日本語에서 번역 • 원문 보기 
- "일단 모든 로그를 센티넬로 보내고 있어."
- "대시보드는 있는데 아무도 안 보고 있어."
- "감사 응답에서 '우리는 징수하고 있다'고 말할 수 있지만, 운영에 사용할 수 없습니다."
사실, 이는 보안 운영에서 흔히 발생하는 '함정'입니다.
1. 로그는 서로 다른 개념입니다: "수집"과 "사용"입니다.
로그 수집의 목표는 "모니터링 및 분석에 사용"하는 것입니다.
하지만 현장에서는 '수집 = 보안에 대응할 수 있다'는 인식이 종종 오해됩니다.
- Azure AD 로그인 로그는 수집되지만, 의심스러운 로그인은 분석되지 않습니다
- Defender for Endpoint 알림은 제공하지만, 추세 분석은 없습니다
- 방화벽과 WAF 로그가 쌓이고 있지만 아무도 검색하지 않고 있습니다
이 경우 로그는 "죽은 데이터"가 됩니다.
2. 일반적인 "로그 작업 실패 사례"
- "지금은 모든 것을 가져가라"
저장 비용 증가, 효과적으로 활용하기 어려운 소음 - 대시보드만 만드는 것에 만족하나요
알림 디자인이나 검색 쿼리 없이는 아무도 눈치채지 못합니다 - 책임자의 개인 관리
책임자가 인계되지 않고 책임자가 부재할 때, '보이지 않는 로그'의 수가 증가합니다.
3. 통나무를 "살아있는 자산"으로 만들기 위한 3가지 포인트
(1) 목적을 정하고 수집하기
- "의심스러운 로그인 감지", "이메일 공격 추적", "기기 침해 초기 확인" 등.
- 무엇을 위해 사용할지 결정한 후 로그 수집 범위를 정의하세요
(2) 경고 논리 도입
- Sentinel의 KQL 쿼리와 Defender 규칙을 활용하기
- "보고 싶을 때 찾아라" 대신, "수상할 때 알림"으로 표시됩니다.
(3) 지식을 떠나라
- 로그와 검색 쿼리는 티켓과 위키에 기록됩니다
- 과거 사건을 재사용하여 "단순히 볼 수 있는 로그"에서 "사용할 수 있는 로그"로 변경하는 것
4. 컬러크루 시큐리티 돕기
Colorkrew Security는 다음과 같은 방법으로 로그를 "사용 가능한" 상태로 전환하는 데 도움을 드릴 수 있습니다:
- Microsoft 365/Azure/AWS/GCP 로그 수집 설계 및 최적화
- 센티넬과 디펜더를 이용한 탐지 규칙 및 경고 설계
- 팀이 공유할 수 있는 운영 지식을 구조화하세요
- SOC의 횡단적 모니터링, 분석 및 개선 제안
우리의 임무는 '수집된 로그'를 '의미 있는 보안 데이터'로 바꾸는 것입니다.
5. 결론
- 로그만으로는 '단순히 수집'할 수 없습니다
모니터링, 탐지, 분석에 사용할 수 없다면 의미가 없습니다 - 일반적인 실패는 '모두 가져가기'와 '대시보드만 사용한다'입니다.
이는 비용 증가, 기형, 의존성으로 이어집니다 - Colorkrew는 "사용 가능한 로그 관리" 지원
설계, 감지 규칙, 지식 관리에서 전면 지원
"로그는 '수집'에서 '활용'으로 전환됩니다.
Colorkrew Security는 Microsoft Defender와 Sentinel을 중심으로 한 로그 활용 및 최적화 지원 서비스를 제공합니다.
초기 설계부터 개선 제안까지, 저희에게 맡기시기 바랍니다!