시험 직전 요약장

SIEM은 여러 시스템의 로그를 수집·정규화·상관분석하여 탐지와 조사를 지원한다. SOAR는 정해진 대응 절차를 여러 도구와 연결하고 자동화한다. 분석용 시스템과 대응 절차 자동화의 중심 역할을 구분한다.

정상을 공격으로 판단하면 오탐, 공격을 놓치면 미탐이다. 경보가 너무 많으면 실제 중요한 사건을 놓칠 수 있으므로 규칙을 조정한다. 그러나 경보 수를 줄이는 것 자체가 보안 향상의 증거는 아니다. 기록 누락이나 탐지 기능 비활성화 때문일 수도 있다.

예를 들어 여러 번의 로그인 실패 뒤 낯선 장치에서 성공하고, 직후 권한 변경과 대량 자료 조회가 발생했다면 개별 사건을 따로 볼 때보다 중요한 의심 근거가 된다. 그러나 시간상 이어졌다는 사실만으로 동일 공격자가 수행했다는 인과관계까지 확정하지는 않는다.