LogTotal을 통한 로그 분석

로그 분석이란 무엇인가?

로그 분석은 운영 또는 보안 질문에 답변하기 위해 기계 생성 이벤트 기록을 수집, 파싱, 정규화 및 쿼리하는 관행을 말합니다. SOC에서는 이러한 질문이 일반적으로 좁게, 예상치 못한 출처에서 이 계정이 인증되었는가, 이 호스트가 비정상적인 자식 프로세스를 생성했는가, 데이터 전송 이전에 어떤 API 호출이 있었는가 등에 대한 답변으로 될 수 있습니다.

원자재는 이질적입니다: Windows Security 및 Sysmon의 .evtx 파일, Linux의 auth.log와 journald 출력, CEF의 방화벽 및 프록시 이벤트, AWS CloudTrail이나 Microsoft Entra ID 로그인 로그와 같은 클라우드 감사 추적이 JSON으로 내보내져 있습니다.

작동하는 로그 분석 파이프라인은 네 가지 단계로 이루어집니다:

1. 수집. 필드나 타임스탬프를 잃지 않고 소스에서 이벤트를 내보냅니다.
2. 정규화. src_ip, IpAddress, sourceIPAddress를 하나의 공통 스키마로 매핑하십시오.
3. 탐지. Sigma 또는 공급업체의 규칙을 실행하고 모든 히트를 MITRE ATT&CK 기술로 태그합니다.
4. 상관. 관련된 히트를 분석가가 검증할 수 있는 타임라인이나 공격 체인으로 그룹화합니다.

탐지 및 대응을 위한 로그 분석의 중요성

로그는 침입 후 생존하는 유일한 기록인 경우가 많습니다. EDR 텔레메트리는 갱신되고, 메모리는 재부팅 시 손실되며, 패킷 캡처는 필요한 시점에 드물게 실행됩니다. Windows 이벤트 ID 4624, 4672 및 4688, 또는 ConsoleLogin 및 CreateAccessKey와 같은 CloudTrail 호출이 일반적으로 사건 범위를 정하는 주된 증거입니다.

세 가지 압력으로 인해 로그 분석은 SIEM 기능이 아니라 핵심 SOC 기술이 됩니다:

• 볼륨. 단 하나의 사건이라도 수백만 개의 이벤트를 생성할 수 있으며, grep은 이미 찾기 위해 알고 있는 것만 찾아냅니다.
• 커버리지 갭. 계약자 노트북, OT 세그먼트 및 아무도 연결하지 않은 SaaS 테넌트는 SIEM에 포함되어 있지 않으나, 그들의 로그는 여전히 분석이 필요합니다.
• 데이터 처리. 로그는 사용자 이름, 호스트 이름, IP, 세션 쿠키 및 인증 토큰을 포함합니다. GDPR에 따라 이러한 대부분은 개인 데이터이며, 유출된 토큰은 즉각적인 접근 경로가 됩니다.

벤더 티켓에 첨부되거나 AI 채팅에 붙여넣는 모든 로그는 원래 값을 읽을 수 있는 사람과 관할 지역의 범위를 넓힙니다. 좋은 로그 분석은 두 번째 사건을 일으키지 않고도 질문에 빨리 답변합니다.

로그 분석의 짧은 역사

1980년대 초 Eric Allman이 Sendmail을 위해 작성한 Syslog는 이후 RFC 3164 (2001년) 및 RFC 5424 (2009년)로 표준화되었습니다. 20년 동안 로그 분석은 중앙 집중형 syslog 서버에서 grep과 awk를 의미했습니다.

Windows는 구조화되었습니다. Windows Vista는 XML 기반 .evtx 형식과 오늘날에도 사용되는 채널 모델로 레거시 .evt 형식을 대체했고, Sysmon (2014)은 고성능 프로세스 및 네트워크 텔레메트리를 추가했습니다.

2000년대 중반은 SIEM을 도입했습니다. ArcSight, QRadar 및 이후의 Splunk는 중앙 검색 및 상관을 제품 부문으로 만들었으며, ArcSight의 CEF는 여전히 대부분의 네트워크 장치에서 방출되고 있습니다. 2010년대에는 ELK와 CloudTrail (2013)과 같은 오픈 스택이 추가되었습니다.

2017년, Sigma는 방어자에게 공급업체 중립 규칙 형식을 제공했습니다. 같은 해, SOC Prime은 Sigma 규칙에 MITER ATT&CK 기술을 태그하고 공개 NotPetya 조사에 이 접근 방식을 적용했습니다. ATT&CK 맵핑은 이후 탐지 콘텐츠에 대한 기본 기대치가 되었습니다.

로그 분석의 방향

탐지는 상류로 이동합니다. 팀은 데이터가 SIEM에 도달하기 전에 파이프라인의 스트리밍 이벤트에서 Sigma 규칙을 실행하고 스토리지 비용을 줄이고 탐지 평균 시간을 시간에서 분으로 단축합니다.

상관은 단일 경고를 능가합니다. 고립된 저해상도 일치 항목은 노이즈입니다. 시간이 창과 호스트를 넘어 기술을 연결하는 고차원 논리는 분석가에게 확인하거나 닫을 수 있는 것을 제공합니다.

AI 트리아지에는 데이터 처리 한계가 있습니다. LLM은 프로세스 트리를 설명하고 타임라인을 잘 요약할 수 있지만, 원시 텔레메트리를 모델 공급자에게 보내는 것은 프라이버시 및 계약 문제를 제기하며, 전선 모델은 보안 콘텐츠를 명시적으로 거부할 수 있습니다. 2026년 7월 HuggingFace 사건 대응 동안 약 17,000개의 이벤트를 전선 모델에 보내려는 시도가 안전장치로 차단되었습니다.

익명화가 파이프라인 단계가 됩니다. 정적 마스킹은 상관 관계를 파괴하고, 평범한 해시는 사전 추측으로 역으로 추적할 수 있습니다. Keyed HMAC 토큰은 값을 제거하면서도 관계를 유지합니다. 예상하듯이 AI 서비스, 벤더 지원, MSSP 및 공유 데이터 레이크와 함께 외부 대상으로 보낼 때 이 단계를 앞두게 됩니다.

로그 분석의 이점

• 사건 대응자에게 빠른 범위 지정. 연관된 타임라인은 “어떤 호스트, 어떤 계정, 언제부터”라는 질문에 즉각적인 답변을 제공하여 억제 및 체류 시간을 단축합니다.
• 엔지니어를 위한 유효한 탐지. 규칙 논리에 대한 로그를 재생하여 어떤 Sigma 규칙이 발동되었는지, 어떤 것이 노이즈인지, 어떤 ATT&CK 기술에 커버리지가 없는지를 확인할 수 있습니다.
• 컴플라이언스 증거. PCI DSS 요구 사항 10, ISO/IEC 27001 제어 A.8.15 및 NIS2는 모두 보안 이벤트가 기록되고 검토될 것을 기대합니다.
• 관리자를 위한 근본 원인. 실패한 서비스를 설명하는 journalctl 출력은 종종 공격자가 악용할 수 있는 잘못된 설정을 드러냅니다.
• SIEM 비용 절감. 단기 소스를 한 번만 분석하고 온보딩하지 않아도 됩니다.
• 더 안전한 협업. 익명화된 로그는 임차인, MSSP 또는 벤더 TAC가 실질적인 정체성을 보지 않고 호스트와 사용자를 클러스터링할 수 있게 합니다.

로그 분석의 사용 사례

관리되지 않는 호스트 트리아지. EDR이 없는 계약자 노트북이 손상되었다는 의심이 듭니다. 보안, Sysmon 및 PowerShell 로그를 내보내고 자격 증명 접근(T1003), PowerShell 실행(T1059.001) 및 예약된 작업(T1053.005)에 대한 LogTotal 결과를 확인한 후 이미징하십시오.

클라우드 계정 탈취. 익숙하지 않은 ConsoleLogin 이후, 72시간의 CloudTrail 및 Entra ID 로그인 기록을 가져오고 새 액세스 키, MFA 변경 및 IAM 정책 편집을 찾습니다.

외부 IR 유지보수 담당자 및 벤더 TAC. 키를 보관하여 증거를 정화합니다. 제3자는 여전히 토큰으로 호스트와 사용자 클러스터를 만들고, 내부적으로 토큰을 매핑합니다.

탐지 엔지니어링. Atomic Red Team 또는 Caldera 로그를 재생하여 어떤 규칙이 발동되는지 확인하고, 이를 Git이나 CI 아티팩트로 도달하기 전에 고정 데이터를 정화하십시오.

프라이버시 리뷰. GDPR 제32조에 따른 기술적 측정차원기록 가능한 조치: 무엇이 대체되었는지, 토큰이 어떻게 생성되었는지, 키를 누가 보유하는지.

로그 분석 수행 방법: 플랫폼별 로그 검색 및 내보내기

아래의 모든 절차는 LogTotal이 본래 읽는 형식으로 끝납니다: EVTX, CEF, JSON/NDJSON 또는 syslog. 먼저 UTC 시간 창고와 범위를 고정하고, 각 내보내기를 해시합니다(Get-FileHash 또는 sha256sum).

Windows (EVTX). 로컬 관리자 권한으로 상승된 쉘이 필요합니다. %SystemRoot%System32winevtLogs 아래의 실시간 .evtx 파일은 이벤트 로그 서비스에 의해 잠겨 있으므로, wevtutil을 사용하여 내보냅니다:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

내보내기를 24시간으로 제한하려면 /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]”을 추가하십시오. GUI 경로: eventvwr.msc → Windows 로그 → 보안 → 모든 이벤트를 다른 이름으로 저장…

Linux (syslog 또는 NDJSON). adm / systemd-journal의 루트 또는 멤버가 필요합니다. /var/log/auth.log (Debian/Ubuntu) 또는 /var/log/secure (RHEL)를 복사하십시오. 일본어에서는 다음을 수행하십시오:

sudo journalctl –since “2026-10-20” –until “2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail (JSON). cloudtrail:LookupEvents 권한이 필요합니다. CloudTrail → 이벤트 기록 → 이벤트 다운로드 → JSON 다운로드 관리는 90일간의 이벤트를 포함합니다. 경로 버킷(s3:GetObject, kms:Decrypt)에서, 레코드를 NDJSON으로 평탄화하십시오:

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID 및 Microsoft 365 (JSON). Entra 관리 센터 → 정체 → 모니터링 및 상태 → 로그인 로그 → 다운로드 → JSON (보고서 리더 역할). Purview 감사 데이터의 경우 CSV 내보내기를 건너뛰고 JSON을 직접 가져옵니다(감사 로그 역할):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

네트워크 장치 (CEF). 장치를 CEF로 전환하고(FortiGate에서는: config log syslogd setting → set format cef) 수집기에서 CEF:0|을 포함하는 라인을 내보냅니다.

SOC Prime의 로그 분석 오퍼링

• 위협 탐지 마켓플레이스: 1,000,000개 이상의 Sigma 네이티브 탐지 규칙이 SIEM, EDR 및 데이터 레이크 언어로 번역되고 ATT&CK으로 태그됨.
• Prime Hunt: 관련 규칙을 사용하여 역사적 SIEM, EDR 및 데이터 레이크 데이터를 검색하고 결과에서 공격 체인을 추론합니다.
• Prime Detect: Sigma 규칙을 SIEM 전 스트리밍 이벤트에 실행하고 이를 실시간으로 공격 체인으로 상관합니다.
• Uncoder.IO: Sigma 및 Roota 규칙을 네이티브 쿼리로 번역합니다.
• LogTotal: 브라우저 내에서 익명화 기능으로 내보낸 로그 파일에 대한 무료, 가입 불필요한 분석.
• logtotal-sanitizer: LogTotal의 Apache 2.0 엔진이며, 온프레미스 또는 에어갭 사용을 위한 Node.js 라이브러리 및 CLI로 제공됩니다.

LogTotal은 이 가이드에서 다루는 경우를 처리합니다: SIEM 외부 소스의 파일이거나 원시 데이터를 공유할 수 없는 경우입니다. 각 분석은 SOC Prime의 DetectFlow 엔진의 일회용 전용 인스턴스에서 실행되며, 이후 삭제됩니다.

LogTotal을 이용한 로그 분석 작동 방식

LogTotal은 무료로 계정 없이 사용 가능하며, 업로드 이전에 브라우저에서 파일을 익명화합니다. SOC Prime은 분석 후 로그를 보관하지 않거나 이를 훈련용으로 사용하지 않습니다.

1. 로그 logtotal.com 현재의 Chromium, Firefox 또는 Safari 빌드에서.
2. 내보내기 로드. 드롭 .evtx, .log, .json 또는 .ndjson 파일. 포맷이 자동으로 감지됩니다.
3. 익명화 검토. 비밀, 쿠키, 결제 ID, IP, 호스트 이름, 사용자 이름 및 홈 디렉토리 경로는 <USER:…> 또는 <IP:…>와 같은 키드 HMAC-SHA-256 토큰으로 변환됩니다. 동일한 값은 동일한 토큰을 얻으므로, 열 번 살포된 계정도 여전히 열 명의 사용자처럼 보입니다.
4. 사건 파일에 대해 익명화된 복사본 다운로드 이것이 바로 분석된 것입니다.
5. 분석을 실행. 이벤트는 약 1,000,000개의 탐지 규칙 및 13,000개의 레이블에 대해 점검되고, 고차원 Sigma 규칙 및 제휴 AI와 상관됩니다. SOC Prime은 1분 이내에 최대 170만 개의 이벤트를 인용합니다.
6. 결과를 읽습니다. 탐지는 ATT&CK에 맵핑되고, 공격 체인으로 그룹화되며 AI에 의해 설명됩니다. 자격 증명 접근과 횡적 이동 결과 모두에 나타나는 토큰은 재설정할 계정입니다.

여러 호스트 또는 브라우저 업로드가 제한된 경우, Node.js 20+의 오픈 소스 CLI로 로컬에서 익명화하고, 하나의 키를 재사용하여 파일 간 토큰이 일치하도록 만듭니다:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key “$KEY”