SIEM(보안 정보 및 이벤트 관리) 시스템은 조직 전체의 로그를 수집하고, 정규화하고, 이벤트 간의 상관관계를 분석하여 위협을 탐지합니다. 방화벽, 서버, 엔드포인트, 애플리케이션, 클라우드 서비스 등 모든 곳에서 로그가 생성됩니다. SIEM은 이러한 로그들을 한곳으로 모아 분석하고, 규칙을 적용하여 패턴을 찾아냅니다. 로그인 실패는 단순한 노이즈일 수 있지만, 수천 번의 로그인 실패 후 한 번의 성공이 발생한다면 이는 경고입니다. SIEM은 이러한 상관관계를 분석하여 보여줍니다.

Splunk, Microsoft Sentinel, IBM QRadar와 같은 SIEM 플랫폼은 강력하지만 관리가 까다롭습니다. 튜닝이 필수적이며, 기본 설정 상태에서는 너무 많은 경고와 오탐이 발생하여 분석가들이 어려움을 겪습니다. SIEM의 진정한 가치는 신중한 규칙 개발과 위협 인텔리전스 통합을 통해 발휘됩니다. 또한 SIEM은 규정 준수를 지원합니다. 감사관은 로그가 수집, 보존 및 검토되었는지 확인하고자 하며, SIEM은 이러한 증거를 제공합니다. 최신 SIEM은 사용자 행동 분석 및 머신 러닝 기능을 추가하여 정적 규칙으로는 감지할 수 없는 이상 징후를 탐지합니다. 일부 SIEM은 자동화된 대응을 위해 SOAR 플랫폼과 통합되기도 합니다. SIEM은 보안 운영 센터의 중추 신경계와 같습니다. SIEM이 없다면 분석가들은 눈을 가리고 작업해야 하며, SIEM이 있더라도 여전히 많은 노력이 필요합니다.

SIEM 기능

• 로그 수집 — 다양한 소스에서 데이터 수집
• 정규화 — 형식을 공통 스키마로 변환
• 상관관계 — 여러 소스의 이벤트를 연결합니다.
• 경고 — 의심스러운 활동에 대해 분석가에게 알립니다.
• 보존 — 규정 준수 및 조사를 위해 로그를 저장합니다.

SIEM의 성능은 수신하는 로그와 실행하는 규칙에 따라 좌우됩니다. 잘못된 정보가 입력되면 불필요한 정보가 출력됩니다.