네트워크 로그와 상관분석 | 정보보안기사 필기

1. 로그마다 관찰한 사실이 다르다

공통적으로 발생 시각, 출발지·목적지 IP와 포트, 프로토콜, 처리 결과를 확인한다. 두 IP·두 포트·전송 프로토콜을 묶으면 5-tuple이다. 사용자·세션 ID·관찰 장비를 함께 보면 서로 다른 로그를 연결하기 쉽다.

사건 발생 시각과 수집 서버의 수신 시각은 다를 수 있다. UTC와 한국 표준시(KST, UTC+9), 장비 시계 오차, 수집 지연을 구분한다.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

장비 A: 2026-09-13 10:00:00 KST
장비 B: 2026-09-13 01:00:00 UTC

두 기록은 같은 시각이다. 표시 숫자만 비교해 9시간 차이의 사건으로 보아서는 안 된다. 원본 시각과 시간대를 보존하고 비교 기준을 맞춘다. NTP를 설정했더라도 실제 동기화 상태와 오차를 확인해야 한다.

Syslog는 서버·네트워크 장비의 이벤트를 전달·수집하는 대표 방식이다. 발생 시각, 호스트, 프로그램, Facility, Severity, 메시지 등을 포함할 수 있다.

숫자가 작을수록 심각도가 높다. 전통적인 UDP 514 전송은 유실·위조에 취약할 수 있다. TCP 전송은 전달 신뢰성을, TLS 전송은 구간의 인증·기밀성·무결성을 보강한다. 수집된 로그도 접근권한·무결성·보관 정책으로 보호한다.

다음은 학습용 사건 기록이다.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

10:00:01 방화벽: 외부 → 웹 서버 TCP 443 ALLOW
10:00:02 IDS: 의심 요청 패턴 ALERT
10:00:03 웹 서버: 해당 요청에 403 응답

방화벽은 통신을 허용했고 IDS는 패턴을 탐지했지만, 서버는 이 요청을 거부했다고 기록했다. 이 세 줄만으로 시스템 장악을 확정할 수 없다. 같은 연결인지 시각·주소·포트·요청 식별자를 맞추고, 다른 요청 결과와 호스트 변화도 확인한다.

반대로 DENY가 있다고 모든 공격 경로가 차단된 것도 아니다. DNS NOERROR만으로 주소가 반환되었다고 단정할 수 없으며, 실제 Answer 내용과 이후 접속 로그를 확인해야 한다.

외부 서버에 아래 기록이 남았다고 하자.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

01:14:08Z TCP 192.0.2.10:62014 → 203.0.113.50:443

같은 시간대 NAT 기록이 10.20.5.17:51524 ↔ 192.0.2.10:62014라면 이 연결의 내부 주소 후보는 10.20.5.17이다. 그 시각의 DHCP·VPN 할당 기록을 확인하면 단말이나 세션으로 더 좁힐 수 있다.

공인 IP 하나를 여러 단말이 공유하므로 IP만으로 사용자를 지목하면 안 된다. 정확한 시각·시간대, 전송 프로토콜, 변환 전후 IP·포트를 함께 대조한다. 내부 주소를 찾았어도 감염 단말·탈취 계정 가능성이 있으므로 실제 행위자 확정과는 구분한다.