오프닝 & 보안 관제 체계

들어가며 — 오늘 하루의 지도

오늘 강의는 다섯 모듈(M1~M5)로 구성됩니다. 각 모듈은 수집 → 탐지 → 판단 → 대응 → 통합의 한 조각을 맡고, 이전 모듈의 산출물이 다음 모듈의 입력이 됩니다. M0은 그 지도를 한 장에 펼쳐 보이고, 오늘 강의를 마칠 때쯤 어떤 지표로 자기 팀을 재볼지를 미리 정해 두는 자리입니다.

이 모듈의 학습 목표는 세 가지입니다.

1. 오늘 하루의 스토리라인을 한 장에 그릴 수 있습니다 — 다섯 모듈이 어떻게 맞물려 돌아가는지를 큰 그림으로 잡습니다.
2. SOC 운영 모델의 세 가지 축을 말할 수 있습니다 — Tier 1/2/3 역할 분담, 24×7 vs 8×5 운용, MSSP 위탁 구조의 차이를 구분합니다.
3. 오늘 강의를 관통하는 다섯 지표로 자기 팀을 재볼 수 있습니다 — MTTD · MTTR · 알림 처리량 · 오탐률 · 자동화 처리율입니다.

사전 조사 — 시작 전에 한 번씩

강의 시작 전에 수강생의 배경 분포를 가볍게 묻습니다. 손 들기 또는 멘티미터로 충분합니다.

• SIEM 운용 경험 — 한 번이라도 운영해 본 적이 있는가? (예/아니오)
• 자동화 도구 경험 — Wazuh · n8n · SOAR 같은 도구를 만져 본 적이 있는가? (예/아니오)
• 코드 작성 경험 — 짧은 스크립트라도 직접 작성해 본 적이 있는가? (예/아니오)

세 질문 모두 “아니오”가 절반 이상이면 M1에서 SIEM 화면을 처음 보는 데 충분한 시간을 줍니다. 모두 “예”이면 M1을 압축하고 M3·M4에 무게를 더 싣습니다.

§A. 오늘 하루의 스토리라인 — 수집·탐지·판단·대응·통합

오늘 하루는 공격 한 건을 시뮬레이션하고 그것을 끝까지 따라가는 시간입니다. 다섯 모듈은 같은 사건을 다른 시점에서 다시 봅니다.

• M1. 로그·SIEM 기초 — Wazuh가 에이전트에서 로그를 받아 SIEM에 올립니다. 여기서 만들어지는 것이 알림(alert) 입니다.
• M2. 규칙 기반 탐지 — M1의 알림을 룰셋으로 다시 봅니다. 룰이 발화하면 결정적 차단이 일어납니다.
• M3. AI·ML 위협 탐지 — M2가 통과시킨 잔여 신호들을 z-점수와 LLM 트리아지로 다시 봅니다. 여기서 만들어지는 것이 판정(verdict) 입니다.
• M4. 대응 자동화 — M3의 판정이 정탐이면 승인 후 자동 차단(iptables 기반 Active Response)으로 보냅니다.
• M5. 침해 분석·보고 — M1~M4에서 누적된 로그를 묶어 사후 분석과 보고로 닫습니다.

이 순서가 각 모듈의 산출물이 다음 모듈의 입력이라는 점에 주의합니다. M1의 알림이 M2의 룰셋 입력이고, M2의 판정 결과가 M3의 AI 입력이고, M3의 verdict가 M4 플레이북의 분기 조건입니다. 순서를 거꾸로 돌릴 수 없습니다 — M2의 룰이 발화했다면 그것은 이미 결정적 차단의 영역이고 M3에서 다시 보지 않습니다.

한 장 그림 — 모듈 간 입력·출력

핵심 설계 원칙 세 가지 — 오늘 모든 모듈에서 반복됩니다.

§B. SOC 운영 모델 — 세 가지 축

보안 관제 센터(SOC: Security Operations Center)는 세 가지 축으로 구분해 설명할 수 있습니다. 이 세 축은 서로 다른 문제에 답합니다.

축 1. Tier 1/2/3 역할 분담

역할 SOC의 분석가 역할은 세 단계로 갈립니다. 역할이 겹칠수록 에스컬레이션이 늦어집니다.

• Tier 1 (알림 처리) — M1·M2가 만들어낸 알림을 받아 룰 발화 여부를 확인하고 1차 분류합니다. 자동종료 가능한 것은 닫고, 잔여 신호는 Tier 2로 넘깁니다.
• Tier 2 (심층 분석) — M3의 z-점수와 LLM 트리아지 결과를 받아 판정(verdict) 을 확정합니다. 오탐 강신뢰(verdict === "오탐" && confidence >= 90)는 자동종료, 그 외는 Tier 3 또는 대응팀으로 보냅니다.
• Tier 3 (침해 분석) — M5의 사후 분석과 정탐 사건의 근본 원인 분석을 맡습니다. 룰셋 갱신·플레이북 개정의 주체이기도 합니다.

축 2. 24×7 vs 8×5 운용

MSSP(Managed Security Service Provider) 위탁은 “24×7을 못 사니까 MSSP에 맡긴다”가 전부가 아닙니다 — 핵심 자산과 정책 결정 권한은 자체에 남겨 두고, 1차 알림 처리와 24×7 모니터링만 위탁하는 형태가 일반적입니다. 오늘 강의는 단일 호스트 Wazuh + n8n 구성이므로 자체 운용 형태에 가깝습니다.

축 3. 환경 구성

오늘 실습 환경은 단일 호스트 Wazuh + n8n입니다. 수강생 개별 실습은 없고 강사 데모 참관형으로 진행하며, 모든 자료는 배포됩니다. 최종 사양은 4코어 / 16GB / SSD 60GB 노트북 한 대입니다.

대상은 보안 관제·인프라 실무자이며, SIEM 운용 경험은 무관합니다 — M1에서 SIEM 화면을 처음 보는 단계를 가정합니다. 자동화 도구나 코드 작성 경험도 필수가 아닙니다 — M3의 통계와 M4의 스크립트는 강사가 시연하고 수강생은 흐름을 따라갑니다.

§C. 핵심 지표 다섯 가지 — 오늘 배우는 모든 것을 이 숫자로 측정

오늘 강의의 모든 모듈이 다섯 지표 중 최소 하나를 움직입니다. M5에서 실제 수치로 회수하기 때문에, M0에서 미리 이름을 붙여 둡니다.

이 다섯 지표를 “오늘 배우는 모든 것을 이 5개 지표로 측정한다”는 약속으로 잡습니다. M5에서 같은 다섯 지표를 다시 꺼내 수동 대응 대비 자동화 후의 수치로 회수합니다. 지금은 정의만 잡고, M5에서 실제 숫자를 봅니다.

자가 진단 — 우리 조직은 지금 어디에

질문 1. MTTD — 침해가 발생한 뒤 탐지까지 보통 얼마나 걸리는가?
질문 2. MTTR — 탐지 후 차단까지 보통 얼마나 걸리는가?
질문 3. 알림 처리량 — 하루에 처리하는 알림은 보통 몇 건인가?
질문 4. 오탐률 — 전체 알림 중 절반 이상이 오탐으로 느껴지는가?
질문 5. 자동화 처리율 — 자동종료·자동 차단되는 비율이 얼마나 되는가?

다섯 질문에 답해 보면 자동화 성숙도의 위치가 잡힙니다. 다섯 단계의 정의는 M4에서 다시 한번 펼쳐 봅니다 — M0에서는 이름을 예고만 합니다. M4에서 그 표를 다시 꺼내 오늘 만들 자동화가 어느 단계를 몇 분이 더 짧게 만드는지를 수치로 대조합니다.

정리 — 오늘 강의의 약속

• 스토리라인 — 다섯 모듈은 수집 → 탐지 → 판단 → 대응 → 통합의 한 조각이고, 이전 모듈의 산출물이 다음 모듈의 입력입니다.
• SOC 운영 모델 — Tier 1/2/3 역할 분담 · 24×7 vs 8×5 vs MSSP · 오늘은 단일 호스트 Wazuh + n8n 자체 운용.
• 다섯 지표 — MTTD · MTTR · 알림 처리량 · 오탐률 · 자동화 처리율. M5에서 수동 vs 자동화로 수치 대조.
• 자가 진단 — 다섯 질문으로 지금 위치를 가늠하고, M4에서 자동화 성숙도 표로 돌아옵니다.

M1에서 Wazuh 화면을 처음 켜는 순간, 오늘 하루가 시작됩니다.