다섯 살도 알 수 있게 · 보안
로그가 뭐예요?
로그(Log)를 성 곳곳이 남기는 한 줄짜리 일지 이야기로 풀어봤어요.
성에서 일어나는 일은 그냥 지나가요.누가 언제 문을 열었는지, 지나고 나면 아무도 몰라요.
사고가 나면 물어볼 데가 없어요."어젯밤 금고 방에 누가 들어갔어요?" — 아무도 몰라요.
로그는 성 곳곳이 남기는 한 줄 기록이에요.'언제, 누가, 어디서, 뭘 했는지' — 한 줄씩. 문마다, 창구마다, 물건마다.
언제시계가 맞아야 해요
누가사람, 또는 물건
뭘 했나문 열림, 쪽지, 편지
잘 됐나성공인지 실패인지
쪽지를 모아 시간순으로 읽으면 이야기가 돼요.따로 보면 한 줄, 모아 보면 도둑의 발자취. 큰 화면이 모아 줄 세워요. 몇 달치는 서랍에 둬요.
안 적으면 없고, 도둑은 찢고, 너무 많으면 못 읽어요.적기로 정해야 적혀요. 도둑은 제일 먼저 일지를 찢어요 — 그래서 복사본을 멀리 보내요. 그리고 하루에 수천 장이면 사람은 못 읽어요 — 경비실의 큰 화면이 대신 읽어요.
한 줄로
로그 = 성 곳곳이 남기는 '언제, 누가, 어디서, 뭘 했나' 한 줄 기록. 모아서 시간순으로 읽으면 이야기가 돼요.
Log. 사고 조사의 첫 번째 재료예요. 할 일은 넷 — 적기(설정), 모으기(SIEM), 지키기(멀리 보내기), 오래 두기(보관). 시계를 맞추는 것부터.
어른들은 이렇게 불러요
- 이벤트
Event - 한 줄. 일어난 일 하나. 문이 열렸다, 편지가 왔다.
- 타임스탬프
Timestamp - 언제. 성 안 시계가 다 맞아야 줄을 세울 수 있어요(NTP).
- 소스
Source - 어디서. 어느 문, 어느 창구, 어느 물건이 적었나.
- 감사 로그
Audit log - 누가 뭘 바꿨나. 열쇠를 가져갔다, 모자를 바꿨다. → 열쇠 대장
- 접근 로그
Access log - 창구에 온 손님 명단. 누가 언제 어떤 쪽지를 넣었나. → 창구 앞 쪽지 검토원
- 로그 전달
Log forwarding - 복사본 멀리 보내기. 도둑이 찢어도 복사본은 남아요. → 경비실의 큰 화면
- 보관 기간
Retention - 서랍에 몇 달. 발자국을 나중에 찾으려면 오래 둬야 해요. → 멀리 둔 여분 상자
- 로그 변조
Log tampering - 일지 찢기. 도둑이 자기 줄만 지우는 것. 복사본과 도장(해시)으로 막아요.
다음 이야기
방마다 한 마리 경비견 →