보안 위협을 효과적으로 탐지, 조사, 대응하는 것은 쉽지 않습니다. 하지만 SIEM(Security Information and Event Management)이 있다면 이야기가 달라집니다. SIEM은 사이버 보안 기술로, 데이터를 한 곳에서 관리하고 보안 활동에 대한 인사이트를 제공하며, 운영 역량을 강화하여 사이버 위협을 선제적으로 대응할 수 있도록 돕습니다.
✅ SIEM이란 무엇인가?
SIEM 솔루션은 “보안 정보 및 이벤트 관리(Security Information and Event Management)”의 약자로, 전체 분산 환경에 대한 완전한 실시간 가시성과 함께 과거 분석 기능을 제공함으로써 사이버 보안 태세를 강화할 수 있습니다. SIEM 기술은 조직의 회복력도 향상시킬 수 있습니다. SIEM은 위협과 기타 비정상적인 상황을 감지하기 위해 대량의 데이터를 몇 초 안에 수집하고 샅샅이 조사하여 비정상적인 행동을 찾아내어 경고합니다. SIEM 도구는 언제든지 IT 인프라의 스냅샷을 제공할 수 있습니다. 네트워크 애플리케이션, 하드웨어, 클라우드 및 SaaS 솔루션을 포함한 모든 소스의 데이터를 실시간으로 분석할 수 있는 이 기능은 조직이 내부 및 외부 위협에 대비하는 데 매우 중요할 수 있습니다.
이번 블로그에서는 SIEM 기술의 핵심 기능과 역할을 살펴보고, 최적의 SIEM 솔루션을 선택하는 방법을 소개해드리겠습니다.
✅ SIEM 현황 : 2025 성장 추세
2005년 가트너에 의해 소개된 SIEM 기술은 위협 탐지, 조사, 대응(TDIR, Threat Detection, Investigation, and Response)을 위한 중요한 도구로 발전했습니다. 보안 정보 관리(SIM)와 보안 이벤트 관리(SEM)를 결합한 SIEM은 이제 포괄적인 사이버 보안 관리, 제어, 규정 준수를 지원합니다.
시장 성장과 동향
SIEM 시장은 연평균 14.5%의 성장률을 보이고 있으며, 2021년 48억 달러에서 2026년에는 113억 달러에 이를 것으로 예상됩니다. 주요 성장 동인은 다음과 같습니다.
도전과 해결책
데이터 유출로 인한 평균 비용은 2023년 전 세계적으로 520만 달러, 미국 기업에서는 1,010만 달러로 증가했습니다. 한편, 전 세계적으로 사이버 보안 기술 격차로 인해 수백만 개의 일자리가 공석인 상황에서 SIEM의 지능형 자동화의 필요성이 강조되고 있습니다. 2025년에도 SIEM은 디지털 인프라 보호에 필수적인 역할을 할 것입니다. 이 모든 것이 조직들이 지능형 자동화 SIEM 기능에 점점 더 의존하는 이유를 보여줍니다. 보안 위협이 증가하는 상황에서 앞서 나가려면 대규모 이벤트 로그 데이터를 이해해야 합니다.
✅ SIEM 작동 방식
그렇다면 대규모 IT 이벤트, 사고 및 로그 데이터 즉, '보안 정보 및 이벤트 관리'에 대해 이야기해 보겠습니다. SIEM 솔루션은 경계에서 최종 사용자에 이르기까지 서버, 시스템, 장치 및 애플리케이션을 포함한 네트워크 인프라 내의 다양한 소스에서 이벤트 데이터를 집계합니다. 궁극적으로, SIEM 솔루션은 사용자, 자산 등에 대한 컨텍스트 정보를 결합하여 추가적인 통찰력을 제공하는 중앙 집중식 보기를 제공합니다. 조직에서 정의한 행동 규칙에 대한 편차를 식별하기 위해 데이터를 통합하고 분석하여 잠재적인 위협을 식별합니다. 데이터 소스는 다음과 같습니다.
분석할 수 있는 속성에는 사용자, 이벤트 유형, IP 주소, 메모리, 프로세스 등이 포함됩니다.
SIEM 솔루션은 예를 들어 “로그인 실패”, “계정 변경” 또는 “잠재적 멀웨어”와 같은 유형으로 편차를 분류합니다. 편차가 발생하면 시스템이 보안 분석가에게 경보를 보내거나 비정상적인 활동을 중단하는 조치를 취합니다. 경보를 발동하는 기준과 의심스러운 악성 활동에 대처하는 절차를 설정합니다. SIEM 솔루션은 패턴과 비정상적인 행동도 포착합니다. 이런 식으로, 하나의 이벤트만으로는 위험 신호로 인식되지 않는 경우에도, SIEM은 결국 여러 이벤트 간의 상관관계를 감지하여 경보를 발동할 수 있습니다. 마지막으로, SIEM 솔루션은 이러한 로그를 데이터베이스에 저장하여, 더 심층적인 포렌식 조사를 수행하거나 해당 규정을 준수하고 있음을 증명할 수 있도록 해줍니다.
클라우드 기반 SIEM 솔루션으로의 전환
클라우드 컴퓨팅으로의 전환은 클라우드 네이티브 SIEM 솔루션의 개발을 이끌었고, 이 솔루션은 기존의 온프레미스 시스템에 비해 몇 가지 장점을 제공합니다.
클라우드 기반 SIEM으로의 전환은 확장성, 유연성, 비용상의 이점을 제공하여 오늘날의 역동적인 디지털 환경에서 보안 태세를 강화하려는 조직에 매력적인 선택입니다.
✅ SIEM 이점
SIEM 기술은 보안 분석가들이 기업 IT 환경 전반을 살펴보고 다른 탐지 수단을 회피하는 위협을 발견할 수 있도록 도와줍니다. 좋은 SIEM 솔루션은 보안 분석가들이 업무를 더 잘 수행할 수 있도록 도와주며, 조직이 다음과 같은 세 가지 주요 보안 과제를 해결하는 데 도움이 될 수 있습니다.
전반적으로 SIEM의 이점은 기업이 막대한 비용이 드는 보안 위반을 방지하고 막대한 재정적 처벌과 평판 손실을 수반하는 규정 위반을 피할 수 있도록 도와줍니다.
✅ SIEM vs 사이버 보안 솔루션
사이버 공간은 위협으로 가득 차 있습니다. 그리고 다양한 기술, 솔루션, 접근법의 약어들로 가득 차 있기도 합니다. 따라서 SIEM은 여러분이 들어본 다른 용어들을 떠올리게 할 수도 있습니다. 그 점을 명확히 해 보겠습니다.
SIEM에서 UBA의 역할
다른 도구들도 SIEM 영역에 진출해 왔는데, 특히 사용자 행동 분석(UBA, user behavior analytics)이 대표적입니다. 사용자 및 엔티티 행동 분석(UEBA)이라고도 알려진 UBA는 내부 및 외부 위협을 발견하고 해결하는 데 사용됩니다.
UBA가 더 진보된 보안 도구로 간주되는 경우가 많지만, 점점 SIEM 범주에 포함되고 있습니다. 예를 들어, Gartner Magic Quadrant for SIEM에는 UBA/UEBA 제품에 대한 정보가 포함되어 있습니다. UBA는 두 가지 방식으로 작동합니다.
이러한 기능은 조직의 네트워크 내에서 행동 패턴을 밝혀내어 이전에는 없었던 맥락을 제공하기 때문에 모든 SIEM 솔루션에서 중요한 역할을 합니다. 또한 보안 운영 센터(SOC) 팀에 알림이 전달되기 전에 경보를 필터링하여 경보 피로를 줄이고 분석가가 더 복잡하거나 긴급한 위협에 대응할 수 있도록 시간을 확보할 수 있도록 도와줍니다.
SIEM과 SOAR의 비교
SOAR은 “보안 오케스트레이션, 자동화 및 대응”을 위한 표준인 사이버 기술입니다. SIEM과 SOAR은 조직의 환경 전반에 걸쳐 데이터를 처리하고 분석하기 때문에 수동으로 처리할 수 없는 작업을 수행합니다. 다음은 SIEM과 SOAR 비교에 대한 간략한 요약입니다.
많은 기업들이 SIEM과 SOAR 솔루션을 함께 배포합니다.
SIEM & XDR
확장 탐지 및 대응(extended detection and response)의 약자인 XDR은 엔드포인트 위협 탐지, 조사 및 대응을 지원합니다. XDR은 SOC 분석가가 이러한 작업을 보다 효율적으로 수행할 수 있도록 분류, 검증 및 대응 프로세스를 간소화하는 데 도움이 되는 단일 플랫폼을 제공합니다. SIEM과 XDR 사이에는 두 가지 주요 차이점이 있습니다. XDR 도구는 수집하는 데이터를 제한하는 반면, SIEM은 모든 소스에서 데이터를 수집합니다. 데이터 수집을 제한함으로써, XDR 도구는 엔드포인트 위협 탐지의 범위와 정확성을 향상시킵니다. 그러나 XDR은 사기 조사와 같은 용도로 사용하기에는 적합하지 않을 수 있습니다. 이러한 조사는 여러 시스템과 솔루션에 걸쳐 이루어지는 경향이 있기 때문입니다. SIEM과는 달리, XDR 솔루션은 장기적인 저장 기능을 제공할 수 없습니다. 즉, 규정 준수 및 감사 요건을 충족하기 위해 다른 곳에 데이터를 저장해야 할 가능성이 높습니다. 그러나 XDR 시스템은 일반적으로 SIEM 플랫폼보다 조립 및 실행이 더 간단합니다.
✅ 실용적인 보안 : SIEM 도구
SIEM 도구는 본질적으로 분석 중심의 보안 명령 센터(security command center)입니다. 종종 고도로 기능적인 SOC의 중심이 됩니다. 모든 이벤트 데이터는 중앙 집중식 위치에 수집됩니다. SIEM 도구가 분석과 분류를 대신해 줍니다. 더 중요한 것은, 인프라 전반에 걸쳐 보안 이벤트에 대한 실제 상황을 제공한다는 것입니다.
SIEM 기술은 기본 로그 관리(basic log management) 및 경고 기능부터 강력한 실시간 대시보드, 기계 학습, 분석용으로 과거 데이터를 심층 분석하는 기능에 이르기까지 그 범위가 다양합니다. 선도적인 솔루션은 다음과 같은 수십 개의 대시보드를 제공할 수 있습니다.
엔드-투-엔드 SIEM 프로세스는 데이터 수집에서 시작하여 문제 해결 및 규정 준수 보고를 자동화하는 메커니즘으로 끝납니다. 인텔리전스와 자동화는 SIEM 시스템의 핵심 구성 요소로서 SIEM 프로세스 워크플로우의 개별 기능을 가능하게 합니다.
✅ SIEM 도구의 7가지 핵심 기능
시중에 수많은 SIEM 솔루션이 나와 있는데, 어떤 솔루션은 다른 솔루션보다 더 포괄적이고, 어떤 솔루션은 레거시 시스템보다 더 현대적입니다. 솔루션을 평가할 때, 어떤 현대적인 SIEM이든 반드시 갖추어야 할 다음과 같은 중요한 SIEM 기능을 염두에 두십시오.
데이터 집계 및 원활한 로그 관리
우선, 최신 SIEM은 팀, 도구, 동료, 파트너로 구성된 생태계 전반에서 언제든지 어떤 구조의 어떤 출처에서든 모든 데이터를 수집, 분석, 모니터링할 수 있어야 합니다. 이를 통해 모든 SOC는 보안 스택 전반에서 실시간으로 진행되고 있는 상황을 통합된 관점에서 볼 수 있습니다. 또한 다음과 같은 기능도 제공합니다.
SIEM은 수백, 수천 개의 소스에서 데이터를 수집할 수 있어야 할 뿐만 아니라, 실제로 로그 데이터를 관리하고 검색하는 데 사용할 수 있는 사용자 친화적이고 직관적인 인터페이스를 제공해야 합니다. 이 로그 데이터는 SIEM의 더 많은 영역에서 활용될 것입니다.
실시간 보안 모니터링 및 분석
공격이나 알려진 위협에 대처하는 데 시간이 오래 걸릴수록 피해가 커집니다. SIEM은 네트워크 내에서 발생하는 상황을 실시간으로 조감할 수 있는 기능을 제공해야 합니다. 여기에는 다음이 포함됩니다.
원본에 관계없이 모든 데이터 세트에 적용할 수 있는 모니터링 기능(monitoring capabilities)이 필요합니다. 모니터링 측면 외에도 정보를 사용 가능한 형식으로 합성할 수 있는 기능이 필요합니다. 다음과 같은 기능을 갖춘 SIEM을 선택하십시오.
사고 조사, 포렌식, 대응
보안팀이 너무 적은 맥락으로 가치가 낮은 경보를 조사하는 데 너무 많은 시간을 할애할 가능성이 있습니다. 부적절하게 정의된 탐지는 많은 양의 오탐(false positive)과 많은 추가 노이즈를 유발하여, 최전선에 있는 모든 사람을 빠르게 압도하고 과부하를 일으킬 수 있습니다. 최신 SIEM은 다음을 수행할 수 있습니다.
위험 기여도 분석은 위협 추적의 최적화와 경보의 양을 줄이는 데 도움이 될 수 있습니다. 따라서 실제 양성 반응을 증가시키면서, 저수준 공격과 느린 공격과 같은 보다 정교한 위협을 드러낼 수 있습니다.
사용자 모니터링
가장 기본적인 수준에서, SIEM 도구는 액세스 및 인증 데이터를 분석하고, 사용자 컨텍스트를 설정하며, 의심스러운 행동과 기업 및 규제 정책 위반과 관련된 경보를 제공하는 사용자 모니터링 기능을 제공해야 합니다. 규정 준수 보고(compliance reporting)를 담당하는 경우, 권한이 있는 사용자(공격의 대상이 될 가능성이 특히 높은 사용자)를 모니터링해야 할 수도 있습니다. 이는 대부분의 규제 대상 산업에서 규정 준수 보고를 위한 일반적인 요구 사항입니다.
위협 인텔리전스와 탐지
SIEM은 알려진 제로데이 공격이나 지능형 지속 위협과 같은 주요 외부 위협을 식별하는 데 도움이 되어야 합니다. 위협 인텔리전스(Threat intelligence)는 비정상적인 활동을 인식하고 취약점을 식별하여 취약점이 악용되기 전에 보안 태세를 강화할 수 있도록 도와줍니다. 이렇게 하면 대응 계획을 세우고 적절하게 문제를 해결할 수 있습니다. 이 정보는 탐지 기능에 정보를 제공합니다.
위험 기반 알림
기존의 사이버 보안 알림은 데이터를 SIEM으로 전달하는 도구에 의존하는데, 여기서 탐지 로직이나 벤더가 제공한 콘텐츠가 잠재적 위협에 대한 알림을 생성합니다. 그러나 이러한 접근 방식은 보안 운영 센터(SOC)에 과도한 알림으로 부담을 주어 알림을 무시하거나 포기하게 만들고, 응답을 지연시키며, 분석가의 피로를 유발합니다.
위험 기반 경보는 위험 속성에 따라 노이즈 경보를 우선순위가 높은 사건으로 통합하여 이러한 문제를 해결합니다. 이 방법은 관련 사건을 하나의 사건으로 통합하여 조사 및 대응 효율성을 향상시킵니다. 주요 이점은 다음과 같습니다.
이 접근 방식은 보안 작업을 간소화하고 불필요한 정보를 줄이며 사고 해결을 개선합니다.
고급 분석 및 머신 러닝
명확한 통찰력을 얻기 위해 데이터를 사용할 수 없다면, 전 세계의 모든 데이터가 도움이 되지 않습니다. 고급 분석은 통계, 설명적 및 예측적 데이터 마이닝(predictive data mining), 시뮬레이션, 최적화 등 정교한 양적 방법을 사용하여 더 깊은 통찰력을 제공합니다. 머신 러닝을 기반으로 하는 SIEM 도구는 시간이 지남에 따라 정상적인 동작과 실제 편차의 차이를 학습하여 정확도를 향상시킬 수 있습니다. 기술, 공격 벡터(attack vectors), 해커의 정교함(hacker sophistication)이 그 어느 때보다 빠르게 발전하고 있다는 점을 고려할 때, 이는 오늘날 특히 중요합니다.
✅ SIEM을 시작하기 위한 모범 사례
SIEM 솔루션의 가치를 극대화하려면 비즈니스 요구 사항, 업계 위험, 장기적인 보안 목표에 맞게 조정하는 것이 필수적입니다. 다음의 모범 사례를 따라 견고한 기반을 구축하고 SIEM의 잠재력을 최대한 발휘하십시오.
철저한 계획 수립
사용 사례 및 보안 로드맵 개요
조직의 보안 목표를 확인하십시오. SIEM이 완전하고 정확하며 실행 가능한 데이터를 수신하도록 하십시오. 시스템에 입력되는 데이터의 품질에 따라 시스템의 효율성이 결정됩니다.
유지 및 지속적인 개선
SIEM은 “설정하고 잊어버리는(set-and-forget)” 도구가 아닙니다. 변화하는 비즈니스와 보안 요구에 적응하기 위해서는 정기적인 검토와 조정이 필요합니다.
알림 세부 조정
알림을 생성하는 기준을 정의하고, SIEM 응답이 실제 위협에 집중할 수 있도록 잘 조정되도록 하십시오. 지속적으로 알림 설정을 개선하여 오탐(false positive)을 줄이고 운영에 집중할 수 있도록 하십시오.
숙련된 직원에 투자하기
SIEM 배포를 신중하게 계획, 유지, 최적화함으로써 조직의 변화하는 요구에 부응하면서 보안 운영을 강화할 수 있습니다.
✅ 최고의 SIEM 솔루션은?
SIEM에 대한 기본적인 이해가 있다면, 필연적으로 다음과 같은 질문이 뒤따를 것입니다: 내 산업, 위협 프로필, 조직, 예산에 가장 적합한 SIEM 솔루션을 어떻게 선택해야 할까요?
이는 여러분이 무엇을 찾고 있는지에 달려 있습니다. 여러분은 현대적인 데이터 양, 오늘날의 정교한 공격, 그리고 스마트한 실시간 사고 대응을 추진해야 하는 필요성을 처리할 수 있는 무언가를 원할 것입니다.
SIEM과 관련하여, 고객, 벤더, 그리고 공급업체들이 자신들이 필요로 하는 것이 무엇이고 어떤 옵션이 있는지 이해하는 데 도움이 되는 다양한 분석 보고서가 있습니다. 이러한 회사들은 특정 산업을 조사하고, 그 산업의 강점과 약점, 포지셔닝, 미래 성장과 전망을 파악합니다. 가트너, 포레스터, IDC가 제공하는 가장 SIEM 분석 보고서를 참고해보세요.
🔸 Splunk SIEM - Enterprise Security🔸
Splunk는 10년 연속 Gartner Magic Quadrant for SIEM(Security Information and Event Management) Leader로 선정되었습니다.
전 세계 수천 개의 조직이 Splunk Enterprise Security를 SIEM으로 사용하여 중요한 이벤트를 신속하게 탐지하고 대응하여 새로운 위협에 앞서 나가고 사이버 회복력을 유지합니다. 광범위한 보안 분석 및 운영 사용 사례를 수행할 수 있는 기능을 통해 조직은 진화하는 위협과 비즈니스 요구 사항에 직면하여 유연하고 민첩하게 유지할 수 있습니다. 제품 페이지를 통해 자세한 내용을 확인하실 수 있습니다.
클라우드네트웍스는 스플렁크의 공식 파트너사입니다. 강력한 파트너십과 빅데이터 분야의 전문성, 기술력을 기반으로 국내 다양한 산업군의 고객사의 환경에 맞는 스플렁크의 확장 가능한 데이터 플랫폼을 구축 및 서비스하고 있습니다. 스플렁크 SIEM 솔루션에 대한 소개자료 및 제품 상담이 필요하신 경우 클라우드네트웍스로 연락 부탁드립니다.
