Cyber Security Academy · 강의

탐지 테스트 및 조정

오탐을 줄입니다.

탐지 테스트 및 조정은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 4번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

오탐 문제

정상 활동에 반응하는 조정되지 않은 탐지는 탐지가 전혀 없는 것보다 더 나쁩니다. 분석가는 시끄러운 경보를 무시하는 법을 배우고, 실제 공격 하나가 대기열 속에 묻힙니다. 이것이 경보 피로이며, 자원이 풍부한 보안 운영 센터도 침해를 놓치게 되는 원인입니다.

조정은 실제 위협을 보지 못하게 만들지 않으면서 정탐을 최대화하고 오탐을 0에 가깝게 줄이는 체계적인 과정입니다.

참과 거짓, 양성과 음성

프레임 탐지 품질은 네 가지 결과로 나뉩니다:

참 양성 (TP) — 실제 악성 활동을 정확히 탐지합니다
위양성 (FP) — 정상 활동에서 잘못 작동합니다
참 음성 (TN) — 정상 활동에서는 올바르게 침묵합니다
위음성 (FN) — 실제 악성 활동을 놓칩니다

조정은 이 네 가지 결과 사이의 균형을 맞추는 작업입니다. 규칙을 느슨하게 하면 FN이 줄지만 FP 위험이 커지고, 엄격하게 하면 그 반대가 됩니다. 핵심은 SOC가 지속적으로 감당할 수 있는 균형점을 찾는 것입니다.

검사 데이터: 알려진 정상과 알려진 악성

눈을 가린 채로 조정할 수는 없습니다. 알려진 악성 샘플과 알려진 정상 샘플로 데이터 모음을 구축해야 합니다. 악성 샘플에서는 규칙이 작동해야 하고, 정상 샘플에서는 규칙이 침묵해야 합니다. Sigma의 탐지 코드화 방식에서는 이러한 샘플을 규칙 옆에 검사 사례로 저장합니다.

tests:
  - name: malicious_encoded_powershell
    log: { Image: 'powershell.exe', CommandLine: 'powershell -enc SQBFAFgA' }
    expect: match
  - name: legit_admin_script
    log: { Image: 'powershell.exe', CommandLine: 'powershell -File backup.ps1' }
    expect: no_match

공격자 모의 실행

기법을 안전하게 실행하여 실제 알려진 악성 원격 측정 데이터를 생성합니다. 아토믹 레드 팀은 ATT&CK에 매핑된 작고 문서화된 검사를 제공하며, 이를 실험실 환경에서 실행해 규칙이 실제로 작동하는지 확인할 수 있습니다.

원자 단위 검사를 실행하고, 로그를 수집한 다음, 탐지가 작동하는지 검증합니다. 작동하지 않는다면 YAML이 아무리 잘 작성되어 있어도 해당 규칙에는 탐지 범위의 공백이 있는 것입니다.

# Run an atomic test for T1059.001 (PowerShell)
Invoke-AtomicTest T1059.001 -TestNumbers 1

# Then confirm the SIEM detection fired for that host/time window

환경 기준선 설정

규칙을 경보용으로 배포하기 전에 감사 모드로 과거 데이터와 실시간 데이터를 대상으로 실행하여, 무엇이 규칙을 정상적으로 작동시키는지 파악합니다. 이 기준선은 그렇지 않으면 FP를 발생시킬 정상 프로세스, 관리자 및 도구를 밝혀냅니다.

추상적으로는 악성처럼 보이는 활동도 특정 환경에서는 백업 작업, 취약점 검사 도구 또는 RMM 관리 프로그램인 경우가 많습니다. 환경 기준선을 설정하면 이런 요소가 밤중에 분석가를 깨우기 전에 찾아낼 수 있습니다.

필터를 사용한 조정

가장 깔끔한 조정 방법은 악성 로직을 그대로 유지하고, 명시적인 제외 조건으로 알려진 정상 활동의 작동 원인을 제거하는 것입니다. 이렇게 하면 검토자가 무엇을 왜 제외했는지 정확히 확인할 수 있어 감사가 쉽습니다.

핵심 로직을 지나치게 확장하기보다는 범위가 좁고 근거가 분명한 제외를 사용하십시오. 핵심 로직을 넓히면 조용히 탐지 공백이 생길 수 있습니다.

detection:
  selection:
    Image|endswith: '\\wmic.exe'
    CommandLine|contains: 'process call create'
  filter_sccm:
    ParentImage|contains: '\\CcmExec'
  condition: selection and not filter_sccm

과도한 필터링 주의

모든 제외 조건은 공격자가 숨을 수 있는 구멍입니다. 도구 이름이 포함된 ParentImage의 모든 활동을 필터링하면, 그 이름으로 위장한 공격자가 탐지를 피할 수 있습니다.

지침:

사용 가능한 속성 중 가장 구체적인 속성으로 필터링하십시오(전체 경로, 서명된 게시자, 해시)
각 필터가 존재하는 이유를 문서화하십시오
필터를 정기적으로 재검토하십시오 — 환경은 변합니다
조건을 제거하기보다는 임계값을 높이십시오

임계값과 집계

일부 행동은 규모가 커져야만 의심스럽습니다. 로그인 실패 한 번은 정상일 수 있지만, 한 출발지에서 1분 동안 50번 발생하면 정상으로 보기 어렵습니다. 조건에서 집계를 사용하여 각 이벤트가 아니라 발생률이나 개수를 기준으로 경보를 발생시키십시오.

임계값을 조정하면 무차별 대입, 검색 및 정보 유출 패턴에서 불필요한 경보를 크게 줄일 수 있습니다.

detection:
  selection:
    EventID: 4625
  timeframe: 1m
  condition: selection | count() by SourceIp > 30

측정과 반복 개선

조정은 한 번 하고 끝나는 작업이 아니라 지속적인 과정입니다. 규칙별 지표를 추적하고 가장 문제가 큰 규칙을 다시 검토하십시오:

규칙별 일일 경보량
분석가의 판정 결과에 따른 FP 비율
정밀도 = TP / (TP + FP)
초기 분석까지 걸리는 시간에 미치는 영향

일주일에 200개의 경보를 생성하고 모두 정상으로 종결되는 규칙은 조정하거나, 감사 모드로 낮추거나, 폐기해야 합니다. 데이터에 따라 결정하십시오.

초기 분석 부담을 줄이는 정보 보강

모든 불필요한 경보가 억제로 해결되는 것은 아닙니다. 경보 자체는 기술적으로 유효하지만 판정을 내리려면 맥락이 필요한 경우가 많습니다. 정보 보강은 이러한 맥락을 자동으로 추가하여 분석가가 더 빠르게 결정하도록 합니다.

자산의 중요도와 담당자
사용자 역할 및 계정의 권한 보유 여부
IP 주소, 도메인 및 해시의 위협 정보 평판
호스트가 유지 관리 시간대에 있는지 여부

정보가 보강된 경보를 사용하면 위험 점수를 산정하고 우선순위를 정할 수 있어, 원시 경보량이 그대로여도 실질적인 불필요한 경보를 줄일 수 있습니다.

변경할 때마다 회귀 검사

규칙을 조정할 때마다 CI에서 전체 검사 모음을 다시 실행하십시오. 알려진 악성 검사는 실제 탐지를 실수로 제외하지 않았는지 확인하고, 알려진 정상 검사는 FP가 해결되었는지 확인합니다.

이러한 폐쇄형 순환 구조 때문에 탐지 코드화와 조정은 함께 이루어져야 합니다. 검사가 탐지 범위의 손상을 찾아내므로 규칙 구조를 적극적으로 개선할 수 있습니다.

pytest tests/windows/wmic_process_create_test.yml
# all known-bad cases still 'match'
# new known-good case now 'no_match'

빠른 확인

실제 절충 상황에 조정 판단을 적용해 보십시오.

정리

조정은 탐지를 신뢰할 수 있고 실행 가능하게 만듭니다:

관리되지 않는 FP는 경보 피로와 침해 누락을 일으킵니다
TP/FP/TN/FN 체계로 판단합니다
알려진 정상 및 알려진 악성 검사 데이터 모음을 구축합니다
규칙이 작동하는지 입증하기 위해 공격자 모의 실행(아토믹 레드 팀)을 사용합니다
경보를 발생시키기 전에 감사 모드에서 기준선을 설정합니다
광범위한 제외가 아니라 범위가 좁고 문서화된 필터와 임계값으로 조정합니다
FP 비율과 정밀도를 측정하고 가장 문제가 큰 규칙을 반복 개선합니다
변경할 때마다 회귀 검사를 다시 실행합니다

Sigma 탐지 엔지니어링 과정을 모두 마쳤습니다.

자주 묻는 질문

“탐지 테스트 및 조정” 강의는 무료인가요?

네 — “탐지 테스트 및 조정” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“탐지 테스트 및 조정”에서 뭘 배우나요?

오탐을 줄입니다. 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 4번째 강의입니다.

“탐지 테스트 및 조정” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Cyber Security Academy(으)로 돌아가기