Security Operations2 [Security Operations] Docker Compose로 ELK SIEM 실습 환경 만들기: 저장·검색부터 로그 수집까지 보안 관제를 처음 배울 때 가장 먼저 부딪히는 벽은 실습 환경입니다. SIEM은 로그를 모으고, 저장하고, 검색하고, 시각화하는 여러 구성 요소가 함께 돌아가야 의미가 있습니다. 그런데 Elasticsearch는 8.0부터 보안 기능이 기본으로 켜져 있어서, 노드 사이 TLS 인증서를 만들고 사용자 비밀번호를 설정해야 클러스터가 제대로 뜹니다. 여기에 커널 파라미터 조정과 메모리 설정까지 더해지면, 수업 첫 시간이 환경 설정으로 끝나기 쉽습니다.화이트햇 스쿨 수업에서 이 문제를 줄이려고 Docker Compose 한 번으로 올라오는 실습 환경을 만들어 두었습니다. 이번 글에서는 SIEM이 무엇이고 Elastic Stack이 그 안에서 어떤 역할을 하는지 짧게 정리한 뒤, 저장소에 있는 두 가지 구성을 파.. 2026. 9. 26. [Security Operations] OCSF로 보안 로그 정규화하기: 형식이 다른 인증 로그를 규칙 하나로 탐지하기 보안 관제에서 다루는 로그는 제품마다 형식이 다릅니다. SSH 서버는 Failed password for root from 172.30.66.66 port 35072 같은 문자열 한 줄을 남기고, AWS CloudTrail은 "sourceIPAddress"와 "ConsoleLogin": "Failure"가 들어 있는 JSON을 남깁니다. 둘 다 "누군가 로그인에 실패했다"는 같은 사건인데, 출발지 IP를 가리키는 필드 이름도, 실패를 나타내는 방식도 다릅니다.그래서 같은 공격자가 서버와 클라우드 콘솔을 번갈아 두드려도, 소스마다 따로 파싱하고 따로 쿼리해야 둘을 연결할 수 있습니다. 로그 소스가 늘어날수록 파서와 탐지 규칙도 소스 수만큼 늘어납니다.OCSF(Open Cybersecurity Schema .. 2026. 9. 25. 이전 1 다음
