보안 관련 용어 :: Zero Trust, SIEM, EDR, XDR, SOAR
Zero Trust
정의: “아무것도 기본적으로 신뢰하지 않는다”는 보안 원칙. 내부망에 있다고 해서, 이미 로그인했다고 해서 자동으로 신뢰하지 않고 매 접근마다 검증함
핵심 원칙
최소 권한: 꼭 필요한 만큼만 접근 권한 부여
지속적 검증: 한 번 인증했다고 끝이 아니라 계속 확인
마이크로 세그멘테이션: 네트워크를 잘게 나눠서 한 곳이 뚫려도 전체로 퍼지지 않게 함
비유: 회사 출입증이 있어도 매 층, 매 방마다 다시 인증을 요구하는 시스템
SIEM (Security Information and Event Management)
정의: 여러 시스템(서버, 네트워크 장비, 애플리케이션 등)에서 발생하는 로그를 한 곳에 모아서 분석하고 이상 징후를 탐지하는 시스템
역할: 로그 수집, 상관 분석(여러 로그를 연결해서 패턴 발견), 알림, 대시보드 시각화
예시: 특정 계정이 짧은 시간에 여러 나라에서 로그인 시도한 로그를 SIEM이 모아서 보면 계정 탈취 의심 상황으로 탐지 가능
대표 제품: Splunk, ELK Stack(Elasticsearch, Logstash, Kibana), QRadar
EDR (Endpoint Detection and Response)
정의: 개별 컴퓨터, 서버 같은 엔드포인트에 설치해서 프로세스 실행, 파일 변경 등을 실시간으로 감시하고 악성 행위를 탐지, 대응하는 도구
기존 백신과 차이: 백신은 알려진 악성코드 패턴(시그니처) 매칭이 중심이지만, EDR은 행위 기반 탐지가 중심이라 알려지지 않은 위협도 잡아낼 가능성이 있음
기능: 실시간 모니터링, 이상 행위 탐지, 격리(감염 의심 기기를 네트워크에서 차단), 포렌식 조사 지원
XDR (Extended Detection and Response)
정의: EDR을 엔드포인트뿐 아니라 네트워크, 클라우드, 이메일 등 여러 영역까지 확장해서 통합 탐지하는 개념
EDR과 차이: EDR은 엔드포인트 하나에 집중, XDR은 여러 데이터 소스를 엮어서 더 넓은 시야로 공격을 탐지
비유: EDR이 한 방의 CCTV라면 XDR은 건물 전체 CCTV를 연동해서 보는 관제실 같은 개념
SOAR (Security Orchestration, Automation and Response)
정의: 보안 이벤트가 발생했을 때 사람이 수동으로 하던 대응 절차를 자동화하는 플랫폼
역할: 여러 보안 도구(SIEM, EDR 등)를 연동해서, 정해진 시나리오(플레이북)에 따라 자동으로 대응 수행
예시: SIEM에서 악성 IP 탐지 → SOAR가 자동으로 방화벽에 차단 규칙 추가 → 담당자에게 알림까지 자동 진행
장점: 대응 속도가 빨라지고, 반복적인 단순 작업을 자동화해서 담당자는 더 중요한 판단 업무에 집중 가능