Linux Server Deployment & SSH Mastery · 강의

중앙 집중식 로그 기록과 SIEM 통합

서버 로그를 중앙에서 집계하고 전송하며 분석해 IDPS 조사 결과, 감사 기록, 방화벽 이벤트를 실행 가능한 보안 인텔리전스로 바꿉니다.

중앙 집중식 로그 기록과 SIEM 통합은(는) CoddyKit의 무료 Linux Server Deployment & SSH Mastery 강의입니다. 이것은 4개 중 4번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Linux Server Deployment & SSH Mastery 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Linux Server Deployment & SSH Mastery 강의에는 총 4개의 강의가 포함되어 있습니다.

중앙 집중식 로깅이 중요한 이유

방화벽을 강화하고 침입 탐지를 배포한 다음으로 중요한 요소는 가시성입니다. 공격자가 로컬 로그를 수정하면 단일 침해 호스트가 자신의 흔적을 숨길 수 있습니다.

중앙 집중식 로깅은 모든 이벤트를 전용 수집기로 서버 외부에 전송하므로 공격자가 증거를 쉽게 지울 수 없습니다.

변조 방지
여러 서버에 걸친 상관 분석
포렌식을 위한 장기 보관

Linux 로깅 스택

최신 배포판은 구조화된 로그에 systemd-journald를, 전달에 rsyslog를 사용합니다.

journalctl로 저널을 확인하고, /etc/rsyslog.conf 또는 /etc/rsyslog.d/ 아래의 추가 설정 파일에서 전달 규칙을 구성합니다.

journalctl -u sshd --since '1 hour ago'
journalctl -p err -b

SIEM이란 무엇입니까?

SIEM(보안 정보 및 이벤트 관리) 플랫폼은 로그를 수집하고 정규화한 다음 상관 분석 규칙을 실행하여 위협을 찾아냅니다.

널리 사용되는 옵션으로는 Elastic Stack(ELK), Wazuh, Graylog, Splunk가 있습니다.

수집: 원시 이벤트 수집
구문 분석: 필드 추출
상관 분석: 관련 이벤트 연결
경고: 의심스러운 패턴 알림

rsyslog로 로그 전달하기

모든 로그를 TCP를 통해 중앙 수집기로 보내려면 전달 규칙을 추가하십시오. @@를 두 번 사용하는 것은 TCP를 의미합니다(단일 @은 UDP입니다).

# /etc/rsyslog.d/90-forward.conf
*.* @@siem.internal:514

전송 보안

네트워크를 통해 평문으로 전송되는 syslog는 민감한 데이터를 유출합니다. rsyslog GnuTLS 모듈과 함께 TLS를 사용하여 전송 중 로그를 암호화하십시오.

# rsyslog TLS forwarding
global(DefaultNetstreamDriver="gtls")
$DefaultNetstreamDriverCAFile /etc/ssl/ca.pem
*.* @@(o)siem.internal:6514

Filebeat로 전송하기

Elastic Stack 환경에서는 Filebeat가 파일의 끝부분을 계속 읽어 Logstash 또는 Elasticsearch로 전송합니다. 읽은 위치를 추적하므로 다시 시작해도 이벤트가 손실되지 않습니다.

# filebeat.yml
filebeat.inputs:
  - type: filestream
    paths:
      - /var/log/auth.log
      - /var/log/iptables.log
output.logstash:
  hosts: ['siem.internal:5044']

이벤트 구문 분석 및 정규화

원시 로그는 정리되지 않은 상태입니다. SIEM은 구문 분석기(Logstash grok, Wazuh 디코더)를 적용하여 한 줄을 src_ip, user, action과 같은 필드로 변환합니다.

정규화된 필드를 사용하면 SSH, 방화벽, 웹 로그 전반에서 동일하게 작동하는 규칙을 작성할 수 있습니다.

# Logstash grok for sshd failed login
filter {
  grok {
    match => { 'message' => 'Failed password for %{USERNAME:user} from %{IP:src_ip}' }
  }
}

상관 분석 규칙

SIEM의 진정한 강점은 상관 분석입니다. 가치가 낮은 이벤트를 결합하여 가치가 높은 경고를 생성합니다.

한 IP에서 60초 동안 SSH 로그인 5회 실패 후 성공 = 무차별 대입 공격 성공 가능성
방화벽 거부 급증 + 새로운 외부 연결 = 데이터 유출 가능성

IDPS 연동

기존 침입 탐지 경고(Suricata, Snort, Fail2ban, AIDE)를 동일한 SIEM으로 전송하십시오.

이제 하나의 대시보드에서 방화벽 거부, IDS 서명, 감사 결과를 나란히 확인할 수 있으므로 여러 출처에 걸친 상관 분석이 가능합니다.

# Send Suricata eve.json to the SIEM via Filebeat
filebeat.inputs:
  - type: filestream
    paths:
      - /var/log/suricata/eve.json
    parsers:
      - ndjson:
          target: ''

경고 및 대응

알림이 없는 탐지는 쓸모가 없습니다. SIEM이 이메일, Slack 또는 티켓 관리 시스템으로 경고를 전송하도록 구성하십시오.

성숙한 팀은 SOAR 플레이북을 추가하여 자동으로 대응합니다. 예를 들어 표시된 IP에 대한 iptables 거부 규칙을 동적으로 추가할 수 있습니다.

보관 및 무결성

로그는 증거입니다. 다음과 같이 보호하십시오:

추가만 가능한 저장소 또는 WORM 저장소
규정 준수 요건(PCI, GDPR)을 충족하도록 보존 기간 정의
변조를 감지할 수 있도록 로그 보관 파일의 해시 생성

sha256sum auth.log.2026-05-29.gz > auth.log.2026-05-29.gz.sha256

빠른 확인

로컬 로그 파일에만 의존하는 것보다 중앙 집중식 로깅이 선호되는 이유는 무엇입니까?

복습

원시 서버 로그를 보안 인텔리전스로 전환하는 방법을 배웠습니다:

TLS를 통해 rsyslog/Filebeat로 로그를 중앙에 전송
필드로 구문 분석하고 정규화
SIEM에서 방화벽, IDPS, 감사 출처 전반의 이벤트 상관 분석
경고 및 대응, 로그 무결성 보호

중앙 집중식 로깅으로 보안 강화 순환이 완성됩니다. 예방하고, 탐지하고, 이제 관찰합니다.

자주 묻는 질문

“중앙 집중식 로그 기록과 SIEM 통합” 강의는 무료인가요?

네 — “중앙 집중식 로그 기록과 SIEM 통합” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Linux Server Deployment & SSH Mastery 강의 전체를 잠금 해제할 수 있습니다. Linux Server Deployment & SSH Mastery 강의에는 총 4개의 강의가 포함되어 있습니다.

“중앙 집중식 로그 기록과 SIEM 통합”에서 뭘 배우나요?

서버 로그를 중앙에서 집계하고 전송하며 분석해 IDPS 조사 결과, 감사 기록, 방화벽 이벤트를 실행 가능한 보안 인텔리전스로 바꿉니다. 브라우저에서 직접 실행하는 실습 코드로 Linux Server Deployment & SSH Mastery을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Linux Server Deployment & SSH Mastery을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Linux Server Deployment & SSH Mastery은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 4번째 강의입니다.

“중앙 집중식 로그 기록과 SIEM 통합” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Linux Server Deployment & SSH Mastery 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Linux Server Deployment & SSH Mastery 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Linux Server Deployment & SSH Mastery(으)로 돌아가기