다섯 살도 알 수 있게 · 보안

UEBA가 뭐예요?

사용자·개체 행동 분석(User and Entity Behavior Analytics)을 사람마다 '평소'를 기억하는 경비실 이야기로 풀어봤어요.

열쇠도 맞고 얼굴도 맞아요. 그런데 뭔가 이상해요.세 번 확인하는 문지기도 물어보는 건 "너 맞아?"뿐이에요. 요리사가 밤 3시에 금고 방을 여는 건 이상하지만, 규칙엔 없어요.

문지기는 열쇠와 얼굴만 봐요. 언제, 어디를, 얼마나는 안 물어요.열쇠를 훔친 도둑도, 마음이 바뀐 진짜 요리사도 열쇠와 얼굴은 맞아요. 경비실의 종은 "금고 방에서 도둑!" 같은 정해진 규칙에만 울려요.

UEBA는 사람마다 '평소'를 기억하는 경비실이에요.일지를 몇 주 동안 읽고 사람마다 언제·어디서·얼마나가 평소인지 적어 둬요. 사람뿐 아니라 방(기계)마다도요.

평소를 적어요사람마다, 방마다 한 줄

다른 점을 찾아요시간, 장소, 횟수, 양

점수를 매겨요다른 만큼 점수가 올라요

높으면 종경비실 큰 화면으로 보내요

요리사 열쇠가 밤 3시에 금고 방을 열면, 점수가 오르고 종이 울려요.하나만 달라도 종은 안 울려요. 시간도, 방도, 횟수도 다르면 점수가 쌓여요. 종은 경비실 큰 화면으로 가고, 경비실이 확인해요.

훔친 열쇠도, 이상해진 진짜 요리사도 잡아요. 처음 몇 주는 틀리기도 해요.여기가 비유가 깨지는 곳이에요. 새로 온 사람은 평소가 없어서 종이 잘못 울려요. 그래서 파수꾼이 점수를 직접 봐야 해요.

한 줄로

UEBA = 사람마다·방마다 평소를 적어 두고, 열쇠와 얼굴이 맞아도 평소와 다르면 점수를 올리고, 점수가 높으면 종을 울리는 경비실.

User and Entity Behavior Analytics. 로그로 사용자와 기기의 행동 기준선(베이스라인)을 학습하고, 벗어난 정도를 위험 점수로 매겨 계정 탈취·내부자 위협·측면 이동을 찾아내요. 보통 SIEM에 붙어서 동작해요.

평소 기억하기 UEBA: 사람마다 평소를 아는 경비실. 열쇠·얼굴이 아니라 언제·어디서·얼마나를 봐요. 사람(User)과 방·기계(Entity) 둘 다요.
평소 Baseline: 장부에 적힌 한 줄. 요리사는 새벽 5시 부엌. 몇 주 동안 일지를 읽어서 만들어요.
다른 점 찾기 Anomaly detection: 평소와 다른 걸음걸이. 밤 3시, 금고 방, 다섯 번. 규칙에 없어도 평소와 다르면 눈에 띄어요.
위험 점수 Risk score: 다른 만큼 쌓이는 숫자. 하나면 조용히, 여럿이면 종. 사람마다 점수가 따로 있어요.
훔친 열쇠 Account takeover: 남의 열쇠로 남인 척. 열쇠는 훔쳐도 평소는 못 훔쳐요. 열쇠를 지키는 법은 → 세 번 확인하는 문지기
이상해진 성 사람 Insider threat: 진짜 요리사가 종이를 들고 나가요. 열쇠도 얼굴도 진짜라 문지기는 못 잡아요. 평소와 달라진 걸음걸이만 알아채요.
경비실 큰 화면 SIEM: 종이 울리는 곳. 점수가 높으면 큰 화면에 올라가요. → 경비실의 큰 화면
배우는 몇 주 Learning period / false positive: 아직 평소가 없어요. 새 사람, 새 방은 종이 잘못 울려요. 처음엔 사람이 점수를 같이 봐야 해요.

다음 이야기

다른 용어도 그림책으로 보고 싶다면 요청하기 →