보안 로그 이상치 분석 플랫폼

서버에 평소와 다른 접속이 있었는지는 로그로 확인할 수 있습니다. 다만 매일 수백만 줄씩 쌓이는 로그를 사람이 직접 검토해 이상 기록을 찾는 것은 사실상 불가능합니다.

보안 로그 이상치 분석 플랫폼은 리눅스 네트워크 로그와 인증 로그를 수집해 평소 패턴을 학습하고, 패턴에서 벗어난 이벤트만 선별해 한국어로 설명하는 시스템입니다. 대량의 로그에서 찾기 어려웠던 이상 징후가 담당자 화면에 바로 표시됩니다.

플랫폼을 운영 환경에 도입했을 때의 변화, 내부 처리 구조, 기존 보안 도구와의 차이를 정리한 가이드입니다.

이상 징후의 유형

탐지 대상은 접속 이력이 없는 IP의 새벽 시간대 연속 인증 실패, 같은 시간대 특정 포트에 평소의 수십 배 트래픽이 몰리는 현상, 내부 계정이 업무시간 이후 대량의 파일을 외부로 전송하는 행위 같은 신호입니다. 모두 규칙으로 미리 정의하기 어렵고, 평소와 다르다는 점으로만 구분할 수 있습니다.

같은 사용자가 서로 다른 국가에서 동시에 로그인하거나, 평소 사용하지 않던 관리 명령이 연속으로 실행되는 경우도 같은 유형입니다. 알려진 공격 패턴 목록에는 없는 행위지만, 평소 패턴을 학습한 시스템은 탐지할 수 있습니다.

로그 처리 흐름

리눅스 로그는 수집과 정규화를 거쳐 한곳에 모이고, 시스템은 이 데이터로 평소 패턴 기준선을 학습합니다. 기준선이 있어야 이상 여부를 판단할 수 있으므로, 그림 가운데 회색 상자로 표시한 기준선이 이 구조의 중심입니다. 기준선을 벗어난 이벤트는 이상치 탐지 단계에서 선별되고, LLM이 맥락 설명을 붙여 대시보드와 경보로 전달합니다. 담당자가 오탐으로 표시한 피드백은 기준선에 반영되어 판단 정확도가 점차 높아집니다.

경보 처리 절차

기준선을 벗어난 신호가 모두 위협은 아니므로, 먼저 의심 상태로 분류한 뒤 LLM의 맥락 분석을 거쳐 확인 단계로 넘깁니다. 위협으로 판정되면 대응을 시작하고, 오탐으로 확인되면 그 결과를 기준선 학습에 반영해 같은 오탐 경보가 반복되지 않게 합니다.

오탐 관리

플랫폼의 성과는 오탐 관리 수준에 따라 달라지는 경우가 많습니다. 임계값 하나로 판단하면 오탐이 대량으로 발생합니다. 첫 번째 방법은 요일, 시간대, 서버별로 기준선을 따로 학습해, 같은 트래픽이라도 새벽에는 이상으로, 업무시간에는 정상으로 판단하게 하는 것입니다.

두 번째 방법은 경보 병합입니다. 같은 출처에서 같은 패턴으로 반복되는 이상은 클러스터링으로 1건으로 합쳐 "30분간 200건"처럼 요약합니다. 이 방법만으로도 경보 피로가 크게 줄어듭니다.

마지막 방법은 경보 설명입니다. 모든 경보에는 이상으로 판단한 이유를 한국어 문장으로 붙입니다. "이 IP는 지난 30일 접속 이력이 없고 새벽 3시에 인증 12회 실패" 같은 설명이 있으면 담당자가 더 빠르게 판단할 수 있습니다.

기존 SIEM과의 관계

기존 SIEM과 룰 기반 탐지는 알려진 공격 패턴을 규칙으로 탐지하는 도구입니다. 이 플랫폼은 기존 규칙을 유지한 채, 규칙으로 미리 정의하기 어려운 신종 공격이나 내부자 행위를 통계적으로 탐지해 보완합니다. 실제 구성도 기존 SIEM에 한국어 설명 계층을 추가하는 방식입니다.

로그 외부 반출 여부

도입 검토 시 가장 먼저 나오는 우려는 보안 로그의 외부 반출이지만, 로그를 외부로 보낼 필요는 없습니다. 이상치 탐지와 기준선 학습은 사내에서 처리하고, LLM은 선별된 소수의 이상 이벤트에만 맥락 설명을 붙이는 구조가 일반적입니다. 이 결과도 외부로 보낼 수 없는 금융이나 공공 환경에서는 sLLM을 사내에 설치해 설명 단계까지 모두 내부에서 처리할 수 있습니다.

성과 지표

도입 후의 변화는 다음 4가지 지표로 확인합니다.

평균 탐지 시간(MTTD): 사후 점검에서 발견하던 이상을 발생 후 몇 분 안에 탐지하는지 측정합니다.

오탐률: 전체 경보 가운데 실제 위협과 무관한 경보의 비율을 추적해 담당자가 처리할 수 있는 수준까지 낮춥니다.

1건 처리 시간: 경보 1건을 확인하고 종료하기까지 걸리는 시간이 로그를 수동으로 추적하던 때보다 얼마나 줄었는지 확인합니다.

미탐(놓친 이상): 사후 점검에서 뒤늦게 발견되는 이상 건수가 줄어드는지를 함께 확인합니다.

도입 첫 단계

이 가이드의 처리 흐름은 사내 프로젝트 설계에 그대로 활용할 수 있습니다. 서버군 1개의 인증 로그를 선택해 평소 패턴 기준선부터 만드는 것이 가장 부담이 적은 시작 방법입니다.