이득:
- 인공 지능이 수천 개의 로그 라인을 요약 및 클러스터링하고 타임라인을 설정하고 의심스러운 패턴을 강조하지만 분석가는 해당 이벤트가 원시 로그를 사용한 실제 공격이라고 판단한다는 점을 이해합니다.
- SIEM 경보를 평가할 때 기준(정상 동작)을 적용하는 기능, 맥락 없이 오탐을 제거하는 방법 및 이상 현상을 해석할 수 없는 방법
- 인공지능이 구축한 일련의 사건을 원시 로그에서 검증하고 허위 상관관계를 제거하는 습관을 습득하는 능력
보안 분석가는 하루의 대부분을 로그를 읽는 데 보냅니다. 로그는 시스템에서 발생한 일(누가 언제 로그인했는지, 어떤 파일에 액세스했는지, 어떤 연결이 거부되었는지)을 타임스탬프하는 텍스트 줄입니다. 문제는 통나무가 너무 적은 것이 아니라, 너무 많아서 숨이 막힐 정도라는 것이다. 중간 규모의 조직은 하루에 수억 개의 로그 라인을 생성합니다. 이 더미에서 실제 공격의 흔적은 건초 더미의 바늘입니다. SIEM(Security Information and Event Management - 단일 센터에서 다양한 소스의 로그를 수집 및 상관시키고 규칙 기반 경보를 생성하는 시스템)이 바로 이 바늘을 찾기 위해 존재합니다. 그러나 SIEM이 생성하는 대부분의 경보는 오탐(실제로 위협이 아닌 쓸데없는 경보)이기도 합니다. 분석가의 실제 임무는 이 잡음에서 실제 신호를 추출하는 것입니다.
인공지능은 이러한 분류에 강력한 도움을 줍니다. 수천 개의 로그 라인을 몇 초 만에 읽고 이를 인간의 언어로 요약하고, 반복 패턴을 클러스터링하고, 일련의 이벤트를 "처음에는 이런 일이 일어났고 그 다음에는 저 일"로 설명하고 경보가 의심스러워 보이는 이유를 설명할 수 있습니다. 그러나 AI는 기관의 맥락 내에서 로그가 무엇을 의미하는지 알지 못합니다. "오전 3시에 액세스"는 한 기관에서는 공격이고 다른 기관에서는 야간 근무가 정상입니다. 그래서 AI는 로그를 요약하고 플래그를 지정하지만, 분석가는 해당 이벤트가 실제 공격인지 판단하고 원시 로그로 이를 검증합니다.
로그 분석 단계
AI를 사용하여 단계별 로그/SIEM 분석을 실행하는 방법은 다음과 같습니다.
- 수집하고 익명화하세요. 관련 로그 조각을 제거하십시오. 실제 IP, 사용자 이름, 내부 호스트 이름을 자리 표시자(USER_A, IC_IP_1)로 바꿉니다. 원시 데이터를 그대로 외부 도구로 내보내지 마십시오.
- 맥락을 설명하세요. AI에게 로그 소스(방화벽, Windows 이벤트 로그, 웹 서버), 정상적인 동작이 무엇인지, 무엇을 찾고 있는지 알려주세요. 컨텍스트 없는 로그 분석은 오해의 소지가 있습니다.
- 요약하고 집계합니다. AI에게 수천 개의 행을 이벤트 유형별로 그룹화하고 발생 횟수를 추출하고 타임라인을 생성하도록 요청합니다.
- 의심스러운 패턴을 표시합니다. "로그인 실패 후 한 번의 로그인 성공", "단기간 내에 많은 파일 액세스", "알 수 없는 프로세스에 속하는 네트워크 연결"과 같은 패턴을 강조합니다.
- 원시 증거로 확인하십시오. 실제 로그 라인에서 AI가 플래그한 각 패턴을 찾아 확인합니다. 또한 AI가 놓친 부분을 직접 스캔해 보세요.
- 결정 및 등록. 분석가로서 실제 이벤트를 선언하고, 티켓을 오픈하고, AI가 단지 액셀러레이터일 뿐임을 문서화합니다.
몇 가지 용어: 로그 소스는 로그를 생성하는 시스템입니다. 상관관계는 다양한 소스의 이벤트를 통합하고 이를 이해하는 것입니다(VPN 로그인 + 파일 액세스 + 데이터 전송 = 누출 가능성). 기준선은 시스템의 정상적인 동작을 측정한 것입니다. 이상 현상은 기준선에 대해서만 의미가 있습니다. UEBA(User and Entity Behavior Analytics)는 각 사용자의 정상적인 동작과 플래그 편차를 학습하는 AI 기반 접근 방식입니다.
비교 차트
접근
어떻게 작동하나요?
장점
약점
규칙 기반 SIEM
"if-then" 규칙을 수정했습니다.
투명하고 설명 가능
알려지지 않은 공격을 놓치고 많은 오탐(false positive)
시그니처 기반 탐지
알려진 잘못된 패턴과 일치
알려진 위협에 빠르게 대응
신규/변경 공격에 대한 맹목
어노말리/UEBA(AI)
정상과의 편차를 찾습니다.
미지의 것을 포착할 수 있다
이상 = 공격하지 않음; 오탐의 위험
AI로 요약
로그인 언어를 요약합니다.
속도, 가독성
맥락이 없음, 환각의 위험이 있음
분석가(인간)
맥락이 있는 댓글
결정, 책임
느리고, 피곤해지고, 확장되지 않습니다
올바른 설정은 하나를 선택하는 것이 아니라 계층화하는 것입니다. SIEM과 서명은 대략적으로 노이즈를 필터링하고, AI는 요약하고 강조하며, 분석가는 확인하고 결정합니다.
세 개의 미니 케이스
사례 1 — 50,000줄, 6분. 분석가는 웹 서버에서 AI까지 50,000줄의 액세스 로그를 익명화합니다. AI는 단일 외부 IP가 3시간 동안 12,000개의 요청으로 /admin 경로를 크롤링하고 480개의 다양한 매개변수를 시도했으며 3번에 걸쳐 200개의 응답을 받았다고 추론합니다. 분석가는 원시 로그에서 이러한 3개의 성공적인 요청을 찾아 이것이 실제 경로 열거 공격인지 확인한 후 IP를 차단합니다. 50,000줄을 손으로 읽으려면 몇 시간이 걸립니다. 요약에서는 6분으로 줄었지만 분석가의 결정이었습니다.
사례 2 - 인위적인 상관관계. 또 다른 분석가는 AI에게 "이 로그에 공격 체인을 설명하세요"라고 말합니다. AI는 "02:11에 USER_B가 권한을 높이고 데이터를 내보냈습니다."라는 유동적인 스토리를 구성합니다. 분석가는 보고서에 기록하기 전에 원시 로그를 엽니다. 로그에는 권한 상승이나 데이터 전송이 없습니다. 모델은 일반적인 이벤트 체인을 "공격 사례"에 맞춥니다. 분석가는 주장을 추출합니다. 교훈: AI가 말하는 모든 체인은 로그에서 확인되어야 합니다.
사례 3 - 야간 근무 거짓 긍정. UEBA 모델은 오전 3시에 900개의 파일에 액세스하는 사용자를 "고위험 이상"으로 표시합니다. 분석가는 컨텍스트를 확인합니다. 사용자는 백업 운영자이고 이 작업은 매일 밤 03:00에 실행됩니다. 기준선은 검토되지 않았습니다. 경보는 거짓양성입니다. 분석가는 규칙을 설정하고 이 연산자를 예외 목록에 추가합니다. 변칙이 항상 공격인 것은 아닙니다. 맥락이 없으면 경보는 소음입니다.
약한 프롬프트 / 강한 프롬프트
약한 프롬프트:
이 로그를 조사하여 공격이 있는지 알려주세요.[10.14.2.7 - ahmet.yilmaz - 200 - /admin ...]
이 프롬프트에는 실제 IP와 사용자(개인정보 보호 위반)가 포함되어 있으며, 로그 소스와 정상적인 동작을 알려주지 않으며, AI에 증거와 오탐지 평가를 요청하지 않습니다. AI는 "예, 공격이 있습니다"라는 한 문장으로 당신을 오도할 수 있습니다.
강력한 프롬프트:
귀하의 역할: 분석 초안을 준비하는 SOC 분석가 보조자입니다. 결정하지 말고 공격을 선언하지 마십시오. 익명화된 웹 서버 접속 로그입니다(IP와 사용자는 마스킹됩니다). 일반 트래픽: 업무 시간 동안 시간당 요청 100~300개, 대부분 /product 및 /cart 경로. 작업: (1) 유형 및 소스별로 이벤트를 클러스터링하고, 발생 횟수를 제공하고, (2) 기준에서 벗어나는 플래그 패턴을 제공하고, (3) 각 플래그에 대해 해당 플래그의 기반이 되는 로그 줄을 표시하고, (4) 각각에 대한 오탐 확률과 그 이유를 기록합니다. 피팅 라인/IOC 삽입; 확실하지 않은 부분은 "[분석가 확인]"으로 표시하세요.[여기에 익명 로그]
강력한 주장은 역할을 제한하고, 맥락과 기준을 제공하며, 거짓 긍정에 대한 증거 및 평가에 대한 참여를 요구합니다.
복사 가능한 프롬프트 템플릿
로그 요약 템플릿다음 익명 [로그 소스: 예: [방화벽] 로그를 요약하면: (1) 이벤트 유형별로 그룹화하고 각 그룹의 발생 횟수 제공, (2) 고유 소스/타겟 수 추출, (3) 타임라인(첫 번째-마지막 이벤트, 피크 시간) 설정, (4) 눈에 띄는 이상 현상 5개를 증거 줄로 나열합니다. 의사결정 그냥 요약하자면. 로그: [붙여넣기]
상관관계 템플릿시간과 엔터티에 따라 익명 이벤트를 상관시키고 가능한 이벤트 체인을 구성합니다. 그러나 각 단계에 대해 어떤 로그 라인을 기반으로 하는지 표시하고, 근거가 없는 단계는 "[근거 없음 - 확인해야 함]"으로 표시합니다. 대안적인 선의의 설명도 작성하십시오. 이벤트: [붙여넣기]
거짓 긍정 제거 템플릿 이 경보의 경우 공격 해석에 대해 최소한 3개의 선의(잘못된 긍정) 설명을 생성하고 각 설명을 확인하기 위해 확인해야 하는 추가 로그/증거를 기록합니다. 그런 다음 공격에 찬성하는 추가 증거와 반대하는 증거를 결정합니다. 알람: [붙여넣기]
타임라인 추출 템플릿: 이러한 익명 로그에서 단일 연대순 타임라인이 추출됩니다. 각 줄은 [시간] [엔티티] [이벤트] [소스 로그] 형식입니다. 타임스탬프 없이 이벤트를 추가합니다. 공백을 메우지 마십시오. 누락된 경우 "[누락]"이라고 기재합니다. 로그: [붙여넣기]
일반적인 실수
- 맥락 없는 분석. 로그 소스 및 정상적인 동작(기준)을 언급하지 않고 작성된 의견은 오해의 소지가 있습니다. "변칙"은 문맥에 따라 의미를 얻습니다.
- AI가 구축한 체인을 검증하지 않습니다. 이 모델은 일반적인 사건을 공격 사례에 연결할 수 있습니다. 원시 로그의 각 단계를 확인하세요.
- 이상 현상을 공격으로 착각합니다. UEBA의 부호는 가설입니다. 백업, 유지관리, 신규 소프트웨어 등 무고한 원인을 제거합니다.
- 마스킹 없이 원시 데이터를 내보냅니다. 실제 IP/사용자/호스트는 KVKK 위반이자 공격자에게 제공되는 네트워크 맵입니다.
- 부정적인 요약을 신뢰하지 말고 검색을 중단하세요. AI가 "중요하지 않음"이라고 말하더라도 나만의 체계적인 쿼리(중요한 사건 유형, 새로운 IOC)를 실행하세요.
팁: AI가 로그를 요약하도록 할 때 항상 "증거 줄 표시"를 요청하세요. 증거가 없는 결과를 심각하게 받아들이지 마십시오. 이 하나의 규칙은 대부분의 환각을 제거합니다.
주의: 단지 AI가 '오탐'이라고 말했다는 이유만으로 SIEM 경고를 무시하는 것은 실제 공격을 은폐하는 것일 수 있습니다. 또한 AI가 "중요하지 않음"이라고 부르는 경보를 독립적으로 확인하십시오. 폐쇄 결정은 분석가에게 속하며 기록됩니다.
요약하면
로그 및 SIEM 분석의 핵심은 거대한 노이즈 더미에서 실제 신호를 추출하는 것입니다. 이 정렬에서 AI는 로그를 초 단위로 요약하고, 패턴을 클러스터링하고, 타임라인을 설정하고, 용의자를 강조 표시하지만, 제도적 맥락을 알지 못하고 사건을 구성할 수 있습니다. 따라서 올바른 설정은 계층화되어 있습니다. 규칙/서명을 대략적으로 선별하고, AI가 요약하고 플래그를 지정하고, 분석가가 원시 로그를 확인하고 결정을 내립니다. 세 가지 원칙이 귀하를 보호합니다: 컨텍스트(기준 없이 해석된 변칙 없음), 증거(각 결과는 원시 로그 라인에 연결됨), 독립적인 제어(AI가 "깨끗한" 영역이라고 부르는 영역도 스캔됨). 그리고 항상 익명으로 작업하세요.
응용과제
샘플 로그 조각을 가져옵니다(자체 시스템이나 샘플 데이터 세트에서 익명 처리됨). 먼저 "Log Summarization" 템플릿을 사용하여 AI에 요약합니다. 그런 다음 가장 주목할만한 세 가지 결과 각각에 대해 "거짓 긍정 제거" 템플릿을 적용하고 원시 로그에서 각 결과를 확인합니다. 마지막으로, AI의 요약과 원본 판독값의 차이점에 유의하십시오. AI가 놓친 것은 무엇이며, 무엇을 구성했으며, 무엇을 올바르게 얻었습니까?
체크리스트
- [ ] 로그를 익명화했습니다. 실제 IP/사용자/호스트가 마스킹되었습니다.
- [ ] AI에 로그 소스와 정상적인 동작(기준선)을 제공했습니다.
- [ ] 각 결과에 대한 증거 로그 라인을 요청하고 원시 로그에서 이를 확인했습니다.
- [ ] AI가 구축한 일련의 사건을 모든 단계에서 확인하고 조작된 내용을 제거했습니다.
- [ ] 각 경보에 대해 최소한 하나의 잘못된 긍정 설명을 고려했습니다.
- [ ] AI가 '깨끗함/중요하지 않음'이라고 부르는 영역도 스캔했습니다.
- [ ] 분석가로서 나는 결정을 내리고 사건 기록을 내렸습니다. 저는 AI를 가속기로 문서화했습니다.