CompTIA SY0-701: 보안 운영, 모니터링 및 탐지 — 학습 가이드

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

다음의 일부입니다: CompTIA Security+ SY0-701 — 학습 가이드. 검증된 답안으로 연습하기: CompTIA 시험 허브, 또는 다음에서 시간 제한 모의고사 풀기: ExamRoll.io.

현대의 보안 운영은 엔터프라이즈의 모든 영역(엔드포인트, 네트워크 장치, 자격 증명 공급자, 클라우드 워크로드, 애플리케이션)에서 발생하는 신호를 관찰, 상호 연관 분석 및 조치하는 능력에 달려 있습니다. 성숙한 탐지 프로그램은 단일 제품이 아니라, 침해와 격리 사이의 시간을 단축하도록 설계된 원격 측정 파이프라인, 분석 엔진, 분석가, 자동화된 대응 워크플로우의 생태계입니다.

SIEM 및 중앙 집중식 로그 집계

보안 정보 및 이벤트 관리(Security Information and Event Management, SIEM) 플랫폼은 보안 운영 센터의 결합 조직과 같습니다. SIEM은 Windows 이벤트 로그, Linux syslog, 방화벽 플로우 데이터, DNS 리졸버, Active Directory, 엔드포인트 에이전트, SaaS 감사 추적 등 서로 다른 소스에서 로그를 수집하여 공통 스키마로 정규화하고, 집계된 스트림 전반에 걸쳐 상관관계 규칙을 적용합니다. 그 가치는 단순히 로그를 저장하는 데 있는 것이 아니라, 한 로그 소스에서의 실패한 VPN 인증을 다른 로그 소스에서의 성공적인 권한 있는 로그인 및 측면 SMB 접근과 연관시켜, 세 개의 개별 이벤트가 노이즈에 불과했을 상황에서 단일 고신뢰도 경보를 생성하는 데 있습니다.

일반적인 플랫폼으로는 Splunk, Microsoft Sentinel, IBM QRadar, Elastic Security, Chronicle 등이 있습니다. 클라우드 환경에서는 AWS CloudTrail, CloudWatch, GuardDuty와 같은 네이티브 도구나 Azure Monitor와 Log Analytics 작업 영역이 로깅 백본 역할을 하며, 종종 상위 SIEM으로 데이터를 공급합니다.

여러 소스 간의 로직을 보여주는 일반적인 Splunk 상관관계 검색 예시입니다.

index=wineventlog EventCode=4625
| stats count by src_ip, user
| where count > 10
| join user [search index=vpn action=success]
| table _time, user, src_ip, count

여기에는 미묘한 함정이 있습니다. 조직이 SIEM을 배포하고 테라바이트급 데이터를 수집하더라도, 중요한 로그 소스가 누락되면 침입을 놓칠 수 있습니다. 엔드포인트 프로세스 생성 이벤트(Windows 이벤트 ID 4688 또는 Sysmon 이벤트 ID 1)가 전달되지 않거나 방화벽 차단 로그가 잘리면, 전체 공격 단계가 보이지 않게 됩니다. MITRE ATT&CK와 같은 프레임워크에 명시적으로 매핑된 로그 소스 커버리지는 의미 있는 탐지를 위한 필수 전제 조건입니다.

엔드포인트 탐지 및 대응(EDR)

EDR(Endpoint Detection and Response)은 대부분의 공격자 활동이 궁극적으로 나타나는 호스트까지 가시성을 확장합니다. 파일 해시와 시그니처를 대조하는 기존의 안티바이러스와 달리, CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Carbon Black과 같은 EDR 플랫폼은 프로세스 트리, 명령줄 인수, 레지스트리 수정, 네트워크 연결, DLL 로드와 같은 원격 측정 데이터를 지속적으로 기록합니다. 이 데이터를 통해 실시간 행위 기반 탐지와 회고적 위협 헌팅이 모두 가능해집니다.

흔한 오해 중 하나는 EDR을 방화벽과 동등한 예방 통제로 취급하는 것입니다. EDR은 주로 탐지하고 대응을 지원합니다. 알려진 악성 행위를 차단할 수는 있지만, EDR의 더 큰 가치는 분석가가 침해된 프로세스가 무엇을 했는지, 어떤 자격 증명에 접근했는지, 어디로 측면 이동했는지를 파악할 수 있게 해주는 포렌식 추적 경로를 제공하는 데 있습니다. 호스트 격리, 프로세스 종료, 파일 격리와 같은 대응 조치는 일반적으로 EDR 단독이 아니라 분석가나 SOAR 플레이북에 의해 시작됩니다.

IDS/IPS, 시그니처 및 기준선 강제

네트워크 기반 침입 탐지 및 방지 시스템(IDS/IPS)은 시그니처 및 행위 모델과 비교하여 트래픽을 검사합니다. IDS(모니터링 모드의 Snort 또는 Suricata 등)는 의심스러운 패턴에 대해 경보를 울리고, IPS는 인라인으로 위치하여 일치하는 트래픽을 차단합니다. 특정 익스플로잇 패턴을 탐지하기 위한 Snort 규칙은 시그니처 기반 로직을 보여줍니다.

alert tcp any any -> $HOME_NET 445 (
  msg:"SMB Exploit Attempt";
  content:"|ff|SMB"; offset:4; depth:4;
  content:"|72 00|"; distance:0;
  sid:9000001; rev:1;
)

이상 행위 기반 탐지는 행위 기준선을 설정하고 편차가 발생하면 경보를 울립니다. 예를 들어, 워크스테이션이 갑자기 평소보다 10배 많은 DNS 쿼리를 보내기 시작하거나, 서버가 처음으로 4444번 포트에서 아웃바운드 연결을 여는 경우, 두 경우 모두 시그니처 일치 여부와 관계없이 조사가 필요합니다.

위협 인텔리전스 및 지표 관리

위협 인텔리전스는 원시 데이터를 공격자의 전술, 기술 및 절차(TTP)에 대한 실행 가능한 지식으로 변환합니다. STIX(Structured Threat Information eXpression)는 지표, 캠페인, 위협 행위자, 공격 패턴 등 위협 인텔리전스 객체를 표현하기 위한 표준 형식이며, TAXII(Trusted Automated eXchange of Indicator Information)는 이를 공유하기 위한 전송 프로토콜입니다. VirusTotal, AlienVault OTX, MISP, Recorded Future와 같은 상용 및 오픈소스 피드는 IP 평판, 도메인 차단 목록, 파일 해시, YARA 규칙 등을 제공하며, 이는 SIEM 및 방화벽 플랫폼으로 직접 수집될 수 있습니다.

침해 지표(IoC) — 악성 IP 주소, 파일 해시, 도메인 이름, 레지스트리 키 — 는 가장 즉각적으로 조치할 수 있는 인텔리전스이지만 가장 일시적이기도 합니다. 공격자들은 인프라를 빠르게 교체하기 때문입니다. 공격 지표(IoA)는 아티팩트보다는 행위에 초점을 맞춥니다. 예를 들어, 자식 셸을 생성하는 프로세스, 인코딩된 PowerShell 명령, 또는 임의의 이름으로 생성된 서비스 등이 있습니다. IoA 기반 탐지는 특정 도구가 아닌 기술을 목표로 하기 때문에 회피하기가 더 어렵습니다.

실제 시나리오: 누락된 로그 소스로 인한 탐지 공백

한 금융 서비스 회사가 SIEM을 배포하고 경계 방화벽 로그, Windows 보안 이벤트 로그, 이메일 게이트웨이 로그를 수집했습니다. 레드팀 훈련 중, 팀은 피싱 이메일을 통해 초기 접근에 성공했으며(탐지됨), 그 후 WMI를 사용하여 측면 이동을 하고 PowerShell 원격 기능을 사용하여 명령을 실행했습니다. 이 두 가지 모두 기본 구성에서는 Windows 보안 이벤트를 생성하지 않았습니다. 레드팀은 초기 피싱 탐지 이후 단 한 건의 SIEM 경보도 발생시키지 않고 재무 담당자의 워크스테이션에 도달하여 모의 송금 파일을 유출했습니다. 탐지 공백의 원인: Sysmon이 배포되지 않았고, PowerShell 스크립트 블록 로깅이 활성화되지 않았으며, WMI 활동 로깅에 추가 구성이 필요했습니다. 이 훈련은 SIEM의 커버리지는 SIEM에 데이터를 공급하는 로그 소스의 수준을 넘지 못하며, 이는 벤더 문서만 보고 가정할 것이 아니라 퍼플 팀 훈련을 통해 검증되어야 한다는 교훈을 주었습니다.

← 네트워크 보안 및 아키텍처 · 모든 도메인 · 사고 대응 →

이 문제 연습하기 → · ExamRoll.io에서 시간 제한 연습 →