어는 읽기 전용 조회 위주이며, 프로덕션 적용 전 스테이징에서 plan/dry-run을 권장합니다.
• 본문은 공식 문서 링크와 운영에서 반복되는 실패 패턴을 기준으로 편집 검토했습니다.

실무 적용 순서 (요약)

1. 현재 상태 측정(메트릭·비용·오류율) 없이 도구부터 바꾸지 말 것
2. 가장 작은 범위에서 변경 → 롤백 조건 명시
3. 체크리스트를 런북/티켓 템플릿에 옮겨 팀 공유
4. 한 달 뒤 지표로 효과 재평가 후 확대