로그 수집 및 정규화
SIEM의 첫 단계는 네트워크 디바이스, 방화벽, 애플리케이션, 운영체제 등 다양한 소스에서 로그를 수집하는 것입니다. 로그 수집은 푸시 방식(에이전트가 중앙 서버로 로그 전송)과 풀 방식(중앙 시스템이 데이터베이스에서 로그 조회)으로 구분됩니다. 수집된 로그는 서로 다른 형식을 일관된 데이터 모델로 변환하는 정규화 과정을 거칩니다.
이벤트 집계와 상관관계 분석
정규화된 로그 항목들은 유사한 이벤트를 하나의 레코드로 통합하는 집계 단계를 거칩니다. 이후 상관관계 분석 엔진은 두 개 이상의 로그 항목 간 관계를 파악하여 연관된 이벤트 체인을 식별합니다. 규칙 기반 및 통계 기반의 상관관계 분석 알고리즘이 보안 위협 패턴을 감지합니다.
실무 운영의 주의점
로그 생성 과다는 분석 성능을 저하시키므로 필요한 데이터만 수집해야 합니다. 클록 동기화, 타임스탬프 형식 표준화, 로그 저장소 용량 계획이 중요합니다. 또한 중앙 집중식 저장소 외에 데이터 레이크 아키텍처로 대규모 로그를 효율적으로 관리하는 조직이 증가하고 있습니다.