안녕하세요! 중국 상하이에서 Detection Engineer로 일하고 있는 사람입니다.

보안팀이라면 흔히 겪는 상황 하나로 글을 시작합니다. 탐지 룰이 정상 사용자의 실수를 잡았을 때, 이걸 "오탐"으로 집계하면 룰 로직은 멀쩡한데 수치상으로는 개선 대상이 되어버립니다.

이 찜찜함을 풀어주는 개념으로, 해외에서 쓰이기 시작한 TP-benign(정탐이지만 양성)이라는 세 번째 분류와, 이를 구조적으로 풀어내는 RBA(Risk-Based Alerting)를 간단히 정리해봤습니다. Splunk·Sentinel·ELK 구현 예시도 함께 담았습니다.

기업 보안팀이나 MSSP에서 알림 피로로 고민 중이신 분들께 도움이 되면 좋겠습니다. 다음에는 점수 설계와 Usecase 배치까지 파고드는 정교화된 글로 찾아오겠습니다~

링크: 오탐도 정탐도 아닌 것: Benign Activity와 RBA 이야기