로그, Syslog, 알림

로그는 로그인, 인터페이스 변경, 패킷 삭제 또는 오류와 같은 이벤트를 시간과 함께 기록한 것입니다. 로그는 네트워크의 기억입니다. 문제가 발생했을 때 로그를 사용하면 무슨 일이 언제 일어났는지 재구성할 수 있습니다. 로깅이 없으면 문제 해결은 추측에 의존하게 됩니다. 로깅을 사용하면 흔적을 따라 근본 원인까지 거슬러 올라갈 증거를 확보할 수 있습니다.

시스로그는 네트워크 및 유닉스 계열 시스템에서 이벤트 메시지를 생성하고 전송하는 오랜 표준입니다. 장치는 시스로그 메시지를 생성하고 이를 중앙 시스로그 서버로 전달할 수 있습니다. 이렇게 중앙화하면 강력한 이점이 있습니다. 50대의 장치에 각각 로그인하는 대신 한 곳에서 검색할 수 있기 때문입니다. 시스로그는 일반적으로 UDP 포트 514를 통해 전송됩니다.

중앙 집중식 로깅은 여러 장치의 로그를 하나의 서버나 플랫폼으로 수집합니다. 이를 통해 세 가지 이점이 있습니다. 장치 간 이벤트를 연관 지어 분석할 수 있고, 장치가 초기화되거나 고장 나더라도 로그를 보존할 수 있으며, 모든 로그를 한 번에 검색할 수 있습니다. 공격자는 흔적을 숨기기 위해 로컬 로그를 지우려 하는 경우가 많으므로 중앙 로그 저장소는 보안에도 매우 중요합니다.

시스로그는 메시지의 심각도를 0부터 7까지의 값으로 표시합니다. 숫자가 낮을수록 더 긴급합니다.

• 0 긴급, 1 경보, 2 치명적
• 3 오류, 4 경고
• 5 알림, 6 정보, 7 디버그

일반적으로 시끄러운 디버그 메시지가 중요한 메시지를 묻어 버리지 않도록 필터링합니다. 0이 가장 심각하다는 점을 알면 우선순위를 정하는 데 도움이 됩니다.

각 시스로그 메시지에는 메시지가 어디에서 발생했는지를 나타내는 시설 코드도 포함됩니다. 예를 들면 커널, 메일 시스템, 인증 하위 시스템 등이 있습니다. 시설 코드는 심각도와 함께 사용되어 메시지를 전달하고 필터링하는 데 도움을 줍니다. 예를 들어 모든 인증 실패 메시지를 보안 팀으로 보낼 수 있습니다. 시설과 심각도를 함께 사용하면 이벤트의 "무엇"과 "어디에서"를 모두 설명할 수 있습니다.

일반적인 로그 줄에는 타임스탬프, 원천 호스트 또는 장치, 시설과 심각도, 사람이 읽을 수 있는 메시지가 포함됩니다. 정확한 타임스탬프는 필수이므로 장치는 NTP를 사용해 시계를 동기화합니다. 두 장치의 시간이 서로 다르면 장애가 발생한 동안 로그를 연관 지어 분석하기가 거의 불가능해집니다.

로그는 수동적인 기록이지만, 그 위에 경고를 구축할 수 있습니다. 모니터링 시스템은 들어오는 로그를 감시하고 1분 안에 로그인 5회 실패 또는 "critical" 메시지와 같은 패턴에 반응합니다. 경고는 직원에게 이메일, 문자 또는 호출 메시지를 보낼 수 있습니다. 이렇게 하면 조용히 쌓이기만 하던 로그 흐름이 즉시 주의를 기울여야 하는 능동적이고 시의적절한 경고로 바뀝니다.

SIEM (보안 정보 및 이벤트 관리) 시스템은 네트워크 전반에서 로그를 수집하고, 형식을 통일하며, 이벤트를 연관 지어 분석하여 위협을 탐지합니다. 예를 들어 SIEM은 방화벽 차단, 로그인 실패, 새 관리자 계정 생성을 하나의 의심스러운 사건으로 연결할 수 있습니다. SIEM은 로깅, 경고, 분석을 결합하며 현대적인 보안 운영의 중심 역할을 합니다.

보존은 로그를 얼마나 오래 보관하는지를 뜻합니다. 너무 짧으면 조사에 필요한 기록을 잃고, 너무 길면 저장 비용이 증가합니다. 많은 조직과 규정에서는 로그를 수개월 또는 수년 동안 보관하도록 요구합니다. 보존 정책은 조사 가치, 규정 준수 요건, 저장 용량의 균형을 맞추며, 사고가 발생한 뒤가 아니라 사전에 결정해야 합니다.

로그를 연관 지어 분석하려면 시간이 일관되어야 하므로 모든 장치는 NTP (네트워크 시간 프로토콜)를 사용해 공통 원천과 시계를 동기화해야 합니다. 시간이 동기화되면 방화벽의 로그와 서버의 로그가 초 단위로 맞아 이벤트의 경로를 추적할 수 있습니다. 서로 맞지 않는 시계는 혼란스러운 조사 결과를 낳는 고전적이고 답답한 원인입니다.

모든 모니터링과 마찬가지로 경고도 조정해야 합니다. 경고가 너무 많으면 경고 피로가 발생하여 중요한 경고를 무시하게 되고, 너무 적으면 실제 사고를 놓치게 됩니다. 좋은 방법은 심각도가 높은 이벤트와 의미 있는 패턴에 대해 경고하고, 알려진 시끄러운 메시지는 억제하며, 네트워크가 변경될 때마다 경고 규칙을 정기적으로 검토하는 것입니다.

로깅 지식을 확인해 보십시오.

로깅과 경고에 대해 배웠습니다. 핵심 내용:

• 로그는 시간과 함께 기록된 이벤트이며, 시스로그는 이를 표준화합니다(UDP 514).
• 중앙 집중식 로깅은 연관 분석, 보존, 검색에 도움이 됩니다.
• 심각도는 0(긴급)부터 7(디버그)까지이며, 숫자가 낮을수록 더 긴급합니다.
• SIEM은 로그를 연관 지어 분석하여 위협을 탐지합니다.
• NTP는 시계를 동기화하여 로그의 시간이 서로 맞도록 합니다.