Creating detectors

원문 보기 위키 갱신 2026.10.14

출처: 문서

본문

탐지기 생성

Security Analytics는 다양한 보안 위협을 모니터링하고 대응할 수 있는 옵션과 기능을 제공해요. 탐지기(detector)는 무엇을 찾을지, 그리고 그러한 위협에 어떻게 대응할지를 결정하는 핵심 구성 요소예요. 이 섹션에서는 탐지기의 생성과 구성 방법을 다뤄요.

기존 탐지 규칙을 다루는 방법에 대한 내용은 탐지 규칙 생성 문서를 참조하세요.

1단계. 탐지기 정의

탐지기 이름을 지정하고 데이터 소스와 탐지기 유형을 선택하면 새 탐지기를 정의할 수 있어요. 탐지기를 정의한 후에는 필드 매핑을 구성하고, 탐지기 일정을 만들고, 경보를 설정할 수 있어요.

탐지기를 정의하려면 다음 단계를 따르세요:

Security Analytics 홈 페이지나 탐지기 페이지에서 탐지기 생성을 선택하세요.
탐지기에 이름을 지정하고, 필요에 따라 설명도 추가하세요.
데이터 소스 섹션에서 로그 데이터의 소스를 하나 이상 선택하세요. 여러 데이터 소스를 선택할 때는 모두 같은 로그 유형의 로그를 담고 있어야 해요(예: 모두 Amazon S3 로그이거나 모두 Windows 로그). 로그 유형이 다르면 탐지기를 따로 만드는 것이 좋아요. 인덱스 외에도 Security Analytics는 다음과 같은 데이터 소스 유형을 지원해요:
- 별칭: 별칭을 데이터 소스로 구성할 때는 Write 인덱스 별칭에 연결되어 있어야 해요. 별칭을 사용할 때는 문서가 별칭을 통해 수집되어야 하며, 별칭이 만들어진 인덱스를 통해서는 수집되지 않도록 하세요.
- 데이터 스트림: 여러 인덱스에 걸쳐 저장되지만 단일 이름 리소스를 사용해 호출되는 시계열 데이터의 집합이에요.
데이터 소스에 와일드카드 패턴을 나타내려고 별표(*)를 사용하는 것은 권장되지 않아요. {: .note}
탐지 섹션에서 데이터 소스의 로그 유형을 선택하세요. 지원되는 로그 유형 목록은 지원되는 로그 유형을, 직접 로그 유형을 만들고 싶다면 사용자 지정 로그 유형 생성을 참조하세요.

network, cloudtrail, s3를 로그 유형으로 선택하면 시스템이 자동으로 탐지기 대시보드를 만들어요. 이 대시보드는 탐지기에 대한 시각화를 제공하고, 로그 소스 데이터에서 보안 관련 인사이트를 얻는 데 도움을 줄 수 있어요. 시각화에 대한 자세한 내용은 데이터 시각화 만들기를 참조하세요.
탐지 규칙을 확장하면 선택한 로그 유형에 사용할 수 있는 탐지 규칙 목록이 나타나요. 처음에는 모든 규칙이 기본적으로 선택되어 있어요. 다음 예는 windows 로그 유형에 연결된 규칙을 보여줘요.

{: width="100%" }

규칙을 보는 동안에는 다음 작업을 할 수 있어요:
- 규칙 이름 왼쪽의 토글을 사용해 규칙을 선택하거나 선택 해제하세요.
- 규칙 심각도와 소스 드롭다운 목록을 사용해 선택하려는 규칙을 필터링하세요.
- 검색 창을 사용해 특정 규칙을 검색하세요.
알고 있는 규칙을 한 개 이상 빠르게 선택하고 나머지는 제외하려면, 먼저 규칙 이름 토글을 꺼서 모든 규칙을 선택 해제한 뒤, 원하는 규칙 이름을 검색하고 각 규칙의 토글을 켜서 하나씩 선택하세요. {: .tip }
필드 매핑을 검토하세요. 필드 매핑이 있으면 시스템이 로그의 이벤트 데이터를 탐지기로 정확하게 전달하고, 그 데이터를 사용해 경보를 트리거할 수 있어요. 필드 매핑에 대한 자세한 내용은 필드 매핑에 대한 참고 사항 섹션을 참조하세요.
위협 인텔리전스 피드를 활성화할지 여부를 선택하세요. 위협 인텔리전스 피드는 standard 로그 유형에서만 작동해요.
탐지기 일정 섹션에서 탐지기를 얼마나 자주 실행할지에 대한 일정을 만드세요. 시간 단위와 그에 해당하는 숫자를 지정해 간격을 설정해요. 다음 이미지는 탐지기가 3분마다 실행된다는 것을 보여줘요.

{: width="40%" }
다음을 선택하세요. 경보 설정 페이지가 나타나면서 경보 트리거 설정이 표시돼요.

2단계. 경보 설정

탐지기 생성의 두 번째 단계는 경보 설정이에요. 경보는 탐지 규칙 조건 집합과 일치했을 때 잠재적인 보안 이벤트에 대한 알림을 보내는 트리거를 만들도록 구성돼요. 규칙 이름, 규칙 심각도, 태그를 어떤 조합으로든 선택해 트리거를 정의할 수 있어요. 트리거를 정의하고 나면 경보 설정에서 알림을 받을 채널을 고를 수 있고, 알림 메시지를 사용자 지정하는 옵션도 제공돼요.

탐지기가 발견 항목(findings) 생성을 시작하려면 최소한 하나의 경보 조건이 필요해요. {: .note }

발견 항목(Findings) 창에서도 경보를 구성할 수 있어요. 발견 항목 창에서 경보를 설정하는 방법은 발견 항목 목록을 참조하세요. 경보를 추가하는 마지막 방법은 탐지기를 편집해 경보 트리거 탭으로 이동하는 거예요. 여기서는 기존 경보를 편집할 수도 있고 새 경보를 추가할 수도 있어요. 자세한 내용은 탐지기 편집을 참조하세요.

탐지기에 경보를 설정하려면 다음 단계를 계속 진행하세요:

트리거 이름 상자에 트리거 이름을 입력하거나 기본 이름을 수정하세요(선택 사항).
경보에 대한 규칙 매칭을 정의하려면 보안 규칙, 심각도 수준, 태그를 선택하세요.

{: width="70%" }
- 경보를 트리거할 규칙을 하나 또는 여러 개 선택하세요. 규칙 이름 상자에 커서를 놓고 이름을 입력하면 검색할 수 있어요. 규칙 이름을 제거하려면 이름 옆의 X를 선택하세요. 모든 규칙 이름을 제거하려면 드롭다운 목록의 아래 화살표 옆에 있는 X를 선택하세요.
{: width="45%" }
- 경보 조건으로 규칙 심각도 수준을 하나 이상 선택하세요.
- 경보 조건에 포함할 태그를 목록에서 선택하세요.
경보에 대한 알림을 정의하려면 경보 심각도를 지정하고, 알림에 사용할 채널을 선택하고, 경보에 대해 생성되는 메시지를 사용자 지정하세요.

{: width="45%" }
- 경보를 받는 사람이 긴급 정도를 알 수 있도록 경보의 심각도 수준을 지정하세요.
- 알림 채널 선택 드롭다운 목록에서 알림 채널을 선택하세요. Slack, Chime, 이메일 등이 그 예시예요. 새 채널을 만들려면 필드 오른쪽의 채널 관리 링크를 선택하세요. Notifications의 채널 페이지가 새 탭에서 열리며, 여기서 채널을 편집하거나 새로 만들 수 있어요. 알림에 대한 자세한 내용은 Notifications 문서를 참조하세요.
- 알림 메시지 표시를 확장하면 메시지 기본 설정이 나타나요. 메시지 제목과 메시지 본문에는 현재 경보 구성에 대한 세부 정보가 채워져 있어요. 이 텍스트 필드를 수정해 메시지를 원하는 대로 바꿀 수 있어요. 메시지 본문 텍스트 상자 아래에서 메시지 생성을 선택하면 규칙 이름, 규칙 심각도 수준, 규칙 태그 같은 세부 정보를 메시지에 더 채울 수 있어요.
- 다른 경보 트리거 추가를 선택해 경보를 하나 더 구성하세요.
앞의 필드에서 조건 구성을 마쳤다면 화면 오른쪽 아래에서 탐지기 생성을 선택하세요.

Alerting 플러그인 통합 워크플로

기본적으로 위협 탐지기를 만들면 시스템이 Alerting 플러그인을 위한 컴포지트 모니터를 자동으로 만들고 워크플로를 트리거해요. 탐지기의 규칙은 Alerting 플러그인 모니터의 검색 쿼리로 변환되고, 모니터는 탐지기 구성에서 도출한 일정에 따라 쿼리를 실행해요.

plugins.security_analytics.enable_workflow_usage 설정으로 워크플로 기능을 켜거나 꺼서 자동 생성된 컴포지트 모니터의 동작을 바꿀 수 있어요. 이 설정은 클러스터 설정 API를 사용해 정의해요.

컴포지트 모니터와 그 워크플로에 대한 자세한 내용은 컴포지트 모니터를 참조하세요.

자동 매핑되는 필드

데이터 소스와 로그 유형을 선택하고 나면 시스템이 로그 필드와 규칙 필드 사이의 매핑을 자동으로 시도해요. 매핑된 필드 탭으로 전환하면 이 매핑 목록을 볼 수 있어요. 필드 이름끼리 서로 비슷하면 다음 이미지에서 볼 수 있듯이 시스템이 두 필드를 성공적으로 매칭해요.

자동 매핑의 필드 매핑 예시 {: width="85%" }

이런 자동 매칭은 보통 믿을 만하지만, 그래도 매핑된 필드 테이블에서 매핑을 살펴보고 올바르게, 기대한 대로 매칭됐는지 확인해 보는 것이 좋아요. 정확해 보이지 않는 매핑을 발견하면 드롭다운 목록을 사용해 올바른 필드 이름을 검색하고 선택할 수 있어요. 필드 이름 매칭에 대한 자세한 내용은 다음 섹션을 참조하세요.

필드 매핑에 대한 자세한 내용은 로그 유형 다루기 문서의 필드 매핑 정보 섹션을 참조하세요.

사용 가능한 필드

자동으로 매핑되지 않은 필드 이름은 사용 가능한 필드 테이블에 표시돼요. 이 테이블에서 다음 이미지와 같이 탐지 규칙 필드를 데이터 소스 필드에 수동으로 매핑할 수 있어요.

사용 가능한 매핑의 필드 매핑 예시 {: width="85%" }

필드를 매핑할 때는 다음 사항을 고려하세요:

탐지 규칙 필드 열에는 선택한 로그 타입과 연관된 모든 사전 패키징된 규칙을 기반으로 하는 필드 이름이 나열돼요.
데이터 소스 필드 열에는 각 detector 필드에 대한 드롭다운 목록이 있어요. 각 드롭다운 목록에는 로그 인덱스에서 추출한 필드 이름이 담겨 있어요.
detector 필드 이름을 로그 소스 필드 이름에 매핑하려면 드롭다운 화살표를 사용해 로그 소스 필드 목록을 연 다음, 목록에서 로그 필드 이름을 선택하세요. 로그 필드 목록에서 이름을 검색하려면 데이터 소스 필드 선택 상자에 텍스트를 입력하세요.
로그 소스 필드 이름을 선택해 detector 필드 이름과 매핑하고 나면, 오른쪽 상태 열의 아이콘이 경고 아이콘에서 체크 표시로 바뀌어요.
detector와 로그 소스 필드에 대한 정확한 매핑을 완성하려면 필드 이름끼리 최대한 많이 일치시키세요.

필드 이름에 관한 참고 사항

수동 필드 매핑을 직접 수행하기로 선택했다면 로그 인덱스의 필드 이름에 익숙하고, 해당 필드에 담긴 데이터가 무엇인지 이해하고 있어야 해요. 인덱스의 로그 소스 필드를 잘 이해하고 있다면 매핑은 보통 어렵지 않게 진행돼요.

Security Analytics는 보안 이벤트 탐지를 위해 사전 패키징된 Sigma 규칙을 활용해요. 따라서 필드 이름은 Sigma 규칙 필드 표준에서 파생된 것이에요. 필드 이름을 더 쉽게 식별할 수 있도록 다음 사양을 기준으로 Sigma 규칙 필드의 별칭이 만들어졌어요:

모든 로그 타입의 경우, 오픈 소스인 Elastic Common Schema(ECS)
AWS CloudTrail 및 DNS 로그 타입의 경우, Open Cybersecurity Schema Framework(OCSF)

별칭 규칙의 필드 이름은 이후 단계에서 사용되며, 매핑 테이블 내 Detector 필드 이름 열에 나열돼요.

지원되는 모든 로그 타입에 대해 Sigma 규칙의 필드 이름을 ECS 규칙의 필드 이름과 연결해 놓은 사전 정의된 매핑은 다음 리소스에서 확인할 수 있어요:

지원되는 로그 타입 참조 문서
GitHub Security Analytics 저장소. 필드 매핑을 찾으려면:
1. OSMappings 폴더로 이동하세요.
2. 해당 로그 타입에 맞는 파일을 선택하세요. 예를 들어 windows 로그 타입의 경우, Sigma 규칙에서 ECS 규칙으로 연결되는 필드 이름을 보려면 windows_logtype.json 파일을 선택하세요. 매핑에서 raw_field 값은 Sigma 규칙의 필드 이름을 나타내요.

Amazon Security Lake 로그

Amazon Security Lake는 보안 로그와 이벤트 데이터를 OCSF 형식으로 변환해서 통합된 데이터를 정규화하고 관리를 용이하게 해요. OpenSearch는 OCSF 형식의 Amazon Security Lake 로그 데이터 수집을 지원해요. Security Analytics는 OCSF 필드를 ECS(기본 필드 매핑 스키마)로 자동으로 매핑할 수 있어요.

detector 생성 시 로그 소스로 사용할 수 있는 Amazon Security Lake 로그 타입에는 AWS CloudTrail, Amazon Route 53, VPC Flow Logs가 있어요. Amazon Route 53 로그는 DNS 활동을 수집하기 때문에 detector를 정의할 때 로그 타입을 반드시 dns로 지정해야 해요. AWS CloudTrail 로그는 raw 형식과 OCSF 형식 모두로 수집될 수 있으므로 인덱스 이름을 서로 구별되고 식별하기 쉽게 지어야 해요. 그러면 Security Analytics 관련 API에서 인덱스 이름을 지정할 때 도움이 돼요.

지원되는 로그 타입은 다음 리소스에서 확인할 수 있어요:

모든 로그 타입의 경우, 오픈 소스 ECS 사양을 참고하세요.
AWS CloudTrail, DNS 로그 타입, VPC Flow Logs의 경우, OCSF를 참고하세요.

별칭 규칙의 필드 이름은 이후 단계에서 사용되며, 매핑 테이블의 Detector 필드 이름 열에 나열돼요.