로그 분석 도구: 주요 기능 및 10가지 추천 항목

대부분의 조사는 간단한 질문에서 막힌다: 로그는 어디에 있으며, 어떻게 추출할 수 있는가? Windows에서는 이벤트 로그가 %SystemRoot%System32winevtLogs에 바이너리 .evtx 파일로 저장된다. 이벤트 뷰어에서 로그를 내보내려면 (로그를 우클릭한 후 모든 이벤트 저장…) 또는 권한 상승이 된 프롬프트에서 wevtutil epl Security C:IRSecurity.evtx를 사용하세요. 시스템 기반 Linux에서는 펄시스터한 저장소가 활성화되어 있을 때 /var/log/journal/, 휘발성일 때 /run/log/journal/에 저널이 존재하며, journalctl -o json을 사용하면 한 줄당 하나의 JSON 객체로 출력됩니다. 고전적인 텍스트 syslog는 Debian과 Ubuntu에서는 /var/log/auth.log, RHEL 계열 호스트에서는 /var/log/secure에 남아 있습니다. 클라우드 및 SaaS 플랫폼은 감사 추적을 콘솔이나 API를 통해 JSON으로 노출합니다.

파일을 얻는 것은 쉬운 부분입니다. 어려운 부분은 하나의 호스트가 당신에게 400,000개의 이벤트를 넘길 때 시작되며, 시계가 돌아가고, 법적 부서가 누가 원시 데이터를 보는지를 알고 싶어 할 때입니다. 여기서 AI 기반의 로그 분석 도구가 기본 검색 콘솔과 구별됩니다. 일부는 SIEM 위에 머신러닝 모델을 적용합니다. 다른 것들은 SOC Prime의 LogTotal처럼, 사전 컴파일된 탐지 라이브러리와 모든 이벤트를 대조하고 상관 공격 체인을 반환합니다.

이 가이드는 로그 분석 도구가 무엇을 하고, 사건 대응 중 어떤 기능이 중요한지를 다루며, 2026년에 알아두면 좋은 10개의 도구와 Windows 및 Linux 로그 내보내기 및 LogTotal에서 조사하는 단계별 워크플로우를 포함합니다. 트러블슈팅 단계와 일반적인 질문에 대한 답변으로 마무리합니다.

무료로 시작하세요

로그 분석 도구란 무엇인가?

로그 분석 도구는 기계 생성 기록을 해답으로 변환합니다: 누가 어떤 자산에 대해 언제, 어디에서, 어떤 메커니즘으로 행동했는가. 원시 포맷을 파싱하고, 필드를 정규화하며, 탐지 로직을 적용하고 관련 이벤트를 연결하여 분석가가 침입을 한 줄 한 줄 읽는 대신 재구성 할 수 있도록 합니다.

이 카테고리는 SIEM보다 넓습니다. 일반적인 SOC에서 네 가지 종류의 도구가 작업을 나누어 수행합니다:

• SIEM과 보안 분석 플랫폼 (Splunk, Microsoft Sentinel, Google SecOps, Elastic)는 수집을 중앙에 모으고, 예약된 및 스트리밍 탐지를 실행하며, 트라이앵글 및 케이스 관리를 처리합니다.
• 보안 데이터 파이프라인 (Cribl Stream, Fluent Bit, Vector)는 저장소 전에 이벤트를 라우트, 필터링, 강화합니다. 이는 수집 비용을 제어하고 ECS나 OCSF와 같은 스키마를 정규화합니다.
• DFIR 유틸리티 (Hayabusa, Chainsaw, EvtxECmd)는 수집된 아티팩트를 오프라인으로 처리하고, 일반적으로 EVTX를 단일 호스트의 타임라인으로 만듭니다.
• 스냅샷 분석기 로그 정리 및 온보딩 혹은 통합 작업 없이 전체 조사를 반환합니다.

로그 분석은 로그 관리와도 구별됩니다. 관리는 배관 작업입니다: 수집, 보존, 접근 제어, 무결성. 분석은 해석입니다. 팀은 12개월간의 보존으로 깔끔한 파이프라인을 운영하면서도 RC4 암호화 유형 0x17을 사용하는 4769 이벤트를 평가하지 않으면 Kerberoasting 캠페인을 놓칠 수 있습니다.

그렇다면 최고의 로그 분석 도구가 나머지와 차별화되는 것은 무엇입니까? 세 가지: 변환 없이 읽을 수 있는 포맷 수, 적용되는 유지된 탐지 콘텐츠 양, 그리고 개인적인 히트를 공격 서사로 연결하는지 여부. 속도와 데이터 처리 제어는 특히 로그가 SIEM에 온보딩되지 않은 호스트에서 온 경우 나머지를 결정합니다.

어떤 기능이 중요하고 무엇을 제공하나요?

벤더 페이지의 기능 목록은 비슷해 보입니다. 사건 중에는 일곱 가지 기능이 대부분의 작업을 수행합니다.

• 네이티브 파서. EVTX는 XML 이벤트 페이로드가 있는 청크 바이너리 포맷입니다, 따라서 grep은 무용지물입니다. 도구는 EVTX, JSON/NDJSON, syslog (RFC 3164 및 RFC 5424), 그리고 CEF를 변환 스크립트 없이 읽어야 합니다.
• 필드 정규화. 소스 IP는 방화벽, IdP, 또는 Sysmon 이벤트 ID 3에서 발생했어도 같은 필드여야 합니다. ECS 및 OCSF와 같은 스키마는 벤더 간 탐지를 가능하게 합니다.
• 유지된 탐지 콘텐츠. Sigma 규칙, 벤더 분석 및 위협 인텔 매치. 볼륨도 중요하지만 업데이트 속도 또한 중요합니다: 몇 달 동안 새로운 TTP에 뒤쳐진 라이브러리는 잘못된 안도감을 줍니다.
• 상관. 단일적인 히트는 흔히 타협을 증명하지 못합니다. 순서 및 높은 차원의 상관은 MITRE ATT&CK에 매핑된 4625 폭발, 4624 유형 10 로그인 및 7045 서비스 설치를 하나의 체인으로 연결합니다.
• 결과까지의 시간. 색인된 백로그에 대한 15분 예약 검색은 모니터링에는 좋습니다. 내보낸 로그 집합의 선별에는 몇 분이 예산입니다.
• 데이터 처리 제어. 로그는 사용자 이름, 호스트 이름, Bearer 토큰 및 세션 쿠키를 포함합니다. 업로드 전 키 기반 가명화를 통해 관계를 유지하고 DPO의 승인을 얻어야 합니다.
• 내보내기 및 API 액세스. 발견 결과는 JSON 또는 CSV로 도구를 떠나 사건 관리, 티케팅, 보고를 위한 것이어야 합니다.

광범위한 스코핑은 격리까지의 시간을 단축시킵니다. 상관된 결과는 분석가가 읽어야 하는 경고 큐를 줄입니다. 사건 수준의 증거는 PCI DSS v4.0 요구 사항 10에 따른 감사 로그 검토와 같은 규제 보고를 지원합니다. 실제 텔레메트리는 탐지 엔지니어링에도 도움이 됩니다, 왜냐하면 규칙이 실제로 공격자들이 남긴 것에 대해 테스트되기 때문입니다.

알아야 할 10가지 로그 분석 도구

모든 단계를 다루는 단일 제품은 없습니다. 아래 목록은 연속 모니터링을 위한 플랫폼과 사건 발생 초기 몇 시간 동안 사용할 수 있는 도구가 혼합되어 있습니다.

1. LogTotal (SOC Prime). 내보낸 로그 세트를 위한 무료 브라우저 기반 분석기입니다. 로컬에서 로그를 정화하고 EVTX, JSON/NDJSON, syslog를 자동으로 감지하며, 약 1,000,000개의 탐지 규칙과 13,000개의 위협 레이블과 대조하여 MITRE ATT&CK에 매핑된 상관 공격 체인을 반환합니다. 최대 170만 이벤트를 1분 이내에 처리합니다.
2. Splunk Enterprise Security. 많은 대형 SOC의 참조 SIEM입니다. SPL은 표현력이 뛰어나고, 위험 기반 경고는 소음을 줄여주며, 앱 생태계는 대부분의 소스를 다룹니다.
3. Microsoft Sentinel. Log Analytics 워크스페이스에서 작동하는 클라우드 네이티브 SIEM으로, KQL로 쿼리합니다. Entra ID, Microsoft 365 및 Defender에 대한 네이티브 커넥터가 Microsoft 중심 환경의 기본이 됩니다.
4. Google Security Operations. 이전에는 Chronicle. 데이터를 통일 데이터 모델 (UDM)로 정규화하고, YARA-L로 감지하고, 대규모 보존 창을 빠르게 검색합니다.
5. Elastic Security. Elasticsearch 및 Elastic Common Schema를 기반으로 구축되었습니다. EQL 시퀀스 쿼리는 다단계 행동에 적합하며, 탐지 규칙은 GitHub에 공개되어 있습니다.
6. Sumo Logic. 클라우드 SIEM 계층이 포함된 SaaS 로그 분석 플랫폼입니다.
7. Graylog. 오픈 소스 및 커머셜 에디션으로 제공됩니다. GELF 입력, 처리 파이프라인 및 스트림 라우팅은 자체 스택을 운영하려는 중소 규모 팀에 실용적 선택이 됩니다.
8. Wazuh. Windows, Linux, macOS용 에이전트가 있는 오픈 소스 XDR 및 SIEM입니다. 파일 무결성 모니터링, 취약점 감지 및 컴플라이언스 매핑을 위한 디코더와 규칙을 제공합니다.
9. Hayabusa. Yamato Security의 Rust 기반 EVTX 타임라인 생성기입니다. 오프라인 이벤트 로그에 Sigma 및 자체 규칙을 적용하여 단일 호스트 트라이지용 CSV 또는 JSONL 타임라인을 생성합니다.
10. Chainsaw. Sigma와 내장된 탐지 로직을 사용하여 EVTX 파일을 빠르게 검색하는 WithSecure의 Rust 도구입니다. 빠르고 스크립트 가능하며, 상관은 분석가에게 맡깁니다.

패턴은 분명합니다. SIEM은 데이터를 온보딩한 후 탁월합니다. DFIR 유틸리티는 빠르지만 작은 규칙 세트로 실행되고 상관은 분석가에게 맡깁니다. LogTotal은 이 둘 사이의 격차를 메웁니다: SIEM에 도달하지 못한 로그에 대한 완전 탐지 깊이를 제공합니다.

LogTotal과 함께하는 로그 분석: 내보내기에서 공격 체인까지

LogTotal은 사건 시간 로그 분석에 대한 SOC Prime의 해답입니다. 2026년 8월 26일 공개 프리뷰로 시작되어 2026년 10월 15일 일반 출시를 맞았습니다. 통합이나 API 접근이 필요 없는 무료 솔루션입니다. 아래 워크플로우는 Windows 또는 Linux 호스트를 원시 로그에서 상관된 발견 내용으로 이동시킵니다.

1단계: 로그 내보내기

Windows (Event Viewer). eventvwr.msc를 열고, Windows 로그를 확장한 후, 우클릭하여 보안을 선택합니다. 파일 유형을 .evtx로 유지합니다. Sysmon의 경우, 모든 이벤트 저장…응용 프로그램 및 서비스 로그 > Microsoft > Windows > Sysmon > 작업 으로 이동하여 반복합니다. and repeat.

Windows (명령줄). 권한 상승 프롬프트에서:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

wevtutil epl “Microsoft-Windows-PowerShell/Operational” C:IRPowerShell.evtx

마지막 72시간으로 내보내기를 제한하려면 XPath 필터를 추가하십시오: /q:”*[System[TimeCreated[timediff(@SystemTime) <= 259200000]]]”. 기존 파일을 덮어 쓰려면 /ow:true를 추가하세요. 정확한 채널 이름을 나열하려면 wevtutil el을 실행하세요.

Linux (systemd 저널). root 또는 systemd-journal 또는 adm 그룹의 구성원으로 실행하세요:

journalctl –since “2026-10-17 00:00” –until “2026-10-20 00:00” -o json > host-journal.json

출력은 NDJSON이며 한 줄당 하나의 항목입니다. 텍스트 syslog가 있는 호스트의 경우, /var/log/auth.log (Debian, Ubuntu) 또는 /var/log/secure (RHEL, Rocky, Alma)를 복사합니다.

2단계: 정제

열기 logtotal.com 및 파일을 로드합니다. 데이터가 업로드되기 전에 정제 작업이 브라우저에서 수행됩니다. 오픈 소스 정제기는 비밀, IP 주소, 호스트이름, 사용자 이름 및 기타 식별자를 <USER:…> 또는 <IP:…>와 같은 안정적인 HMAC 토큰으로 교체합니다. 세 명의 호스트의 동일한 사용자는 편집 후에도 하나의 엔티티로 유지됩니다. 미리보기를 검토하고, 사건 파일을 위한 정제된 사본을 다운로드하며 키를 보관합니다.

에어갭이나 엄격하게 통제된 환경에서는 동일한 라이브러리를 로컬에서 실행하세요 (Node.js 20 이상):

npx logtotal-sanitize ./auth.log -o ./auth.sanitized.log –report ./report.json –print-key

npx logtotal-sanitize ./secure.log -o ./secure.sanitized.log –key “$KEY”

키를 재사용하여 파일 간 일관성을 유지합니다.

3단계: 분석 및 발견물 읽기

정제된 스냅샷을 확인한 후 LogTotal은 이를 일회용, 불변 인스턴스에서 실행하고 이후 삭제합니다. 아무것도 저장되지 않으며, 데이터도 훈련에 사용되지 않습니다. 결과는 ATT&CK 기술에 매핑된 순위가 매겨진 공격 체인으로 돌아오며, 기본 이벤트가 첨부되어 있습니다. 플래그는 은폐 기술과 평범해 보이는 활동의 급증을 강조하며, 이는 AI 지원 침입의 일반적인 패턴입니다. 실제 정체성을 위해 내부적으로 키를 사용하여 토큰을 다시 매핑하십시오.

무엇이 돋보이는가

• 깊이: 약 1,000,000개의 탐지 규칙과 13,000개의 위협 레이블이 높은 차원 Sigma 규칙 및 에이전틱 AI와 상관관계를 가집니다.
• 속도: 1분 이내에 최대 1.7백만 이벤트. 이는 2026년 7월 경계 모델들이 처리하기를 거부한 17,000 이벤트 Hugging Face 로그 세트의 약 100배입니다.
• 프라이버시: 로컬 정화, 당신이 보유한 키, 보존 없음.
• 지속적인 범위를 위한 경로: 동일 엔진이 Prime Hunt SIEM, EDR 및 데이터 레이크 전반에 걸쳐 실행되고 Prime Detect 데이터 스트림을 SIEM 전에 처리합니다.

문제 해결