내부자 위협 탐지: 로그 소스·이상 징후·대응 플레이북

내부자 위협의 실태

Ponemon Institute 조사에 따르면 기업 데이터 침해의 34%가 내부자에 의한 것입니다. 평균 탐지까지 77일, 평균 피해액은 사고당 1,560만 달러입니다.

내부자 위협 유형

• 악의적 내부자: 의도적으로 데이터를 탈취하거나 시스템 파괴
• 부주의한 내부자: 실수로 데이터 유출 또는 보안 정책 위반
• 침해된 계정: 외부 공격자가 내부자 계정을 탈취해 활용

UEBA 탐지 시나리오

베이스라인 행동 프로파일

class BehaviorBaseline:
    def calculate_risk_score(self, event):
        score = 0

        # 비업무 시간 접속
        if not (9 <= event.hour <= 18):
            score += 20

        # 비정상 다운로드량
        if event.download_mb > self.avg_daily_downloads * 5:
            score += 40

        # 미접속 시스템
        if event.system not in self.common_systems:
            score += 15

        return score  # 70 이상 시 경보

DLP 탐지 패턴

탐지 대상:
- 이메일 첨부파일 (개인정보, 기밀 문서)
- 웹 업로드 (Google Drive, Dropbox)
- USB 복사 / 프린터 출력

개인정보 패턴:
- 주민등록번호: \d{6}-[1-4]\d{6}
- 신용카드: \d{4}[-\s]\d{4}[-\s]\d{4}[-\s]\d{4}

탐지 후 대응 프로세스

이상 탐지 경보
     ↓
HR + 법무 + 보안팀 공동 검토 (24시간 이내)
     ↓
실제 위협 → 즉시 계정 잠금 + 증거 보존
          → 디지털 포렌식 조사
          → 징계/법적 조치

법적·윤리적 고려사항

• 개인정보보호법: 모니터링 사실을 직원에게 고지 필요
• 취업규칙: IT 자원 모니터링 조항 명시
• 데이터 최소화: 업무 관련 행위만 수집

개인 사생활 침해가 없도록 법무팀과 협의해 정책을 수립하고, 직원에게 투명하게 공지하는 것이 장기적으로 더 효과적입니다.

권한 관리가 곧 예방이다

탐지보다 앞선 방어는 애초에 접근할 수 없게 만드는 것입니다.

• 최소권한(PoLP): 직무에 필요한 최소 권한만 부여.
• JIT(Just-In-Time) 접근: 상시 관리자 권한을 없애고, 필요 시 승인 기반 임시 권한 부여.
• 정기 권한 재인증(Access Review): 분기별로 "이 사람이 아직 이 권한이 필요한가"를 소유자가 재승인.

퇴직자 오프보딩 체크리스트

내부자 사고의 상당수는 퇴직 전후에 집중됩니다.

□ 퇴직 통보 시점부터 민감 시스템 접근 모니터링 강화
□ 마지막 근무일 계정 즉시 비활성화(삭제 전 보존)
□ VPN·SaaS·코드 저장소·클라우드 키 일괄 회수
□ 공용 계정 비밀번호 변경
□ 반출 기기·USB 회수 및 데이터 삭제 확인

SIEM/UEBA 연동 상관 룰 예시

규칙: 퇴직 예정자 + 대량 다운로드
조건:
  user IN (HR.퇴직예정자_목록)
  AND download_volume > baseline * 3
  AND (destination = 외부저장소 OR USB)
액션: 즉시 보안팀·HR 공동 경보, 세션 기록

국내 사례·법적 근거

기술 유출(특히 반도체·배터리 등 국가핵심기술)은 산업기술보호법과 부정경쟁방지법의 적용을 받습니다. 영업비밀 유출은 형사처벌 대상이며, 사전에 비밀관리성(접근통제·표시·서약)을 입증할 수 있어야 법적 보호를 받습니다.

탐지 룰 오탐 줄이기: 원인·백테스트·조정

내부자 위협 탐지는 룰을 켜는 순간 경보가 쏟아지고, 분석가가 경보를 무시하기 시작하면 실제 사건도 놓칩니다.

원인

• 기준선(베이스라인) 기간이 짧아 월말 결산·분기 보고 같은 주기적 업무를 이상으로 판단
• 공용 계정·서비스 계정·백업 작업이 사람 사용자와 같은 룰로 평가됨
• 부서 이동·권한 변경 직후의 정상적인 신규 접근을 이상으로 판단

검증: 룰을 과거 로그에 백테스트 새 룰은 운영에 켜기 전에 지난 30~90일 로그에 적용해 사용자별 경보 수를 봅니다.

-- 예: 업무 시간 외 대량 다운로드 룰의 백테스트
SELECT user_id, count(*) AS alerts
FROM file_access_log
WHERE action = 'download'
  AND extract(hour FROM ts) NOT BETWEEN 8 AND 19
GROUP BY user_id, date_trunc('day', ts)
HAVING sum(bytes) > 500 * 1024 * 1024
ORDER BY alerts DESC;

경보가 몇몇 계정에 집중되면 그 계정의 업무 특성을 먼저 확인합니다.

조정

• 서비스 계정은 별도 룰(허용된 출발지·시간대 외 사용)로 분리하고, 예외 목록에는 사유와 만료일을 기록합니다.
• 개인 기준선 대신 같은 부서·직무의 동료 그룹(peer group) 기준선을 함께 사용해 주기 업무를 흡수합니다.
• HR 시스템의 부서 이동·퇴사 예정 이벤트를 룰 입력으로 연동합니다.

재발 방지

• 사건 종결 시 "정탐/오탐" 결과를 기록하고, 룰별 정탐 비율을 분기마다 검토해 기준을 조정합니다. 개인정보가 포함된 로그 분석은 내부 규정과 근로자 고지 절차를 따릅니다.

자주 묻는 질문 (FAQ)

Q. 직원 모니터링은 불법 아닌가요? 업무용 IT 자원에 대한 모니터링은 사전 고지와 취업규칙 명시가 있으면 가능합니다. 다만 사생활(개인 메신저 등)까지 들여다보면 위법이 될 수 있으니 범위를 업무로 한정하고 법무팀과 협의하세요.

Q. UEBA 없이 시작할 수 있나요? 가능합니다. 우선 권한 최소화·로그 수집·퇴직자 오프보딩 같은 기본 통제부터 정착시키고, 이상행위 자동탐지가 필요해지면 UEBA를 도입하는 단계적 접근이 비용 효율적입니다.

필수 로그 소스

탐지 시나리오 예

규칙 예: 30일 평균 대비 10배 이상의 객체 다운로드
        AND 근무 시간 외
        AND 신규 디바이스 또는 해외 IP
→ 티켓 생성 + 계정 세션 강제 종료(자동은 신중히)

대응 플레이북 (요약)

1. 보존: 관련 로그·엔드포인트 이미지 확보(증거 보존)
2. 격리: 계정 disable / 토큰 revoke / 호스트 네트워크 차단
3. 범위: 접근한 데이터 분류(개인정보·영업비밀)
4. 보고: 법무·개인정보 담당과 유출 통지 기한 확인

참고 자료

• NIST SP 800-53 — Insider Threat
• CISA Insider Threat Mitigation

자주 묻는 질문 (FAQ)

Q. UEBA 없이 시작할 수 있나요?
네. 고권한 계정·대량 다운로드·비업무 시간 접근부터 규칙 기반으로 시작하세요.

Q. 오탐이 많으면?
역할·부서 베이스라인을 나누고, 예외(백업 계정, 배치 잡)를 허용 목록으로 관리합니다.

검증 환경·편집자 주

• 검증 시점: 2026-09 (문서·CLI 플래그는 벤더 업데이트에 따라 달라질 수 있음)
• 명령어는 읽기 전용 조회 위주이며, 프로덕션 적용 전 스테이징에서 plan/dry-run을 권장합니다.
• 본문은 공식 문서 링크와 운영에서 반복되는 실패 패턴을 기준으로 편집 검토했습니다.

실무 적용 순서 (요약)

1. 현재 상태 측정(메트릭·비용·오류율) 없이 도구부터 바꾸지 말 것
2. 가장 작은 범위에서 변경 → 롤백 조건 명시
3. 체크리스트를 런북/티켓 템플릿에 옮겨 팀 공유
4. 한 달 뒤 지표로 효과 재평가 후 확대