다섯 살도 알 수 있게 · 보안
SOC이 뭐예요?
보안 관제 센터(Security Operations Center)를 성의 경비실 이야기로 풀어봤어요.
성에는 문과 창문이 너무 많아요.혼자서는 다 볼 수 없어요.
SOC는 성 안의 경비실이에요.모든 문과 창문이 화면에 떠요. 밤에도, 주말에도 누군가 보고 있어요.
종이 울리면 가서 봐요.진짜 도둑인지, 고양이인지.
보기화면을 계속 봐요
가려내기고양이는 버려요
달려가기도둑이면 문을 잠가요
망루 친구의 쪽지를 벽에 붙여둬요.망루 친구(CTI)는 "누가 올지"를, 경비실은 "지금 누가 왔는지"를 봐요.
종이 너무 자주 울리면 지쳐요.고양이 때문에 백 번 울리면, 진짜 도둑도 놓쳐요.
한 줄로
SOC = 모든 문을 밤낮으로 지켜보다가, 종이 울리면 달려가는 경비실.
Security Operations Center. 사람, 화면, 규칙이 한 방에 모여 있어요. 어려운 건 도둑을 찾는 게 아니라, 고양이를 빨리 버리는 거예요.
어른들은 이렇게 불러요
- 통합 화면
SIEM - 경비실의 큰 화면. 모든 문·창문의 소식을 한 곳에 모아 보여줘요.
- 경보
Alert - 종. 뭔가 이상하다고 울리는 것. 도둑일 수도, 고양이일 수도.
- 가려내기
Triage - 고양이인지 도둑인지. 울린 종 중에 먼저 볼 것을 고르는 일.
- 오탐
False positive - 고양이. 도둑인 줄 알았는데 아니었던 종. → 발자국 이야기
- 사고 대응
Incident response - 달려가서 문 잠그기. 진짜 도둑일 때 하는 일. 막고, 내보내고, 고쳐요.
- 1선 · 2선
Tier 1 · Tier 2 - 새 경비와 선배 경비. 처음 종을 보는 사람과, 어려운 건 넘겨받는 사람.
- 경보 피로
Alert fatigue - 백 번째 고양이. 종이 너무 많아 진짜를 놓치는 상태.
다음 이야기
경비실의 큰 화면 →