보안 관제 센터 — 소규모 기업을 위한 공격 탐지와 대응(실습 환경)
공격을 탐지하고, 사건을 등록하고, 조사하는 보안 관제의 전 과정을 무료 도구로 가상의 고객을 위해 구축했습니다.
필요
보청기 센터 체인(학교 과제의 가상 고객)이 비용을 낮추면서 보안 관제를 외부에 맡기고 싶어 합니다.
아이디어
대부분의 실습 환경은 경보에서 멈춥니다. 진짜 가치는 그다음, 즉 분류, 조사, 증거 확보에 있습니다.
만든 것
- 방화벽 뒤에서 업무용 PC와 네트워크를 대상으로 하는 탐지.
- 암호화된 터널을 통해 한곳으로 모으는 로그.
- 심각한 경보를 모두 자동으로 조사할 사건으로 바꾸는, 제가 직접 작성한 스크립트.
- 디스크와 메모리 조사 도구, 그리고 매일 생성되는 보안 보고서.
결과
- 6처음부터 끝까지 연결된 구성 요소
- 7:00매일 자동 발송되는 보안 보고서
- 100%오픈소스 도구
- 실습운영 환경 적용 없음 — 솔직하게 밝힙니다
실습 환경에서는 탐지부터 조사까지 전 과정이 작동합니다. 실습으로 끝났기 때문에 보여 드릴 운영 지표는 없으며, 그 점을 분명히 말씀드리고 싶습니다.
화면으로 보기
배운 점
비용과 통제권 때문에 오픈소스를 택했지만, 그만한 대가가 있습니다. 연동은 직접 스크립트로 짜야 하고, 탐지 규칙은 하나하나 조정해야 합니다. 상용 제품이었다면 클릭 세 번이면 됐겠지만, 배운 것은 세 배 적었을 겁니다.
기술 세부 정보 기술 스택, 아키텍처, 설계 결정 — 기술 담당자용
기술 스택
- Wazuh
- Suricata
- pfSense
- Logstash
- Elasticsearch
- ElastAlert
- TheHive
- Cortex
- AlienVault OTX
- Autopsy
- Volatility
- Python
작동 방식
- Sup de Vinci 사이버보안 석사 과정(2023–2024)의 개인 프로젝트이며, 가상 고객은 AudioProthèse+입니다. 과제 요구 사항은 ISO/IEC 27001과 GDPR에 맞췄습니다.
- SIEM: PC에 설치한 Wazuh 에이전트, VPN을 통한 전송, Logstash → Elasticsearch 파이프라인, 중앙 대시보드.
- IDS/IPS: pfSense 방화벽 뒤의 Suricata, ET Open 및 Snort GPLv2 규칙 세트, AlienVault OTX의 IP 평판 피드.
- SOAR: TheHive를 REST API 기반 Python 스크립트로 Wazuh와 연결해, 심각도 기준을 넘는 Wazuh·Suricata 경보를 모두 사건으로 등록합니다. 정보 보강에는 Cortex를 사용합니다.
- Autopsy(디스크)와 Volatility(메모리)를 이용한 포렌식, 매일 7:00에 생성·발송되는 보고서.
아직 부족한 점
- 실습 환경 전용 — 운영 환경 적용 없음
- 운영 지표 없음