보안 정보 및 이벤트 관리(SIEM)

SIEM(보안 정보 및 이벤트 관리)이란 무엇인가요?

SIEM(Security Information and Event Management, 보안 정보 및 이벤트 관리)은 다양한 장치와 소프트웨어에서 생성되는 로그를 중앙에서 수집, 저장 및 관리하고, 이를 실시간으로 분석하여 보안 위협을 탐지하며, 비정상적인 이벤트가 발생하면 경고를 보내는 시스템입니다. SIEM이라는 용어는 이러한 목적으로 사용되는 소프트웨어를 지칭하기도 합니다.

SIEM의 주요 기능은 다음과 같습니다:

• 이벤트 로그 수집 및 저장:
  SIEM 시스템은 방화벽, WAF, 바이러스 백신 소프트웨어, 프록시 서버, 운영 체제, 애플리케이션 등 다양한 소스에서 보안 관련 이벤트 로그를 수집하고 저장합니다. 그러나 지나치게 많은 로그를 수집하면 운영 업무 부담이 커지고 정규화와 같은 프로세스가 복잡해질 수 있습니다. 따라서 로그 소스의 우선순위를 정하고 신중하게 선택하는 것이 중요합니다.
• 로그 데이터 정규화:
  수집된 데이터는 중복을 제거하면서 형식과 해석을 통일해야 합니다. 이 과정을 정규화라고 합니다.
• 로그 데이터 간 상관관계 분석:
  일부 보안 위협은 단일 로그 항목만으로는 탐지할 수 없습니다. SIEM 시스템은 여러 로그 항목을 함께 분석하여 개별 로그만으로는 파악할 수 없는 패턴과 위협을 식별합니다. 예를 들어, 패스워드 리스트 공격은 무차별 대입 공격보다 로그인 시도 횟수가 훨씬 적어 일반적인 사용자 입력 오류와 구분하기 어렵습니다. SIEM은 출발지 IP 주소를 기준으로 로그를 집계하고 동일한 IP에서 서로 다른 ID를 사용한 여러 차례의 로그인 시도를 탐지함으로써 패스워드 리스트 공격을 식별할 수 있습니다.
• 경고 및 보고:
  SIEM은 보안 위협을 나타내는 이벤트를 식별하면 관리자에게 경고를 보냅니다. 또한 이러한 이벤트를 시각적으로 보여 주는 보고서를 생성하여 보안 방어 체계를 더욱 효과적으로 관리하고 최적화할 수 있도록 지원합니다.

F5의 BIG-IP는 광범위한 보안 관련 데이터를 기록하고 다양한 SIEM 도구와 연동할 수 있어, 종합적인 데이터 분석과 위협 탐지를 통해 보안 조치를 한층 강화합니다.