기술문서

 > 

보안

보안 정보 및 이벤트 관리(SIEM, Security Information and Event Management) 솔루션

주요 목적은 다음과 같습니다:

• 중앙 집중화: 여러 서버나 워크스테이션의 로그를 한곳에 모읍니다.

• 보관 및 감사: 법적 또는 규제 준수를 위해 장기간 로그를 안전하게 보관합니다.

• 분석 및 시각화: 복잡한 로그 데이터를 분석하여 패턴을 찾고, 이상 징후를 탐지하며, 대시보드를 통해 시각화합니다.

• 경고 및 알림: 특정 조건(예: 비정상적인 로그인 시도, 특정 IP에서의 다수 로그인 실패)이 감지되면 관리자에게 즉시 알림을 보냅니다.

• 보안 강화: 침해 사고 발생 시 포렌식 분석에 활용하거나, 잠재적인 위협을 사전에 탐지합니다.

1. SIEM (Security Information and Event Management) 솔루션

SIEM은 보안 이벤트 로그를 수집, 상관 분석, 저장, 경고 및 보고하는 데 사용되는 포괄적인 플랫폼입니다. 대규모 기업 환경에서 주로 사용됩니다.

주요 상용 SIEM 솔루션:

• Splunk Enterprise Security (ES): 강력한 검색, 분석, 시각화 기능을 제공하며, 다양한 데이터 소스에서 로그를 수집할 수 있습니다. 윈도우 이벤트 로그 수집 에이전트(Splunk Universal Forwarder)를 통해 쉽게 통합됩니다.

• IBM QRadar: 로그 관리, 보안 분석, 침입 탐지 기능을 통합하여 제공합니다. 윈도우 이벤트 컬렉터(WEC) 또는 에이전트를 통해 윈도우 로그를 수집합니다.

• Microsoft Sentinel (Azure Sentinel): 클라우드 기반의 SIEM으로, Azure 생태계와 긴밀하게 통합되며, 윈도우 서버 및 워크스테이션에서 로그를 쉽게 수집할 수 있습니다.

• Elastic SIEM (Elastic Stack - Elasticsearch, Kibana, Logstash, Beats): 오픈 소스 기반이지만 상용 지원도 제공됩니다. Winlogbeat라는 경량 에이전트를 사용하여 윈도우 이벤트 로그를 수집하고, Elasticsearch에 저장한 후 Kibana에서 시각화 및 분석합니다. 유연성이 매우 높습니다.

• ArcSight (Micro Focus): 엔터프라이즈급 SIEM 솔루션으로, 복잡한 보안 분석 및 규제 준수 보고에 강점을 가집니다.

• Exabeam: 사용자 및 엔티티 행동 분석(UEBA)에 특화된 SIEM으로, 비정상적인 로그인 패턴 탐지에 강점이 있습니다.