안녕하세요! 중국 상하이에서 Detection Engineer로 일하고 있는 사람입니다.

지난번에 TP-benign과 RBA(Risk-Based Alerting) 개념을 소개하는 글을 올렸는데요, 이번에는 그 개념이 상용 SIEM에서 어떻게 구현되어 있는지 확인해봤습니다. 실제 업무 환경을 그대로 가져올 수는 없으니, 로컬 테스트 서버에 설치한 Splunk ES로 RBA를 처음부터 끝까지 직접 설정하고 화면 캡쳐를 붙여 정리했습니다.

Splunk ES는 라이선스가 비싸서 실습 환경을 구하기 어렵고, 그래서 한국어 자료도 거의 없습니다. 그런데 뒤집어 생각하면, ES가 제공하는 건 결국 좋은 보안 엔지니어링 개념을 UI로 편하게 구현해둔 것입니다. 개념을 이해하면 UI 없이도, 다른 환경에서도 같은 구조를 만들 수 있다고 생각해서 이 글을 썼습니다.

글에는 킬체인 단계별 Usecase 4개를 만들어 한 계정에 점수를 누적시키고, 임계치를 넘는 순간 알림이 생성되는 과정을 캡쳐로 담았습니다. 정상 사용자 대조군도 함께 넣어서, 왜 그 사용자에게는 알림이 생기지 않는지 비교할 수 있게 했습니다. 그리고 UI로 클릭한 설정이 실제로 어떤 SPL로 변환되는지도 열어봤어요.

혹시 RBA를 도입해보신 분 있으시면, 점수 배분을 어떤 기준으로 정하셨는지 궁금합니다. 이 부분이 정답이 없어서 저도 계속 고민하고 있습니다.

링크: Splunk ES는 RBA를 어떻게 구현해뒀나 — UI 뒤의 로직 열어보기