# 보안 감시 (Security Monitoring)

**보안 감시**(Security Monitoring)는 조직의 정보 시스템, 네트워크, 애플리케이션 등에서 발생하는 활동을 지속적으로 관찰하고 분석하여 보안 위협을 탐지하고 대응하는 일련의 프로세스와 기술을 포괄하는 개념입니다. 현대 사이버 보안 생태계에서 보안 감시는 사후 대응을 넘어선 선제적 위협 탐지와 신속한 사고 대응의 핵심 축으로 작용합니다.

## 개요

전통적인 방화벽이나 백신 소프트웨어와 같은 경계 기반 보안 장치는 외부의 침입을 차단하는 데 중점을 두지만, 내부에서의 위협이나 이미 침투한 공격자의 활동을 탐지하기에는 한계가 있습니다. **보안 감시**는 이러한 한계를 극복하기 위해 시스템 로그, 네트워크 트래픽, 사용자 행동 등 다양한 데이터 소스를 수집하고 분석하여 이상 징후를 식별합니다.

주요 목표는 다음과 같습니다:
*   **실시간 위협 탐지**: 악성 코드 감염, 데이터 유출, 비인가 접근 등을 즉시 발견.
*   **사건 조사 및 포렌식**: 보안 사고 발생 시 원인 규명 및 증거 확보.
*   **규정 준수 검증**: GDPR, PCI-DSS, ISO 27001 등 주요 보안 표준의 감사 요구사항 충족.

## 핵심 구성 요소 및 기술

보안 감시 체계는 일반적으로 데이터 수집, 정규화, 분석, 시각화 및 알림의 단계로 구성됩니다.

### 1. 데이터 수집 (Data Collection)
감시의 정확성은 얼마나 포괄적이고 정확한 데이터를 수집하느냐에 달려 있습니다. 주요 데이터 소스는 다음과 같습니다:
*   **시스템 로그**: OS(Windows Event Log, Linux Syslog), 데이터베이스, 웹 서버의 접근 및 오류 로그.
*   **네트워크 트래픽**: 패킷 데이터, 플로우 데이터(NetFlow), DNS 쿼리 기록.
*   **엔드포인트 데이터**: 설치된 애플리케이션, 프로세스 실행 기록, 레지스트리 변경 사항 등.

### 2. SIEM (Security Information and Event Management)
**SIEM**은 보안 감시의 핵심 인프라입니다. 다양한 소스에서 수집된 로그를 실시간으로 집계하고, 상관 관계 분석(Correlation Analysis)을 통해 단일 이벤트로는 발견하기 어려운 복합적인 공격 패턴을 식별합니다.
*   **로그 정규화**: 서로 다른 형식의 로그를 표준화된 형식으로 변환하여 분석 가능하게 만듦.
*   **알람 생성**: 정의된 규칙(Rule) 또는 이상 징후(Anomaly) 기반의 위험도가 임계값을 초과할 경우 보안 담당자에게 알림.

### 3. UEBA (User and Entity Behavior Analytics)
기존 규칙 기반 감시가 정해진 패턴에 맞춰 작동한다면, **UEBA**는 머신러닝과 인공지능을 활용하여 정상적인 사용자 및 엔티티의 행동 기준선(Baseline)을 학습합니다. 이후 이 기준선에서 벗어난 이상 행동(예: 평소에 낮 시간대에 접속하던 사용자가 심야 시간에 대량의 데이터를 다운로드)을 탐지합니다. 이는 내부자 위협(Insider Threat)이나 도용된 계정 사용을 발견하는 데 효과적입니다.

## 보안 감시의 운영 프로세스

효과적인 보안 감시는 단순한 기술 도입을 넘어 체계적인 운영 프로세스를 필요로 합니다.

1.  **감시 범위 정의**: 조직의 핵심 자산과 비즈니스 중요도에 따라 감시해야 할 시스템과 로그의 범위를 우선순위별로 정의합니다.
2.  **데이터 통합 및 정규화**: 수집된 데이터를 SIEM이나 로그 관리 시스템에 통합하고, 분석 가능한 형태로 표준화합니다.
3.  **분석 및 탐지**:
    *   **시그니처 기반 탐지**: 알려진 공격 패턴(IOC, Indicators of Compromise)과 매칭.
    *   **행동 기반 탐지**: 비정상적인 트래픽 양이나 접근 빈도 분석.
4.  **사건 대응 및 보고**: 탐지된 보안 이벤트를 분류하고, 심각도에 따라 자동화되거나 수동으로 조사합니다. 최종적으로는 감사 보고서 형식으로 결과를 문서화합니다.

## 주요 도전 과제

*   **데이터 과부하(Data Overload)**: 대규모 조직에서는 매일 수 TB에 달하는 로그가 생성되어, 중요한 신호(Signal)를 노이즈(Noise) 속에서 찾는 것이 어렵습니다.
*   **가짜 양성(False Positives)**: 정상적인 활동이 보안 위협으로 오인되어 보안 담당자의 피로도를 높이고 실제 위협을 놓칠 수 있습니다.
*   **전문 인력 부족**: 로그를 분석하고 위협을 해석할 수 있는 숙련된 보안 분석가(Analyst)의 부족이 큰 장벽으로 작용합니다.

## 관련 기술 및 표준

*   **SOAR (Security Orchestration, Automation and Response)**: SIEM에서 탐지된 사건에 대한 대응 절차를 자동화하여 처리 시간을 단축하는 기술.
*   **IDS/IPS (Intrusion Detection/Prevention System)**: 네트워크 상의 비정상적인 트래픽을 탐지하거나 차단하는 장치.
*   **NIST Cybersecurity Framework**: 보안 감시를 포함한 사이버 보안 관리의 국제적 표준 가이드라인.

## 결론

보안 감시는 정적 보안 장치가 아닌, 동적이고 지속적인 보안 운영의 핵심입니다. 조직은 SIEM, UEBA, SOAR 등 현대적인 감시 기술을 도입하고, 지속적인 튜닝과 인력 교육을 통해 가짜 양성을 줄이고 실제 위협에 대한 탐지율을 높여야 합니다. 궁극적으로 보안 감시는 조직의 사이버 복원력(Cyber Resilience)을 강화하는 데 기여합니다.