탐지와 분석: 실제 사고 식별
SIEM, EDR, 네트워크 도구의 경고를 분류하여 참 양성과 오탐을 구분하고 사고 범위를 설정하는 방법을 학습합니다.
탐지와 분석: 실제 사고 식별은(는) CoddyKit의 무료 Security+ Academy 강의입니다. 이것은 4개 중 2번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Security+ Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Security+ Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
탐지 단계 개요
탐지 및 분석 단계는 잠재적인 보안 사고가 처음 식별될 때 시작하여, 격리를 시작할 수 있을 정도로 범위와 영향을 파악하면 끝납니다. 이 단계의 주요 과제는 참양성과 거짓양성을 구분하는 것입니다. 즉, 악성 활동으로 생성된 경고와 정상적이지만 평소와 다른 동작으로 발생한 경고를 구분해야 합니다. 효과적인 탐지를 위해서는 도구를 올바르게 구성하고, 분석가를 교육하며, 정상 활동의 기준선을 문서화해야 합니다.
탐지 출처: 사고가 드러나는 지점
사고는 여러 채널을 통해 탐지됩니다. 상관 분석 규칙으로 생성되는 SIEM 경고, 엔드포인트의 동작 분석에서 생성되는 EDR 탐지 결과, 사용자 신고(피싱의 초기 탐지에서 가장 일반적인 방식), 법 집행 기관·위협 인텔리전스 업체·침해 통지 서비스에서 전달하는 제3자 통지, 취약점 스캐너 또는 CSPM이 이상 징후를 발견하는 자동화된 검사, 그리고 선제적 조사를 수행하는 위협 헌팅이 있습니다. 각 출처는 신뢰도와 제공하는 증거 유형이 서로 다릅니다.
탐지를 위한 로그 출처
효과적인 탐지를 위해서는 다양한 출처에서 로그를 수집해야 합니다. 중요한 로그 유형은 다음과 같습니다. 실패한 로그인과 성공한 로그인을 확인하는 인증 로그(Windows Security Event Log, /var/log/auth.log), 비정상적인 연결을 확인하는 네트워크 로그(방화벽, VPC Flow Logs, 프록시), 알려진 악성 도메인에 대한 요청을 확인하는 DNS 로그, 프로세스 생성 및 파일 활동을 확인하는 엔드포인트 로그(EDR, Sysmon), API 호출을 확인하는 클라우드 감사 로그(CloudTrail, Azure Monitor)입니다. SIEM은 이러한 서로 다른 출처의 로그를 집계하고 상관 분석합니다.
# Key Windows Event IDs for incident detection
# 4624 - Successful logon
# 4625 - Failed logon
# 4648 - Logon using explicit credentials (possible lateral movement)
# 4720 - User account created
# 4732 - User added to privileged group
# 4688 - New process created (enable with audit policy)
# 7045 - New service installed (persistence mechanism)
# 4698 - Scheduled task created (persistence mechanism)거짓양성과 참양성
SOC 분석가는 매일 수백 또는 수천 개의 경고를 분류하며, 대부분은 탐지 규칙을 작동시킨 거짓양성—정상적인 활동—입니다. 거짓양성이 많으면 분석가의 시간이 낭비되고 경고 피로가 발생하여 실제 위협을 무시하게 됩니다. 참양성은 실제 악성 활동을 의미합니다. 거짓음성은 가장 위험한 결과로, 악성 활동이 전혀 경고를 생성하지 않은 경우입니다. 거짓음성을 늘리지 않으면서 거짓양성을 줄이도록 탐지 규칙을 조정하는 것은 SOC의 핵심 역량입니다.
# Alert triage decision matrix
# Alert: 50 failed SSH logins from IP 1.2.3.4
# Investigation questions:
# 1. Is this IP known malicious? (Threat intel check)
# 2. Which account was targeted? (Privileged? Service?)
# 3. Did any login succeed after the failures?
# 4. Is this IP pattern seen on other systems?
# 5. What's the geo-location? Expected for this org?
# If login succeeded + privileged account + unexpected IP = TRUE POSITIVE
# If scanning all ports on internet with no success = likely automated scannerSIEM 상관 분석 규칙
SIEM 상관 분석 규칙은 여러 개의 개별 로그 이벤트를 결합하여 공격을 나타내는 패턴을 식별합니다. 예를 들어 로그인 실패 한 번은 정상일 수 있지만, 60초 동안 동일한 IP에서 로그인 실패가 100번 발생하면 무차별 대입 공격을 의미합니다. 또 다른 예로 사용자가 오전 9시에 US에서 인증한 뒤 오전 11시에 중국에서 인증했다면 이는 불가능한 이동이며, 계정이 침해되었을 가능성이 높습니다. 효과적인 상관 분석 규칙은 민감도(실제 공격을 포착하는 능력)와 특이도(분석가에게 과도한 잡음을 발생시키지 않는 능력)의 균형을 맞춥니다.
# SIEM rule pseudocode (Splunk SPL style)
# Detect potential brute force followed by success
source=windows:security EventCode=4625
| stats count AS failed_attempts BY src_ip, user
| where failed_attempts > 20
| join user [
search source=windows:security EventCode=4624
]
| where failed_attempts > 20 AND success_login=1
# Alert = brute force succeeded — possible compromise분석에서의 침해 지표
분석 중에 대응 담당자는 공격의 특성을 보여 주는 침해 지표(IoCs)를 수집합니다. 여기에는 의심스러운 IP 주소, 악성 도메인 이름, 악성 코드의 파일 해시, 공격자가 수정한 레지스트리 키, 비정상적인 프로세스 이름 또는 부모-자식 관계, 비정상적인 네트워크 연결이 포함됩니다. IoCs는 범위 확인(이 IoC가 다른 시스템에도 존재하는가?), 위협 인텔리전스 보강, 공격자의 추가 접근 차단, 향후 유사한 활동을 탐지하기 위한 SIEM 규칙 개발에 사용됩니다.
# Searching for an IoC across all endpoints (PowerShell + EDR)
# Search for a specific malware hash on all Windows systems:
Get-WmiObject Win32_Process | Where-Object {
(Get-FileHash $_.ExecutablePath -Algorithm SHA256).Hash -eq
'a1b2c3d4...malware_hash'
} | Select-Object Name, ProcessId, ExecutablePath
# Search for suspicious network connections to known C2 IP:
Get-NetTCPConnection | Where-Object { $_.RemoteAddress -eq '1.2.3.4' }범위 및 영향 파악
범위 분석은 다음 질문에 답합니다. 어떤 시스템이 영향을 받았는가? 어떤 데이터에 접근했거나 유출했는가? 공격자는 어떻게 침입했으며 언제 침입했는가? 대응 담당자는 로그 분석을 통해 공격 타임라인을 재구성하고, 최초 접근 경로를 식별하며, 공격자가 접촉한 모든 시스템을 나열하고(측면 이동), 데이터가 유출되었는지 확인합니다(외부 전송 급증, 데이터 임시 저장 디렉터리). 범위 평가 결과는 격리 결정을 좌우합니다. 파악하지 못한 대상을 격리할 수는 없기 때문입니다.
사고 대응에서의 EDR 분석
EDR(엔드포인트 탐지 및 대응) 플랫폼은 엔드포인트 수준의 사고 분석을 위한 핵심 기술 도구입니다. EDR 원격 측정 데이터는 프로세스 실행 트리(무엇이 무엇을 생성했는지), 파일 시스템 활동, 프로세스별 네트워크 연결, 레지스트리 수정, 메모리 삽입 탐지 결과를 제공합니다. 사고 중에 EDR을 사용하면 분석가가 모든 엔드포인트에서 IoC를 동시에 검색하고(전사적 헌팅), 침해된 엔드포인트를 네트워크에서 격리하며, 시스템에 물리적으로 접근하지 않고도 포렌식 아티팩트를 가져올 수 있습니다.
사고 중 네트워크 분석
네트워크 증거는 사고 분석 중 가장 신뢰할 수 있는 출처인 경우가 많습니다. NetFlow 및 VPC Flow Logs는 페이로드 내용은 보여 주지 않지만 시스템 간 연결을 드러내므로 측면 이동을 파악하는 데 유용합니다. 전체 패킷 캡처(PCAP)는 암호화되지 않은 트래픽이라면 자격 증명, 유출된 데이터, C2 명령을 포함한 전체 통신 내용을 보여 줍니다. DNS 요청 로그는 악성 코드가 C2 도메인으로 비콘 통신을 하는지 보여 줍니다. 대응 담당자는 대량의 외부 데이터 전송, 비정상적인 포트로의 연결, 일정한 간격으로 반복되는 비콘 통신 패턴(매 N초마다 연결), 내부 스캔 동작을 확인합니다.
공격 타임라인 수립
공격 타임라인을 재구성하는 일은 공격자가 탐지되기 전에 얼마나 오래 존재했는지(잠복 시간)를 파악하고, 최초 접근 경로를 식별하여 취약점을 해결하며, 법적 절차를 위해 증거를 시간순으로 보존하는 데 필수적입니다. 타임라인은 여러 로그 출처의 타임스탬프를 상관 분석하여 작성합니다. 시간 동기화(NTP 사용)는 매우 중요합니다. 시스템 시계가 잘못된 로그는 타임라인에 공백과 모순을 만들어 포렌식 결론의 신뢰성을 떨어뜨리기 때문입니다.
상향 보고 및 알림 트리거
모든 경고에 전체 CSIRT 가동이 필요한 것은 아닙니다. 분석가는 문서화된 기준을 사용하여 상향 보고 트리거를 결정합니다. 확인된 데이터 유출이 발견되면 규제 기관에 반드시 알리고 경영진에게 상향 보고해야 합니다. 한 시스템을 넘어 확산된 악성 코드가 발견되면 전체 CSIRT가 대응에 참여해야 합니다. 클릭하지 않은 단일 피싱 이메일은 1단계 분석가 수준에서 처리합니다. 상향 보고 기준을 명확히 정의하면 과잉 대응(경미한 사건에 리소스를 낭비하는 것)과 미흡한 대응(중대한 유출을 경미한 경고로 처리하는 동안 피해가 커지는 것)을 모두 방지할 수 있습니다.
빠른 확인
이 강의에서 배운 CompTIA 보안+ (SY0-701) 개념을 이해했는지 확인해 보십시오.
강의 요약
이 강의에서는 상관 분석 규칙을 갖춘 SIEM이 다양한 로그 원본을 집계하여 여러 이벤트로 구성된 공격 패턴을 식별하므로 Detection이 이에 의존한다는 점, 분석 중 수집한 IoCs를 사용하여 모든 시스템에서 Incident의 범위를 파악하고 차단 규칙을 개발한다는 점, 그리고 오탐이 아닌 미탐이 공격자가 탐지되지 않은 채 활동하도록 허용하므로 가장 위험한 결과라는 점을 배웠습니다. 다음에는 containment, Eradication, Recovery를 살펴보겠습니다.
자주 묻는 질문
“탐지와 분석: 실제 사고 식별” 강의는 무료인가요?
네 — “탐지와 분석: 실제 사고 식별” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Security+ Academy 강의 전체를 잠금 해제할 수 있습니다. Security+ Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
“탐지와 분석: 실제 사고 식별”에서 뭘 배우나요?
SIEM, EDR, 네트워크 도구의 경고를 분류하여 참 양성과 오탐을 구분하고 사고 범위를 설정하는 방법을 학습합니다. 브라우저에서 직접 실행하는 실습 코드로 Security+ Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.
Security+ Academy을(를) 시작하는 데 경험이 필요한가요?
사전 경험은 필요하지 않습니다. CoddyKit의 Security+ Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 2번째 강의입니다.
“탐지와 분석: 실제 사고 식별” 강의는 얼마나 걸리나요?
대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.
이 Security+ Academy 강의에서 코드를 작성하고 실행할 수 있나요?
네. 모든 Security+ Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.
이 강의의 모든 강의
- 준비: IR 계획, 플레이북, 팀
- 탐지와 분석: 실제 사고 식별
- 억제, 제거, 복구
- 사고 후 검토와 교훈