# 보안 감시 (Security Monitoring)

**보안 감시**(Security Monitoring)는 조직의 정보 시스템, 네트워크, 애플리케이션 등에서 발생하는 활동을 지속적으로 관찰하고 분석하여 보안 위협을 탐지하고 대응하는 일련의 프로세스와 기술을 포괄하는 개념입니다. 현대 사이버 보안 생태계에서 보안 감시는 사후 대응을 넘어선 선제적 위협 탐지와 신속한 사고 대응의 핵심 축으로 작용합니다.

## 개요

전통적인 방화벽이나 백신 소프트웨어와 같은 경계 기반 보안 장치는 외부의 침입을 차단하는 데 중점을 두지만, 내부에서의 위협이나 이미 침투한 공격자의 활동을 탐지하기에는 한계가 있습니다. **보안 감시**는 이러한 한계를 극복하기 위해 시스템 로그, 네트워크 트래픽, 사용자 행동 등 다양한 데이터 소스를 수집하고 분석하여 이상 징후를 식별합니다.

주요 목표는 다음과 같습니다:
*   **실시간 위협 탐지**: 악성 코드 감염, 데이터 유출, 비인가 접근 등을 즉시 발견.
*   **사건 조사 및 포렌식**: 보안 사고 발생 시 원인 규명 및 증거 확보.
*   **규정 준수 검증**: GDPR, PCI-DSS, ISO 27001 등 주요 보안 표준의 감사 요구사항 충족.

## 핵심 구성 요소 및 기술

보안 감시 체계는 일반적으로 데이터 수집, 정규화, 분석, 시각화 및 알림의 단계로 구성됩니다.

### 1. 데이터 수집 (Data Collection)
감시의 정확성은 얼마나 포괄적이고 정확한 데이터를 수집하느냐에 달려 있습니다. 주요 데이터 소스는 다음과 같습니다:
*   **시스템 로그**: OS(Windows Event Log, Linux Syslog), 데이터베이스, 웹 서버의 접근 및 오류 로그.
*   **네트워크 트래픽**: 패킷 데이터, 플로우 데이터(NetFlow), DNS 쿼리 기록.
*   **엔드포인트 데이터**: 설치된 애플리케이션, 프로세스 실행 기록, 레지스트리 변경 사항 등.

### 2. SIEM (Security Information and Event Management)
**SIEM**은 보안 감시의 핵심 인프라입니다. 다양한 소스에서 수집된 로그를 실시간으로 집계하고, 상관 관계 분석(Correlation Analysis)을 통해 단일 이벤트로는 발견하기 어려운 복합적인 공격 패턴을 식별합니다.
*   **로그 정규화**: 서로 다른 형식의 로그를 표준화된 형식으로 변환하여 분석 가능하게 만듦.
*   **알람 생성**: 정의된 규칙(Rule) 또는 이상 징후(Anomaly) 기반의 위험도가 임계값을 초과할 경우 보안 담당자에게 알림.

### 3. UEBA (User and Entity Behavior Analytics)
기존 규칙 기반 감시가 정해진 패턴에 맞춰 작동한다면, **UEBA**는 머신러닝과 인공지능을 활용하여 정상적인 사용자 및 엔티티의 행동 기준선(Baseline)을 학습합니다. 이후 이 기준선에서 벗어난 이상 행동(예: 평소에 낮 시간대에 접속하던 사용자가 심야 시간에 대량의 데이터를 다운로드)을 탐지합니다. 이는 내부자 위협(Insider Threat)이나 도용된 계정 사용을 발견하는 데 효과적입니다.

## 보안 감시의 운영 프로세스

효과적인 보안 감시는 단순한 기술 도입을 넘어 체계적인 운영 프로세스를 필요로 합니다.

1.  **감시 범위 정의**: 조직의 핵심 자산과 비즈니스 중요도에 따라 감시해야 할 시스템과 로그의 범위를 우선순위별로 정의합니다.
2.  **데이터 통합 및 정규화**: 수집된 데이터를 SIEM이나 로그 관리 시스템에 통합하고, 분석 가능한 형태로 표준화합니다.
3.  **분석 및 탐지**:
    *   **시그니처 기반 탐지**: 알려진 공격 패턴(IOC, Indicators of Compromise)과 매칭.
    *   **행동 기반 탐지**: 비정상적인 트래픽 양이나 접근 빈도 분석.
4.  **사건 대응 및 보고**: 탐지된 보안 이벤트를 분류하고, 심각도에 따라 자동화되거나 수동으로 조사합니다. 최종적으로는 감사 보고서 형식으로 결과를 문서화합니다.

## 주요 도전 과제

*   **데이터 과부하(Data Overload)**: 대규모 조직에서는 매일 수 TB에 달하는 로그가 생성되어, 중요한 신호(Signal)를 노이즈(Noise) 속에서 찾는 것이 어렵습니다.
*   **가짜 양성(False Positives)**: 정상적인 활동이 보안 위협으로 오인되어 보안 담당자의 피로도를 높이고 실제 위협을 놓칠 수 있습니다.
*   **전문 인력 부족**: 로그를 분석하고 위협을 해석할 수 있는 숙련된 보안 분석가(Analyst)의 부족이 큰 장벽으로 작용합니다.

## 관련 기술 및 표준

*   **SOAR (Security Orchestration, Automation and Response)**: SIEM에서 탐지된 사건에 대한 대응 절차를 자동화하여 처리 시간을 단축하는 기술.
*   **IDS/IPS (Intrusion Detection/Prevention System)**: 네트워크 상의 비정상적인 트래픽을 탐지하거나 차단하는 장치.
*   **NIST Cybersecurity Framework**: 보안 감시를 포함한 사이버 보안 관리의 국제적 표준 가이드라인.

## 결론

보안 감시는 정적 보안 장치가 아닌, 동적이고 지속적인 보안 운영의 핵심입니다. 조직은 SIEM, UEBA, SOAR 등 현대적인 감시 기술을 도입하고, 지속적인 튜닝과 인력 교육을 통해 가짜 양성을 줄이고 실제 위협에 대한 탐지율을 높여야 합니다. 궁극적으로 보안 감시는 조직의 사이버 복원력(Cyber Resilience)을 강화하는 데 기여합니다.

# 스트리밍 오류

LLM 서비스에서 응답을 받을 수 없습니다.

## 질병 감시 체계와의 유사성 및 적용

사이버 보안 감시는 공중보건의 질병 감시(Disease Surveillance) 체계와 구조적으로 매우 유사합니다. 두 분야 모두 '이상 징후의 조기 발견 $\rightarrow$ 원인 분석 $\rightarrow$ 확산 방지'라는 동일한 메커니즘을 공유합니다.

### 구조적 유사성 분석
*   **모니터링 대상**: 질병 감시가 인구 집단의 건강 상태와 증상을 관찰하듯, 보안 감시는 네트워크 엔티티의 로그와 트래픽 상태를 관찰합니다.
*   **임계치 설정**: 특정 지역에서 특정 질병의 발생률이 평소보다 높아지면 '유행(Outbreak)'으로 간주하듯, 보안 감시에서도 평소 트래픽 수준을 벗어난 급증을 '공격 징후'로 판단합니다.
*   **전파 차단**: 감염자의 격리를 통해 2차 감염을 막는 것처럼, 보안 감시는 감염된 호스트의 네트워크 분리를 통해 횡적 이동(Lateral Movement)을 차단합니다.

### 질병 감시 모델의 보안 적용 사례
| 질병 감시 모델 | 보안 감시 적용 방식 | 구체적 사례 |
| :--- | :--- | :--- |
| **SIR 모델** (Susceptible-Infected-Recovered) | 감염 경로 및 전파 속도 예측 | 웜(Worm) 바이러스의 전파 속도를 계산하여 네트워크 세그먼트 차단 우선순위 결정 |
| **신드롬 감시** (Syndromic Surveillance) | 전조 증상 기반의 조기 경보 | 특정 포트의 스캔 증가 $\rightarrow$ 로그인 실패 횟수 증가 $\rightarrow$ 권한 상승 시도로 이어지는 일련의 '증상'을 묶어 공격 단계 예측 |
| **접촉자 추적** (Contact Tracing) | 공격 경로 추적 및 영향도 분석 | 최초 침투 지점(Patient Zero)을 찾고, 해당 시스템이 통신한 모든 내부 IP를 추적하여 잠재적 감염지 식별 |

## 디지털 역학(Digital Epidemiology) 관점의 보안 감시

디지털 역학은 바이러스의 변이와 전파 경로를 추적하는 역학 조사 방식을 사이버 위협 분석에 접목한 방법론입니다. 이는 단순한 탐지를 넘어 위협의 '진화 과정'을 이해하는 데 중점을 둡니다.

*   **악성코드 변종 분석**: 바이러스의 유전자 변이를 추적하듯, 악성코드의 코드 유사도 분석(Code Similarity Analysis)을 통해 동일한 공격 그룹이 생성한 변종(Variant)을 식별하고 계보를 작성합니다.
*   **공격 경로 분석(Attack Path Analysis)**: 감염병의 전파 경로를 지도화하는 것처럼, 공격자가 내부망에서 어떤 취약점을 이용해 이동했는지 경로를 시각화하여 취약한 연결 고리를 제거합니다.
*   **디지털 핑거프린팅**: 특정 병원균의 고유 특성을 정의하듯, 공격자의 TTPs(Tactics, Techniques, and Procedures)를 프로파일링하여 공격자의 정체성과 의도를 파악합니다.

## 확산 억제 및 격리 전략

보안 감시의 궁극적인 목표는 탐지를 넘어 위협의 확산을 신속히 억제하는 것입니다. 이는 보건학의 쿼런틴(Quarantine) 개념을 디지털 환경에 구현한 것입니다.

### 쿼런틴과 격리 기술 비교
| 구분 | 쿼런틴 (Quarantine) | 격리 (Isolation/Segmentation) |
| :--- | :--- | :--- |
| **개념** | 의심되는 개체를 별도의 안전 구역으로 이동시켜 관찰 | 네트워크 경로를 물리적/논리적으로 차단하여 소통 불가 상태로 만듦 |
| **보안 적용** | 의심 파일을 '검역소' 폴더로 이동시켜 실행 권한 제거 | VLAN 분리, 마이크로 세그멘테이션을 통해 특정 서버의 통신 차단 |
| **목적** | 분석 및 치료(Cleaning) 가능성 유지 | 추가 피해 확산의 즉각적인 원천 차단 |
| **특징** | 상태 유지 및 분석 중심 | 가용성 희생 및 방어 중심 |

## UEBA의 정상 범위 설정 및 분석 메커니즘

UEBA는 집단 내의 '정상 범위'를 수학적으로 설정하고, 이를 벗어난 행동을 보건학적 '증상'으로 포착합니다.

### 정상 범위(Baseline) 설정 수식
UEBA는 일반적으로 사용자 행동의 평균과 표준편차를 이용한 **Z-Score(표준 점수)** 방식을 사용하여 이상 징후를 수치화합니다.

$$Z = \frac{x - \mu}{\sigma}$$

*   $x$: 현재 관찰된 행동 수치 (예: 시간당 데이터 전송량)
*   $\mu$: 해당 사용자의 과거 평균 행동 수치 (Baseline)
*   $\sigma$: 행동 수치의 표준편차 (변동성)

**판단 기준:**
*   $|Z| > 3$: 통계적으로 매우 희귀한 행동으로 간주하며, 이를 '보안 증상(Security Symptom)'으로 정의하여 경고를 발생시킵니다.

## 분석 및 탐지 방법론의 비유적 접근

보안 감시의 탐지 기법은 의료 진단 과정과 매우 유사한 논리로 작동합니다.

1.  **시그니처 기반 탐지 $\approx$ 기존 알려진 바이러스 진단**:
    *   이미 알려진 바이러스의 DNA 서열을 대조하여 확진하는 것과 같습니다. 특정 해시값이나 패턴(Pattern)이 일치하면 즉시 위협으로 판정하며, 정확도가 높지만 신종 위협(Zero-day)에는 대응할 수 없습니다.
2.  **행동 기반 탐지 $\approx$ 미지의 신종 감염 징후 포착**:
    *   특정 바이러스의 이름은 모르지만, 환자가 고열, 기침, 호흡 곤란이라는 '비정상적 증상'을 보이는 것을 보고 감염을 의심하는 것과 같습니다. 평소와 다른 트래픽 패턴이나 권한 오남용 등 '행동의 이상함'을 통해 알려지지 않은 공격을 탐지합니다.