보안 분석가가 직원의 회사 노트북에서 발생하는 잠재적인 악성 네트워크 트래픽과 관련된 SIEM 경고를 검토하고 있습니다. 보안 분석가는 조사를 계속하기 위해 해당 시스템에서 실행 중인 실행 파일에 대한 추가 데이터가 필요하다고 판단했습니다. 분석가는 다음 로그 중 어떤 것을 데이터 소스로 사용해야 할까요?

직원 노트북에서 실행 중인 실행 파일에 대한 정보는 엔드포인트 로그에서 찾을 수 있습니다. 엔드포인트 로그는 특정 장치(예: 노트북)에서 발생하는 활동을 기록하며, 여기에는 실행된 프로그램, 프로세스, 시스템 호출 등이 포함됩니다. 따라서 악성 트래픽의 원인을 파악하기 위해 실행 파일 데이터를 조사할 때 가장 적절한 데이터 소스입니다. Application 로그는 특정 애플리케이션의 동작을 기록하지만, 시스템 전반의 실행 파일 정보를 제공하지는 않습니다. IPS/IDS 로그는 침입 탐지 및 방지 시스템의 경고를 기록하며, 네트워크 트래픽 이상에 초점을 맞춥니다. Network 로그는 네트워크 통신에 대한 정보를 제공하지만, 개별 장치에서 실행되는 파일에 대한 직접적인 정보는 포함하지 않습니다.