LogTotal을 통한 로그 분석

로그 분석이란 무엇인가요?

로그 분석은 운영 또는 보안 질문에 답하기 위해 머신이 생성한 이벤트 기록을 수집, 구문 분석, 정규화 및 쿼리하는 실습입니다. SOC에서 그 질문은 일반적으로 좁습니다: 이 계정이 예상치 못한 출처에서 인증되었는가, 이 호스트가 비정상적인 자식 프로세스를 생성했는가, 데이터 전송 전에 어떤 API 호출이 있었는가

원자재는 이질적입니다: .evtx 파일의 Windows Security 및 Sysmon 채널, Linux auth.log 및 journald 출력, CEF의 방화벽 및 프록시 이벤트, AWS CloudTrail 또는 Microsoft Entra ID 로그인 로그와 같은 클라우드 감사 기록이 JSON으로 내보내집니다.

작동하는 로그 분석 파이프라인은 네 단계로 구성됩니다:

1. 수집. 필드나 타임스탬프를 잃지 않고 소스에서 이벤트를 내보냅니다.
2. 정규화. src_ip, IpAddress 및 sourceIPAddress를 하나의 공통 스키마로 매핑합니다.
3. 탐지. Sigma 또는 벤더 규칙을 실행하고 모든 히트를 MITRE ATT&CK 기술로 태그합니다.
4. 상관관계. 관련된 히트를 분석가가 확인할 수 있는 타임라인 또는 공격 체인으로 그룹화합니다.

무료로 시작하기

탐지 및 대응을 위한 로그 분석의 중요성

로그는 종종 침입 후에 살아 남는 유일한 기록입니다. EDR 원격측정은 소멸하고, 메모리는 재부팅 시 손실되며, 패킷 캡처는 필요할 때 거의 작동하지 않습니다. Windows Event ID 4624, 4672, 4688 또는 ConsoleLogin과 CreateAccessKey와 같은 CloudTrail 호출은 일반적으로 사건 범위 결정의 주요 증거입니다.

세 가지 압박 요인은 로그 분석을 SOC의 핵심 기술로 만듭니다:

• 볼륨. 단일 사건은 수백만 개의 이벤트를 생성할 수 있으며, grep은 이미 찾고자 하는 것만 찾습니다.
• 커버리지 갭. 계약자 노트북, OT 세그먼트 및 누구도 연결되지 않은 SaaS 테넌트는 SIEM에 포함되지 않지만, 그들의 로그는 여전히 분석이 필요합니다.
• 데이터 처리. 로그에는 사용자 이름, 호스트 이름, IP, 세션 쿠키 및 베어러 토큰이 포함됩니다. GDPR 하에서 그 대부분은 개인 데이터로 간주되며, 유출된 토큰은 실시간 접근 경로입니다.

벤더 티켓에 첨부되거나 AI 채팅에 붙여넣어진 모든 로그는 원래 값을 읽을 수 있는 사람과 관할권의 범위를 넓힙니다. 훌륭한 로그 분석은 추가 사건을 일으키지 않고 질문에 신속하게 답변합니다.

로그 분석의 짧은 역사

Eric Allman에 의해 Sendmail을 지원하기 위해 1980년대 초에 작성된 Syslog는 나중에 RFC 3164 (2001) 및 RFC 5424 (2009)로 표준화되었습니다. 20여 년 동안 로그 분석은 중앙 syslog 서버에서 grep과 awk를 의미했습니다.

Windows는 구조화되었습니다. Windows Vista는 레거시 .evt 포맷을 XML 기반 .evtx 포맷 및 오늘날에도 사용되는 채널 모델로 대체했고, Sysmon (2014)은 고정밀 프로세스 및 네트워크 원격 측정을 추가했습니다.

2000년대 중반 SIEM이 등장했습니다. ArcSight, QRadar, 그리고 나중에는 Splunk가 중앙 집중화된 검색 및 상관성 분석을 제품 범주로 만들었으며, ArcSight의 CEF는 여전히 대부분의 네트워크 장치에서 방출됩니다. 2010년대에는 ELK와 CloudTrail (2013)과 같은 오픈 스택 및 클라우드 감사 기록이 추가되었습니다.

2017년, Sigma는 방어자에게 벤더 중립적인 규칙 형식을 제공했습니다. 같은 해, SOC Prime은 Sigma 규칙에 MITRE ATT&CK 기술을 태깅하고 그 접근 방식을 공개적인 NotPetya 조사에 적용했습니다. ATT&CK 매핑은 이후 탐지 콘텐츠에 대한 기본 기대치가 되었습니다.

로그 분석의 향방

탐지는 상류로 이동합니다. 팀은 데이터가 SIEM에 도달하기 전에 스트리밍 이벤트에 대한 Sigma 규칙을 실행하여 저장 비용을 절감하고 탐지 평균 시간을 몇 시간에서 몇 분으로 단축합니다.

상관 관계가 단일 경고를 능가합니다. 고립된 저신뢰도 일치는 노이즈입니다. 여러 호스트와 시간 창을 아우르는 기술을 연결하는 고차 논리가 분석가에게 확인하거나 닫을 수 있는 무언가를 제공합니다.

AI 삼각주가 데이터 처리 한계에 도달합니다. LLM은 프로세스 트리를 설명하고 타임라인을 요약하는 데 능숙하지만, 원격측정을 모델 제공자에게 전송하는 것은 프라이버시 및 계약상 문제를 야기하고, 최전선 모델은 보안 콘텐츠를 거부할 수 있습니다. 2026년 7월 HuggingFace 사고 대응 중 약 17,000개의 이벤트를 최전선 모델로 보낼 시도가 가드레일에 의해 차단되었습니다.

가명화가 파이프라인 단계가 됩니다. 정적 마스킹은 상관 관계를 파괴하고, 평문 해시는 사전 추측으로 역변환될 수 있습니다. 키드 HMAC 토큰은 값을 제거하면서 관계를 유지합니다. AI 서비스, 벤더 지원, MSSP, 공유 데이터 레이크의 모든 외부 목적지 앞에서 이 단계를 기대하십시오.

로그 분석의 이점

• 사건 대응자의 빠른 범위 결정. 상관된 타임라인은 몇 분 안에 ‘어느 호스트, 어느 계정, 언제부터’라는 질문에 답하여 제어를 촉진하고 상주 시간을 단축합니다.
• 엔지니어를 위한 검증된 탐지. 규칙 논리에 따라 로그를 실행하여 어느 Sigma 규칙이 작동하고, 어느 것이 노이즈인지, 그리고 어떤 ATT&CK 기술이 커버되지 않는지 확인합니다.
• 컴플라이언스 증거. PCI DSS 요구사항 10, ISO/IEC 27001 제어 A.8.15 및 NIS2는 모두 보안 이벤트가 기록되고 검토되기를 기대합니다.
• 관리자를 위한 근본 원인. 실패한 서비스에 대해 설명하는 journalctl 출력은 종종 공격자가 악용할 수 있는 잘못된 구성 설정을 드러냅니다.
• 낮은 SIEM 비용. 한 번 소스를 분석하여 온보딩하지 않고 분석할 수 있습니다.
• 더 안전한 협업. 가명화된 로그는 보유자, MSSP 또는 벤더 TAC가 실제 신원을 보지 않고 호스트와 사용자를 클러스터링할 수 있게 합니다.

로그 분석의 사용 사례

관리되지 않은 호스트 선별. EDR이 없는 계약자 노트북이 타협된 것으로 의심됩니다. Security, Sysmon 및 PowerShell 로그를 내보내고 재이미징 전에 LogTotal 발견 사항을 통해 자격 증명 접근(T1003), PowerShell 실행(T1059.001) 및 예약 작업(T1053.005)을 확인하십시오.

클라우드 계정 탈취. 낯선 ConsoleLogin 이후 72시간의 CloudTrail 및 Entra ID 로그인 내역을 살펴보고 새 액세스 키, MFA 변경 사항 및 IAM 정책 편집을 찾으십시오.

외부 IR 보유자 및 벤더 TAC. 자신이 보유한 키로 증거를 소독하십시오. 제3자는 여전히 토큰으로 호스트와 사용자를 클러스터하고, 내부적으로 토큰을 다시 매핑합니다.

탐지 엔지니어링. Atomic Red Team 또는 Caldera 로그를 재생하여 어느 규칙이 작동하는지 확인한 후, Git 또는 CI 아티팩트에 도달하기 전에 고정 장치를 소독하십시오.

프라이버시 리뷰. 키드 가명화는 GDPR 기사 32에 따른 문서화 가능한 기술적 조치입니다: 무엇이 대체되었는지, 토큰은 어떻게 생성되었는지, 누가 키를 보유하는지.

로그 분석 수행 방법: 플랫폼별 로그 위치 및 내보내기

아래의 모든 절차는 LogTotal이 기본적으로 읽을 수 있는 형식: EVTX, CEF, JSON/NDJSON 또는 syslog로 끝납니다. UTC 시간 창과 범위를 먼저 고정하고, 각 내보내기를 해시하여(예: Get-FileHash 또는 sha256sum) 에 사건 연계성을 확보하십시오.

Windows (EVTX). 로컬 관리자로서의 고급 셀이 필요합니다. %SystemRoot%System32winevtLogs 하의 .evtx 파일은 이벤트 로그 서비스에 의해 잠겨있으므로, wevtutil을 사용하여 내보내십시오:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

/q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"를 추가하여 내보내기를 24시간으로 제한합니다. GUI 경로: eventvwr.msc → Windows Logs → Security → 모든 이벤트를 다음으로 저장…

Linux (syslog 또는 NDJSON). adm / systemd-journal의 루트 또는 멤버가 필요합니다. /var/log/auth.log (Debian/Ubuntu) 또는 /var/log/secure (RHEL)를 복사합니다. journald의 경우:

sudo journalctl –since “2026-10-20” –until “2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail (JSON). cloudtrail:LookupEvents가 필요합니다. CloudTrail → 이벤트 기록 → 이벤트 다운로드 → JSON 다운로드 는 90일의 관리 이벤트를 다룹니다. 트레일 버킷(s3:GetObject, kms:Decrypt)에서 레코드를 NDJSON으로 평탄화하십시오:

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID 및 Microsoft 365 (JSON). Entra 관리 센터 → ID → 모니터링 및 상태 → 로그인 로그 → 다운로드 → JSON (보고서 리더 역할). Purview 감사 데이터의 경우 CSV 내보내기를 건너뛰고 JSON을 직접 가져옵니다 (감사 로그 역할):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

네트워크 장치 (CEF). 장치를 CEF로 전환하십시오 (FortiGate에서: config log syslogd setting → set format cef) 그리고 syslog 수집기에서 CEF:0|이 포함된 라인을 내보내십시오.

SOC Prime의 로그 분석 서비스

• 위협 탐지 마켓플레이스: 100만 개 이상의 Sigma 기반 탐지 규칙이 SIEM, EDR 및 데이터 레이크 언어로 번역되고 ATT&CK으로 태그됩니다.
• Prime Hunt: 관련 규칙으로 역사적인 SIEM, EDR 및 데이터 레이크 데이터를 스캔하고, 결과로부터 공격 체인을 유추합니다.
• Prime Detect: SIEM 전에 스트리밍 이벤트에서 Sigma 규칙을 실행하고 즉시 공격 체인으로 상관관계를 형성합니다.
• Uncoder.IO: Sigma 및 Roota 규칙을 네이티브 쿼리로 번역합니다.
• LogTotal: 브라우저 내 소독이 포함된 내보낸 로그 파일의 분석, 무료 및 가입 없이.
• logtotal-sanitizer: Node.js 라이브러리 및 CLI로 온프레미스 또는 에어갭 사용을 위한 Apache 2.0 엔진.

LogTotal은 이 가이드가 다루는 경우를 포함합니다: SIEM 외부의 소스에서 온 파일 또는 원시 데이터를 공유할 수 없는 파일. 각 분석은 SOC Prime의 DetectFlow 엔진의 일회용 전용 인스턴스에서 실행되며 이후 삭제됩니다.

LogTotal과 함께하는 로그 분석 방법

LogTotal은 무료이며, 계정이 필요 없고, 업로드 전 브라우저에서 파일을 소독합니다. SOC Prime은 분석 후 로그를 보유하거나 로그에서 학습하지 않습니다.

1. 열기 logtotal.com 현행 Chromium, Firefox 또는 Safari 빌드에서.
2. 내보내기 로드. .evtx, .log, .json 또는 .ndjson 파일을 드롭하십시오. 형식은 자동으로 감지됩니다.
3. 소독 검토. 비밀, 쿠키, 결제 ID, IP, 호스트명, 사용자 이름 및 홈 디렉터리 경로는 <USER:…> 또는 <IP:…>와 같은 키드 HMAC-SHA-256 토큰이 됩니다. 동일한 값은 동일한 토큰을 얻으므로 열 개의 스프레이 계정은 여전히 ​​열 명의 사용자처럼 보입니다.
4. 사건 파일용 소독된 사본 다운로드 분석된 파일과 정확히 똑같습니다.
5. 분석 실행. 이벤트는 약 100만 개의 탐지 규칙과 13,000개의 라벨과 비교되어, 고차 Sigma 규칙 및 에이전트 AI와 상관됩니다. SOC Prime은 1분 이내에 최대 170만 개의 이벤트 처리를 인용합니다.
6. 발견 사항 읽기. 탐지는 ATT&CK에 매핑되고 공격 체인으로 그룹화되며 AI에 의해 설명됩니다. 자격 증명 접근 및 횡적 이동 발견 양쪽에 나타나는 토큰은 재설정할 계정입니다.

여러 호스트에 대해, 또는 브라우저 업로드가 제한적인 경우, 오픈 소스 CLI(Node.js 20+)로 로컬에서 소독하고, 동일한 키를 재사용하여 파일 간 토큰이 일치하도록 하십시오:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key “$KEY”