Research Review: Beehive: Large-Scale Log Analysis for Detecting Suspicious Activity in Enterprise Networks

Analyzed Date: 2025.12.30 - 2026.01.02 Keywords: SOC, Log Analysis, Enterprise Security, Anomaly Detection, Clustering
Source: ACSAC ‘13, 2013, pp.199-208 Link

Why This Paper?

선정 배경

도메인 탐색 결과:
8주간 보안 컨설팅, OT/ICS, 클라우드 등 8개 도메인 논문을 읽은 결과, SOC(Security Operations Center) 가 나의 강점과 흥미에 가장 부합함을 확인. 이제부터는 SOC 전문성 심화를 위한 체계적 학습 단계.

이 논문을 선택한 이유:

  • 단일 시스템에서 네트워크 전체로 시야 확장: Lou et al. (2010)과 DeepLog은 단일 시스템의 로그 분석에 집중했다면, Beehive는 대규모 엔터프라이즈 네트워크 환경에서의 로그 분석을 다룸
  • 실무 SOC 환경과 직결: 실제 EMC의 대규모 환경(일일 14억 건의 로그, 1TB/day)에서 검증된 시스템
  • 이질적 로그 소스 통합 분석: Web proxy, DHCP, VPN, 도메인 컨트롤러, 안티바이러스 등 다양한 소스를 통합하는 실무 문제 해결
  • 행위 기반 탐지: 시그니처 기반이 아닌 비정상 행위 패턴 탐지로 미지의 위협(APT, 제로데이) 식별 가능

학습 목표:

  1. 대규모 이질적 로그 데이터의 정규화 및 전처리 기법 습득
  2. 엔터프라이즈 특화 피처 설계 방법론 이해
  3. 비지도 학습(클러스터링) 기반 이상탐지 접근법과 SOC 실무 적용 전략 파악

Day 1 – Research Context & Motivation

(대규모 더러운 로그에서 실제 위협 찾아내기)

1. 연구 배경: 엔터프라이즈 네트워크의 보안 가시성 문제

엔터프라이즈 환경의 복잡성 증가

  • 전통적 경계 방어 무너짐: BYOD, 계약자, 지리적 분산
  • 기존 안티바이러스 무력화: 일반 멀웨어 + APT 공격 고도화
  • 다양한 보안 제품 난립: 벤더별로 상이한 로그 포맷, 불완전하고 모순된 데이터

로그 데이터의 잠재력과 한계

  • 잠재력: 공격 발생 시 최초로 참고하는 데이터 소스 (인증 로그로 계정 탈취 감지, 웹 프록시 로그로 Drive-by Download 추적)
  • 한계: 로그가 “dirty"함 - 포맷 비일관성, 누락/모순, 대용량(TB/day), 타임존 불일치

현재 로그 분석의 문제점

  • 수동 분석 중심: 보안 전문가가 수작업으로 의심 활동 조사
  • 시그니처 의존: 알려진 위협만 탐지, 신규/변종 위협 놓침
  • 확장성 부족: 대규모 데이터 처리 불가

연구 문제의식 엔터프라이즈의 더러운 로그 데이터에서 자동으로 지식을 추출하고, 시그니처가 아닌 행위 기반으로 의심스러운 호스트 활동을 탐지할 수 있는가?

2. 핵심 개념

개념 정의 SOC 맥락에서의 의미
Dirty Logs 포맷 불일치, 누락, 모순, 대용량의 로그 데이터 실무 SOC가 직면하는 현실적 데이터 품질 문제
Behavioral Detection 시그니처가 아닌 호스트 행위 패턴 기반 탐지 미지의 위협(APT, 제로데이) 식별 가능
Security Incidents 정책 위반 또는 공격 가능성이 있는 의심 활동 SOC 분석가가 추가 조사할 대상
Dedicated Hosts 단일 사용자가 주로 사용하는 호스트 행위 프로파일링의 기준선 설정 가능
Enterprise-Specific Features 엔터프라이즈 환경의 제약(정책, 일반 직원 행위)을 활용한 피처 일반 인터넷과 달리 예측 가능한 행위 패턴 활용

3. 이론적 기반: Beehive 시스템 3계층 구조

[Layer 1: Data Normalization]

  • 타임스탬프 정규화 (UTC 통일)
  • IP-to-Host 매핑 (DHCP 바인딩)
  • 정적 IP 자동 탐지
    ↓
    [Layer 2: Feature Generation]
  • Destination-based (4개)
  • Host-based (1개)
  • Policy-based (6개)
  • Traffic-based (4개)
    → 총 15개 피처/호스트/일
    ↓
    [Layer 3: Detection via Clustering]
  • PCA로 차원 축소
  • 변형 K-means 클러스터링
  • Outlier 식별 → Incident 보고
# - - - - - - # - - - - - - - - # # B # * * # * * * # ( # e # 학 대 이 엔 S 일 2 기 # 실 S 시 정 기 L D 두 현 G 오 B # e 술 규 질 터 O 일 주 존 무 I 그 책 존 o e 실 r 탐 D e h 4 적 모 적 프 C 간 5 E 니 u e 접 적 o a e 1 i . 라 1 보 . 적 M 처 위 학 p 근 u 관 y h . v 기 실 로 이 실 . 평 안 용 반 습 e L 법 고 n 리 i e 연 여 제 그 즈 무 4 가 S 데 업 ( 과 t o 려 d : 2 v 연 는 구 * 억 에 도 O 가 이 데 스 의 g 모 사 e 구 의 * 엔 통 특 기 서 구 C 능 터 이 트 a : 두 항 T 7 – 의 가 터 합 화 여 건 가 성 를 트 리 연 l * r 8 모 설 핵 프 을 * ( 7 관 * 밍 결 . 딥 필 * u 4 R 설 델 심 라 행 * 1 8 놓 점 * 활 없 , * 러 요 t 건 e 계 검 이 위 위 T 4 친 용 이 * ( 닝 : h s : 개 증 기 즈 한 B 건 인 한 도 파 2 중 e 요 여 피 ) 위 사 일 0 블 D 부 a 더 방 로 체 처 인 협 이 자 신 1 랙 e 재 3 r 러 식 그 계 로 시 트 동 규 공 0 박 e 5 c 운 이 적 설 그 던 식 화 유 ) 스 p 문 . h 데 계 트 별 된 위 , : L 제 3 데 아 이 전 → : 협 → o : 3 M 이 닌 터 처 프 탐 이 성 단 g % o 터 의 리 레 8 지 7 상 탐 인 일 B 는 실 가 d 를 임 천 , 8 탐 지 e 제 e * " 방 워 만 4 지 콘 시 e 정 비 l 깨 엔 B 법 크 이 건 ( 텐 스 h 확 엔 악 , 끗 지 i 론 건 파 D 츠 템 i 도 터 성 한 니 g 으 중 중 이 G v , 프 H 어 제 로 프 A 등 불 e 라 자 y 인 링 D 시 2 단 라 ) 변 : B 이 동 p 텔 a 7 5 인 기 성 e 즈 화 o 리 시 t 4 . 8 반 자 설 e 는 t 전 스 a % 2 건 구 동 → 명 h 프 h 스 템 " 5 만 축 멀 i 이 로 e 로 감 % 웨 식 B 가 v 미 세 s ) 설 보 축 가 기 가 어 별 e 능 e 스 e * 계 안 하 존 능 로 e 한 는 방 s 면 멀 등 h 어 → , 연 분 서 웨 도 ) 컴 i 피 대 구 석 도 어 구 플 v 처 규 중 추 a * 가 라 e 모 이 가 n * 최 탐 또 이 : 기 므 d 로 초 지 는 탐 언 반 확 로 필 , 지 스 네 장 터 M 연 정 추 트 클 성 알 링 e 대 구 확 가 강 워 러 려 t 규 도 화 크 스 + 진 필 h 모 조 터 요 o 유 사 전 링 설 위 d 로 지 체 명 협 o 그 필 력 l 요 행 흔 o 분 위 적 g 석 이 y 패 문 턴 적 제 음 를 → 해 결 수 하 동 기 레 위 이 한 블 링 3 계 불 층 가 피 파 이 프 라 인 을 제 안 한 다 .

[입력: Raw Logs from Multiple Sources]
↓
[Layer 1: Data Normalization & Preprocessing]

  • Timestamp Normalization
  • IP-to-Host Mapping (Dynamic + Static)
  • Dedicated Host Identification
    ↓
    [Layer 2: Feature Extraction]
  • 15 enterprise-specific features per host/day
    ↓
    [Layer 3: Unsupervised Detection]
  • PCA (dimensionality reduction)
  • Modified K-means clustering
  • Outlier identification
    ↓
    [출력: Security Incidents for SOC Investigation]
- - - # 이 # # - - - - - - - # 문 * # # # * * * # * 제 설 시 확 실 # 논 가 # # 로 로 데 일 일 웹 로 비 식 데 웹 # B : 계 그 장 무 문 정 * * * * # 그 그 * * * * * 이 일 일 그 표 별 이 # 1 니 성 2 은 A A A A 3 W D V W A 터 프 의 준 자 터 프 . 글 철 처 중 . | 1 2 3 4 . A 소 타 e H P i n 평 약 록 록 B 로 학 우 심 전 : : : : . 스 입 b C N n t 규 균 시 특 타 불 누 시 . 타 벌 * 불 선 : 연 통 내 연 * P * d i 모 1 성 임 일 락 임 * 필 : 구 적 용 E O L F 구 데 P * * o v 1 T 로 스 치 / 경 데 스 엔 요 S 인 n u o e 이 r * w i ( 4 B 그 및 탬 : 순 고 이 탬 터 : 일 O 가 | t t g a 방 터 수 o | s r E 억 의 : 프 서 터 프 프 일 C 설 가 e l t 법 집 x | u M 문 : I 페 라 알 설 근 r i C u 론 수 y 원 D s C 건 로 일 제 P 뒤 이 정 정 이 려 T 분 거 p e o r 집 정 * I 격 o * 의 그 일 점 장 바 지 규 규 즈 지 B 석 검 r r r e 보 * P m * 기 * 비 주 뀜 : 화 화 에 지 급 가 증 | i s r ( 접 a 준 로 데 3 * 별 소 : * 서 가 s e S D | | 할 속 i | ) 그 이 억 로 , 알 ( * 않 데 연 e I l u a 당 n * 터 네 려 D 장 은 이 즉 구 n a f t 용 모 / 로 멀 * 메 건 로 호 트 지 a 비 터 시 가 B d t f a 도 든 해 그 C 웨 시 컬 스 워 지 t 들 위 e i i i 제 o 어 지 ( 트 크 a 이 협 처 조 아 h c o c C | 외 | n 6 시 명 않 도 리 사 니 a a n i o 부 이 t 스 0 간 , 지 은 N 다 므 v t e l 력 비 r 캔 0 , 연 o 른 행 가 가 로 i e F n l 연 정 o G 사 , 사 r 위 능 능 o e c e 결 | 상 l 결 B U 용 이 m 타 한 한 명 r T a y c l 과 ) T 자 버 트 a 임 패 시 h s * t ( I 위 e C 명 퍼 l 존 턴 효 a 적 C r i * i I P 치 r | 링 접 i 으 율 c o e b o P - s 등 혼 속 z 사 로 적 t 가 n a i | n , t 접 * 기 용 a 용 i 설 s t l ) o 근 * 존 혼 시 t 탐 알 o 이 t s i 1 도 - 재 i 지 고 n r * t 5 메 H 탐 | 도 사 o 리 a 없 a * y 개 인 o 지 구 용 n 즘 b 으 i * , s 인 와 자 ) l 나 n 피 t | 증 가 e , t 처 U 비 * 정 | R 매 시 교 정 i * 상 d L 핑 도 책 n * 타 e , 검 t 암 | 행 임 s | 로 증 동 e 묵 위 스 t H 그 의 l 적 엔 에 탬 i T | 해 l 터 서 프 n T | 야 i 가 프 a P g 정 라 크 정 t D 접 e ( 이 게 규 i 헤 e 근 n A 즈 화 o 더 d c s 벗 와 n , i 가 e s 환 어 / c 능 u 경 난 I h U a 제 m 의 P o s t ( 공 p o - s e e C t 호 u H t r d h i 스 t o / - a o 트 l s p A H l n i t o g o l s 행 e l e s e ) 위 r 매 i n t n * 는 는 핑 c t g * 을 y , 식 e 을 정 멀 / 별 d 책 웨 통 t 평 , 다 과 어 해 r 판 → 음 a 계 과 직 감 이 f 점 정 C 원 염 질 f 수 o 같 적 i ) 탈 n 이 업 또 c 취 s 무 는 로 - | e 정 그 b 의 n 리 패 정 를 a 외 심 t 할 턴 책 s 부 e 으 호 e | d 수 로 위 스 d 통 ) 반 트 ) 신 있 인 일 가 다 해 단 행 : 가 위 호 위 일 능 로 스 반 성 트 분 이 통 의 석 인 합 의 터 높 보 넷 다 가 안 핵 보 능 심 다 | 하 관 다 련 | 훨 비 씬 지 | 행 도 위 제 S 를 약 학 I 적 습 E 충 이 으 M 분 다 로 히 수 | 사 신 표 전 현 대 시 한 부 레 각 다 분 이 과 블 | 직 D 원 없 H E 이 이 C M 도 P C 유 사 의 로 내 한 심 그 부 를 직 활 멀 무 동 활 웨 용 어 수 식 한 행 별 사 시 례 → 가 간 능 적 및 정 상 | 상 정 관 책 행 관 위 계 위 반 클 분 러 석 패 스 턴 터 | 관 형 찰 성 기 가 반 능 설 | 계 |

해결책:

  1. SIEM이 로그 수신 시각 t_siem 기록 (UTC)
  2. 각 장비별로 Δ_i = t_siem,i - t_device,i 계산 (30분 단위로 반올림)
  3. 다수를 차지하는 Δ_correction 값 식별
  4. 정규화: t_normalized,i = t_device,i + Δ_correction
효 문 해 과 * 제 결 : B : 책 2 : 모 . D 든 H I C 로 P P 그 - 로 를 t o 동 U - 적 T H C o I s P 기 t 준 할 으 매 당 로 핑 → 통 ( 일 D 같 하 H 은 여 C P I 시 P 간 기 가 적 반 ) 시 상 * 간 관 * 에 관 계 따 라 분 석 다 른 가 능 호 스 트 에 할 당 됨
  1. DHCP 서버 로그 분석
  2. 바인딩 DB 구축: {IP, hostname, MAC, start_time, end_time}
  3. 로그의 (IP, timestamp) → hostname 매핑
  4. 매일 업데이트하여 최신 바인딩 유지
문 B * 제 o B : o 3 t . 정 s 적 t 정 r 적 I a P p I P 목 알 록 고 자 이 리 동 즘 없 : 탐 거 지 나 * * 오 래 됨
  1. A = 모든 로그에서 발견된 IP 집합
  2. D = DHCP/VPN 로그의 동적 IP 집합
  3. S = A - D (잠재적 정적 IP)
  4. S의 각 IP에 대해 역방향 DNS 조회 → hostname 저장
정 제 알 고 리 즘 ( 매 일 실 행 ) :
  1. 새로운 로그로 A, D 업데이트
  2. S = A - D 재계산
  3. S의 각 IP 역방향 DNS 조회
  4. 이전 hostname과 비교:
    • 변경됨 → S에서 제거 (동적 IP였음)
    • 동일함 → S에 유지 (정적 IP 확률 높음)
목 방 * 적 법 B : : 4 . 단 일 D e 사 d 용 i 자 c 가 a t 주 e 로 d 사 H 용 o 하 s 는 t 호 식 스 별 트 * 만 * 분 석 ( 공 용 호 스 트 제 외 )
  1. Windows 도메인 컨트롤러의 인증 로그 3개월간 수집
  2. 각 호스트별로 사용자별 인증 빈도 계산
  3. 단일 사용자 인증이 95% 이상 → Dedicated Host로 분류
결 # - - - 핵 화 - - 도 - - - - 근 웹 1 2 3 정 임 과 # * * * 심 이 메 * 거 * . . . * 의 계 : # 피 E 엔 호 1 C 피 트 1 결 인 2 f R 최 C 피 : C 프 피 C : 값 # 처 M 터 스 5 1 아 처 * * * * 리 주 과 n a a 적 2 처 * 3 록 처 * * * * * * 4 * * E C 프 트 개 . 이 F F F F 스 일 : " d v w 화 . F 엔 . 시 * * * F F F F F F . S B 설 M C 설 라 별 디 | 1 2 3 4 트 F - i | 5 터 B C C | 6 7 8 9 1 1 p u 정 C . 계 내 이 피 D 어 : : : : 학 일 o l c I 후 H : 프 P 정 l h o : : : : 0 1 T i r 에 부 즈 일 처 e : 설 구 습 일 l e o P : o 설 라 o 책 o a n 설 : : r k s ( 서 피 원 의 일 s 명 N N U F 축 d v n 는 s 명 N 이 l c l s 명 B B C C a e t 1 처 칙 환 상 t 새 e e n r : 기 3 i e 일 t e 즈 i 단 k l e l l h h C C f * * 주 7 * 알 경 1 세 i 롭 | w w p a 간 억 n l 요 해 일 - | w 는 c 계 e e n | o o a a o o f * * 일 8 추 * 려 5 * n 거 o c g 청 석 B y : d n t c c l l n n i : : , 출 진 특 개 * a 나 계 D D p t 동 건 " 도 하 처 a 계 U 소 - * g e k k l l s s c 전 0 성 t 산 e e u i 안 : 메 무 지 리 s 산 s 프 B * e d e e e e e e - 1 연 체 0 ( 멀 피 i 드 s s l o 로 인 시 e e 트 a : d * d d n n n n B 분 속 0 F 웨 활 처 o 문 방 t t a n 1 그 으 않 시 d 방 r 웨 s * * g g t t a 된 D 대 e 어 용 n 법 i s r 0 로 고 간 법 - 어 e 낮 * : D C e e e e s 동 e a : 벡 - 외 n o 0 → F A d 은 : o o d d d d e 안 s d 이 t 행 터 B 부 | a w R f 대 통 항 1 e | g 구 사 m n d p i 상 u 위 엄 a t / a 8 합 상 5 a e 성 F 평 미 용 a n D C D C 비 i c 의 r 격 생 s 목 i o w U 이 천 시 t n 이 e 판 분 자 i e o o o o F 정 k a e 및 한 성 e 적 o n 상 만 ( " 간 u t a 류 가 n c m n m n e 상 e t D d 지 n W I p r n r 동 t 또 s t a n a n a 적 e e E 정 방 s h P o 호 건 a e → e S 질 u 는 사 정 * i i e i e t 으 구 d d x 책 화 F 접 * i p 스 으 n w t 적 r 이 책 * o n c n c u 로 간 i t 벽 e 속 * t D u 트 로 d " 5 ( r e 금 트 n s t s t r H c r 위 , a 은 e e l 가 o 로 시 1 i → s 지 동 | s * i * i e 높 o a a 반 t | l s a 7 m 간 개 n → 의 * * o * o s 은 s t c 업 u 의 i t r 접 4 간 , ) g 새 ( 카 차 * n n t e t 패 무 r 심 처 s s 속 % s 주 * s 6 테 경 클 단 | s | s ( 트 d i 턴 e 스 음 t * R 한 u 히 * * U 개 고 고 릭 된 | * * 4 래 분 o 중 s 러 e * a 감 b 스 * A ) 리 경 * 동 * 개 픽 석 H n 관 심 움 접 d w 도 축 d 토 는 * 페 후 도 차 고 의 ) ) o ) 찰 ( 속 | 메 o 리 | * → 이 메 단 | | * 발 : s 활 4 ( 하 R I 인 m 무 지 접 인 된 받 후 * 생 t 기 동 개 C 는 e U P / a 크 새 단 자 속 은 경 동 반 , ) & f n * 서 i 기 로 동 표 수 연 고 접 의 식 * C 외 e p * 브 n 운 소 시 결 도 속 별 동 * 부 r o 넷 4 프 차 | 메 받 한 후 질 서 e p | 필 . U 트 단 수 인 은 적 버 목 r u 터 3 s 웨 도 접 , 적 * l 전 링 M e 어 | 수 연 메 속 소 지 * a 체 ) r 결 인 한 프 손 r → - 설 | 트 상 수 | 한 u A 치 수 수 연 웨 된 n 2 g 결 어 | W I p . e 의 사 h P o 7 n 심 수 구 이 1 i p M t 성 트 개 t 주 u | ) 월 e 소 l ( 문 l a 4 자 히 i 목 r 개 열 스 s 적 월 토 t 지 목 ) 수 리 e 적 에 d 수 지 | 없 R | 중 호 는 e 스 f 화 I 트 도 e 이 P 별 메 r 트 인 e 리 주 U r 스 소 A 수 트 없 비 히 | 이 외 율 스 토 접 I | 리 속 P ( 한 F 1 주 3 개 새 소 월 / ) 목 접 에 적 속 ( 서 지 t 수 o E 수 t d | a i | l t F u D 1 n i p s 중 o t p a H u n T l c T a e P r 로 R d 비 e e 교 f s e t | r i e n r a 가 t i 화 o 이 n 트 s 리 ) 스 트 에 없 는 경 우 |

Connection Spike 임계값: 101 connections/min (90% 백분위수)
Domain Spike 임계값: 17 domains/min (90% 백분위수)
Burst 내부 Spike 임계값 (완화): 26 connections/min, 6 domains/min (75% 백분위수)

# 목 - 방 # * 적 법 피 # D : 예 : 처 * * * * # 1 : F F F F . 피 | 1 1 1 1 D 처 D 2 3 4 5 . P o 설 : : : : C 간 m 명 탐 A a C D C D 지 의 i | o o o o ( 존 n n m n m 알 P 성 n a n a 고 r s e i e i 리 i 제 p c n c n 즘 n 거 i t t c k i S i B ( i 및 e o p o u D p n i n r e a 차 발 k s t l 원 생 S e B t e p s u s c C 축 시 i * r * t o 소 k * s * i m c e t o p o s | s | n o n * * n n * D * 가 v e e o 장 i n c | m | a t t a 긴 i C i 가 C A o o n 장 d l n n n o u a n s 긴 m s l s e p a t y p c i c i e s i t k o n r i k i e n i s e o n b n ) 도 n 발 e u g * 생 c r ) * 발 s t s 생 p 횟 i t i 수 o ( k n 지 상 e | 속 관 b 관 발 u 시 계 생 r 간 ) s 횟 t | 수 지 | 속 시 간 |
  1. 각 호스트를 15차원 벡터 v = (v[1], …, v[15])로 표현
  2. PCA로 주성분 추출
  3. 데이터 분산의 95% 이상 보존하는 상위 m개 주성분 선택
  4. 원본 벡터를 m차원으로 투영
기 B * 존 e D e 2 K h . - i m v M e e o a 의 d n i s 변 f 형 i 문 e 제 알 d : 고 리 K 클 즘 - 러 : m 스 e 터 a n 수 s k C 를 l u 사 s 전 t e 지 r 정 i n 필 g 요 * *

  1. 무작위로 벡터 하나를 첫 클러스터 허브로 선택
    모든 벡터를 이 클러스터에 할당

  2. 자신의 허브에서 가장 먼 벡터를 새 허브로 선택
    모든 벡터를 가장 가까운 허브에 재할당

  3. 반복 종료 조건:
    모든 벡터가 자신의 허브로부터의 거리 < (평균 허브 간 거리)/2

  4. 거리 측정: L1 distance (Manhattan distance)
    L1Dist(v1, v2) = Σ|v1[i] - v2[i]|

결 - - 과 * : 1 나 E 회 머 x 지 t 반 : r 복 e 소 m 후 수 e : 의 O 대 o u 다 u t 수 t l l i 호 i e 스 e r 트 r 처 → 클 리 러 * 하 스 * 나 터 : 의 ( 큰 의 심 정 상 활 동 클 ) 러 스 터

IF 클러스터가 2개만 생성됨 (하나는 단일 노드, 나머지는 전부):
가장 큰 클러스터에 PCA + 클러스터링 재적용
최소 50개 outlier 호스트 식별될 때까지 반복

- - - # 장 1 2 3 4 한 1 2 3 * # * 점 . . . . 계 . . . * * 인 클 상 S # 방 : : 기 도 S 시 러 위 O 법 존 구 * * * O 던 스 C 4 론 * * * * * * * S A B C 트 터 o . 의 확 설 레 엔 G 초 정 S | I n e 는 u 분 장 명 이 터 r 기 적 O E t e W 생 t 석 S 실 성 블 프 o C 탐 M i h o 성 o l 가 O 무 * 가 라 u 학 환 지 v i r * u i 에 C * 능 불 이 n 습 경 툴 ( i v k * t e 게 적 : 성 필 즈 d 과 방 기 r e f : l r 관 용 * 요 기 가 의 식 존 u * l i 전 점 성 일 * * 특 T 간 정 ) s * o e 호 달 * 일 : * 화 r * * 차 | * * w r 스 인 * : * u * * 별 * 트 사 T 1 * t : : 점 강 통 정 들 이 B 5 비 : h * 점 행 합 도 을 트 급 개 지 히 조 * 위 에 도 일 부 스 직 | 시 시 전 인 데 명 반 재 토 그 그 기 략 따 시 이 확 학 * 리 구 약 니 니 반 * 라 던 터 한 습 인 * 조 점 처 처 * 트 를 으 터 : 구 / 클 자 로 피 로 넷 축 정 | + 기 러 연 5 처 실 에 책 반 스 스 보 시 사 환 제 룰 터 럽 고 간 → 전 경 1 급 | 링 게 에 평 개 변 기 내 S 학 서 가 월 반 알 | 순 O 습 는 는 , 시 려 서 처 C | 진 미 화 리 데 작 수 화 재 지 됨 분 이 동 동 이 학 알 멀 의 ( 석 터 트 습 려 웨 ( 타 가 안 검 리 진 어 위 가 임 가 없 증 스 필 협 장 스 이 함 트 요 위 차 탬 왜 도 의 에 협 단 탐 먼 프 → 존 지 의 적 1 정 | , 노 정 심 용 기 ( 주 확 드 규 스 업 다 일 히 제 정 부 화 러 가 음 로 책 터 운 능 정 필 탐 데 + 지 책 D 요 지 이 위 식 / a 반 별 화 즉 행 y | 무 ) 이 시 위 력 식 트 3 신 별 리 이 제 에 규 | 스 해 약 서 / | 팅 변 가 활 다 종 오 최 능 용 룰 탐 적 놓 화 예 침 가 ) v 정 능 s ) | 성 . ( D 수 e 동 e p 검 L 증 o g 필 요 블 ) 랙 박 스 )

[Tier 1: Automated Detection]
SIEM Alerts + AV Alerts + Beehive Daily Incidents
↓
[Tier 2: Triage & Investigation]

  • Beehive 클러스터 컨텍스트 확인 (평균 피처, 호스트 수)
  • 원본 로그 조회 (UA, HTTP status, referer, 타이밍)
  • 외부 평판 체크 (McAfee SiteAdvisor, URLVoid, DomainTools)
    ↓
    [Tier 3: Incident Response]
  • 악성 확인 → 격리/치료
  • 정책 위반 → HR 통보
  • 의심 활동 → 상위 SOC로 에스컬레이션
- - - # # # # - - - - - - - - 능 # # - - - - 이 # - - 클 - - - 같 # 논 # - - - # 정 # 3 대 - - - 이 # # 논 * # ( # # * * * * 동 # # * * 게 # * * 러 은 # 문 # * # * * 책 # 5 * 부 런 # # * 문 * 다 B 멀 기 R 실 # # 시 기 데 일 분 웹 D D 활 평 주 실 적 # # 생 총 평 표 기 7 # M 1 나 흥 스 C C C # 에 # 카 첫 실 정 오 # 가 위 실 # . 오 핵 분 금 D 뉴 # # 4 에 호 음 e 웨 존 e * * * D 전 # 스 간 이 일 석 H e 성 일 말 험 # 성 균 준 존 8 * 정 # o 회 머 미 터 l l l 문 서 # 테 * * * * 제 책 탐 # 장 반 * * * * * * * * * 무 위 # 3 탐 * * * 심 융 e 스 건 # 월 서 스 e 어 s A K S a 1 템 : 터 프 C d : : 공 2 된 7 편 4 7 말 d 지 로 가 u u u 제 3 는 고 M S P O 느 : B S I G R P P F T 반 3 A B U 오 v 4 트 학 h , 보 e n e o y 검 . A : 평 대 록 P i 호 전 격 . A 8 5 차 도 건 7 B i 반 : 운 s s s 를 . A 리 a u o t 낌 위 위 B 많 유 l t n a e o r i u 시 C % 유 u r n 인 탐 팀 O 사 . A 2 가 습 i 안 a a y u 증 . 규 2 균 상 시 , c 스 2 9 략 . 인 4 6 구 6 놀 . f 복 자 t t t 7 . l s l h : 협 반 3 . 이 형 o r s m m r o l n 사 중 . 가 형 t o c 사 이 이 p 이 * . 4 장 4 v 정 r l w r 3 : 평 모 0 6 : : a 트 7 , : 주 주 시 건 건 6 와 중 건 라 i 소 관 연 e e e 가 인 8 | w p i e * ( : 5 c e t i o n x e n 점 o w a 이 s 트 화 멀 일 대 방 e 책 도 c y o c 가 E : 1 T * 로 V t , 0 * 입 요 전 던 / . 의 ( 운 클 e 후 수 찰 스 r r r 진 시 4 1 a i c r * M % 정 탐 | k a a n t o y e : 스 비 오 | m s t 트 " 돌 이 웨 D 인 의 향 가 구 h z r e – 7 M * 3 B 1 * 그 P e 수 0 0 * 이 체 트 ( 일 8 단 9 러 d : 의 : 럽 던 건 차 건 r c y a 거 책 지 e m n g e g * s l * 트 악 탐 a i e : 자 리 팀 크 트 어 G 사 상 위 와 e d : 8 환 C * 년 4 : N d : 0 0 발 : 2 8 비 8 부 스 * 게 3 6 8 호 트 을 수 e i ( l 의 → 된 건 d i t * r * h i * 리 성 이 건 t n g * 동 는 의 롤 리 A 례 적 피 ( 실 반 의 R d s * E 4 경 이 억 , * 0 ~ 아 견 인 * 주 교 8 . 분 터 K 대 o * : : : 스 분 o V 비 w 위 수 n * a a a n 밍 라 수 e g o * 화 러 스 탐 : 인 처 D 제 , e : * m 건 테 4 상 일 H * ~ 1 닌 시 * 간 → : 건 9 이 링 - 다 u 트 분 수 류 | u i 악 a 4 이 반 정 s g M c p | r g 이 오 고 d r 시 모 트 지 기 a 비 v D * p 의 ( 스 월 의 건 일 도 o 3 0 ( 던 ) * 만 8 다 m 수 t * 차 D D 들 류 동 : s o 성 r 0 건 책 | i * e | c h i * 탐 | ( i 프 장 니 에 반 C 부 벡 y E 오 교 i a * A i E 트 의 메 s 5 , K 트 일 * % . 패 e l 행 단 G G 이 으 비 l ) e % 상 t * s e y 4 n * 가 했 p 정 z 로 터 성 l 분 터 M 탐 e t C r 인 x 베 2 로 3 인 t , 1 * e 별 기 ) 턴 a 호 i 위 된 A A 결 로 연 율 a * 좀 세 위 비 e s 1 s * g 장 분 는 비 r 상 e 세 데 링 등 과 멀 u 이 : 3 C 검 w e S S i 시 p 드 2 그 로 억 s 0 0 실 y 통 존 은 최 의 n 스 e 알 과 구 1 t * + → 반 율 s | a 3 s 류 데 율 o ) d 스 이 록 웨 s 다 * 분 증 : : O A c 던 e 일 그 컨 : 0 0 제 계 변 신 s 트 r 유 사 멀 멀 아 일 팀 | 1 | i 많 분 : * g * 많 , c * " 터 도 * 분 어 t . * P 환 류 * C C a 트 r 데 건 트 0 대 F 동 보 B 특 형 이 웨 웨 서 일 7 S 컴 은 류 * | * 8 i 0 1 다 | e * s 다 구 * 석 의 e r 경 B * , l 가 i ~ 이 메 롤 7 대 운 i 이 안 e 안 성 결 → 클 별 트 어 어 이 수 의 8 n u 플 데 * 6 n . 는 자 s i . 수 하 r C e 에 비 e ' m 터 시 ( 러 8 영 n e 티 과 러 로 모 동 미 | 1 * 2 s 라 , 설 | g 1 6 5 | 세 원 s | t 집 면 완 l v 서 율 e 2 L 1 R 말 e 5 지 6 , , d 크 도 h 바 : 하 스 과 ( ( 인 조 * 7 p 이 명 . 1 2 게 히 인 e e 예 벽 6 u i h 0 o 3 e 하 n 월 0 0 환 i 지 구 i 이 * 나 터 분 다 4 다 다 사 레 | 1 | 7 i 언 어 1 6 8 | % 0 s 6 s 를 스 해 한 * s e 2 i 2 g , s 는 t ( 0 안 0 경 n 가 v 러 * 의 리 대 른 는 했 이 4 | c 스 떻 | 3 1 5 . 재 보 | * 3 * 크 결 * t w 주 v 5 u a 5 약 G 티 0 의 g 않 e 스 ( * 접 다 블 . 1 | i 게 3 0 % | 0 1 미 면 * * 들 립 된 포 e ) 간 e . A 2 l 것 l 일 B 바 대 s 음 탐 만 , 큰 의 * 근 모 변 게 . 링 9 0 3 o 관 . . 0 2 있 : | 어 트 다 착 r * : 1 n 0 t ) 1 ) 이 자 ) 지 심 된 두 종 2 . 0 3 u 리 줄 9 5 | 1 7 프 . % 다 | : . * 생 2 a 1 s * S ( T 러 이 연 발 S 정 다 ! ) 신 E % 3 9 5 s 일 6 6 . 6 록 2 . 8 6 성 L . l 3 e 2 B 스 상 스 ( 견 I 상 활 . ) 기 M 3 . ) 도 까 1 % 온 0 % 시 5 | 1 . 5 오 을 한 a 3 y , a t 주 ) 러 1 ! E 동 하 C | % | 3 : 구 ? 6 | 라 2 로 % 직 5 0 7 탐 r 1 s n u ) 로 운 . * M 클 ) 예 다 의 3 로 . 인 % | V 원 7 3 률 보 7 g i p d p 그 0 * , 러 를 . 확 | 3 % 2 도 9 7 방 | P 들 % | 면 8 e s p ) 위 2 스 S 인 9 5 6 대 . 게 | 성 화 N 이 | 3 : 4 - , . H 협 % 방 터 들 O 된 원 . . 쓸 % 용 1 임 인 벽 P | 7 5 건 S 1 y ) 화 어 C 인 4 2 량 4 T 2 터 회 2 . % 의 c E 9 p 탐 벽 : 멀 1 오 5 수 | % | e 콘 우 P 널 사 0 매 2 a n 9 o 지 팀 웨 불 % 탐 % 비 a 텐 회 링 에 . 우 7 → 인 l t - t * 다 과 어 명 있 차 디 | m 츠 파 서 0 % 시 e e 2 h * , | 또 → 겠 단 오 V 시 일 서 2 활 1 던 r 0 e 에 돌 협 감 는 다 된 비 i | 도 비 유 % 발 | 5 트 L p 8 s 아 업 염 추 회 4 스 승 e 공 스 튜 한 % o r i 집 가 해 가 사 비 건 사 트 인 w | 유 브 | 평 분 g i [ s 중 는 서 | 악 이 리 e | 정 판 정 석 s L . 조 정 성 중 트 밍 메 r | 보 자 상 도 A e i T 환 2 사 책 신 는 동 정 로 결 n n e 이 경 단 자 1 반 ( 저 같 화 브 보 과 a S k s 게 에 계 필 위 동 건 복 Y 은 걸 라 줄 l e ] t 서 요 반 화 은 o ( 스 우 없 일 y c ( i 핵 도 검 접 u S 원 자 크 징 는 s u h n 심 증 진 근 T k 격 동 립 수 i r t g 이 B 짜 u y 으 트 | 신 s i t 다 e 프 시 b p 접 로 규 있 t p . e 로 문 도 e e 속 ( 을 f y s h 세 제 , , 잡 뉴 사 o , : 실 i 스 ! | 도 아 스 이 것 r / 험 v 를 N W 구 낸 트 A / 실 e e h 다 크 같 D n d 에 가 거 t a | . 롤 | 다 e o o 서 쳤 f t 러 . t m i 거 다 l s H , e a . 만 의 고 i A R c l o 든 x p 금 t y r 모 한 p 팀 융 i g 가 든 다 등 이 n D / 짜 . ) 등 데 g e 1 새 ) 좋 이 t 0 공 로 아 터 S e . 격 운 할 u c 1 이 수 s t 1 이 듯 집 p i 4 아 상 . i o 5 니 을 등 c n / 라 ) i , 2 , 찾 o 5 아 u C 2 진 냈 s l 3 짜 다 u 6 . A s 4 회 c t 9 사 t e . 에 i r 2 서 v i 5 i n 2 돌 t g 3 아 y 6 가 7 는 i 0 n ) 시 스 E 템 n 의 t e 진 r 짜 p r 로 i 그 s 를 e 분 N 석 e 한 t 다 w . o r k s

Host 1: F1=247, F2=247, F8=156, F9=163
Host 2: F1=200, F2=200, F8=142, F9=170
Host 3: F1=239, F2=239, F8=153, F9=177
Host 4: F1=214, F2=214, F8=142, F9=147

- - - 전 봇 - - - - - - D - - 이 # D 총 # 논 # 피 * * 형 넷 * * * e # G # 문 # * 처 해 F F F 판 적 이 기 안 방 S B C 같 총 왜 s 정 D 차 # A 1 # # C 석 1 2 8 정 인 존 티 화 I e l 은 t 상 G 이 # * * 1 F # l 벡 : , : C 바 벽 E e u 1 B i A 가 외 A 기 7 5 i u 터 * ( ( * & 도 이 : M h s 날 0 e n 호 B 에 d 타 건 . g 클 s * N N F * * C 구 러 : i t 개 e a 스 감 너 . 도 w 의 u 러 t 예 e e 9 D 스 일 v e C h t 트 염 무 : a 멀 클 r 스 e 시 w w G 서 결 : 부 너 e r l 이 i i : 기 r 웨 확 러 e 터 r ( A 버 과 무 u 상 v o 호 명 타 e 어 인 스 별 ( D D C 를 : 탐 C 결 6 s 의 e n 하 스 확 / * 된 터 4 3 2 e e h ( * 지 & 많 과 의 t 가 - 루 트 해 멀 S * 를 특 : 개 s s a D 찾 * C 은 : e 감 b 에 : 서 웨 p : 멀 상 징 t t l o 기 못 * 4 r 염 잡 a 어 y 웨 세 보 정 호 i s l m 함 도 로 * 대 았 s 새 하 클 w 9 어 면 책 스 n e a 위 메 그 1 호 을 e 루 러 탐 a 건 분 트 a w n i 해 ( 인 라 호 , 스 까 d 도 에 스 지 r 중 석 4 위 ) t / g n 제 스 트 ? 메 터 e ( : 월 반 : i o e 무 로 차 못 트 8 * f 인 2 링 * S 대 o d G 작 데 단 에 식 * e 0 에 * u 부 4 2 - n R e 위 이 했 봄 서 별 a 1 0 서 : s 분 월 4 s e D n 로 지 * 도 t 0 개 p 이 일 차 ) f o e 변 만 전 u ~ 자 3 i 2 에 단 : e m r 생 종 부 D r 2 이 동 5 c 4 r a a 성 으 감 * G e 0 상 으 건 i * 일 생 사 2 e i t 한 로 염 * A s 개 로 o 기 성 이 0 r n i ( u 존 사 된 트 0 ) s o 수 추 자 감 멀 ( 접 분 S s 례 ~ : / n 백 정 체 염 웨 F 속 리 u A 1 과 2 C ) 는 으 어 1 된 s 중 V 5 다 4 F o A 개 로 , 다 p ) 가 개 7 1 n l 모 발 . i 접 개 과 n g 도 름 확 견 F c 못 o 근 e o 메 인 2 i u * → 거 c r 인 ) o 잡 t * 의 t i 에 가 u 은 l 하 i t s i 루 동 o h 접 핵 것 e 에 일 n m 속 심 중 들 r s ) 이 ) * 2 → ) 시 다 * 클 0 : 멀 도 : 이 러 0 H 웨 . 다 스 개 T 1 어 . 터 T 0 * 대 의 넘 P 0 * 부 는 개 ! 분 n R 은 o 새 e 이 r f 상 존 m 도 e 재 a 메 r → 하 l 인 e 지 i r 경 z 접 고 않 e 속 없 아 d 이 페 서 이 f 직 지 실 e 접 패 a 받 하 t 접 음 지 u 속 만 r , e 몇 v e 개 c 는 t o 실 r 제 가 C 나 & 온 C 다 . 서 버 로 연 결 된 다 .

Host A: F6=4, F7=47,833, F12=386, F13=96
Host B: F6=11, F7=25,479, F12=309, F13=6

- - - 자 C - - 같 # 8 - - - S - - - 어 # # * * 동 * * l * 은 # 1 * * * O 쨌 # # * 해 F F F 판 화 C C u N 다 인 # 건 S S 핵 실 미 재 " C 미 아 아 든 # # B 석 7 1 1 정 l l s e 른 사 유 의 O O * * * * * 심 제 지 분 F 지 주 니 # e : 2 3 : 스 u u t w 이 형 6 C C A F O P U 의 류 u 팀 의 면 7 e * ( * 크 s s e D 트 의 . " d u t o n 통 위 : r 도 교 * . A h * B ( ( * 립 t t r D G : S 팀 판 w r h l c 계 협 위 t 제 묘 정 추 . i l C D 트 e e e A * 위 S u 의 정 a t e i a : : 협 4 h 원 로 한 말 가 설 v o o o 가 r r 6 s * 협 O s r h r c t * : . e 인 데 명 " e c n m 과 t 알 이 C p 판 | e e y e * 5 9 r 을 이 A 특 포 왜 의 k n a 차 6 8 i 고 라 i 정 / r m g 4 3 3 P 이 렌 가 e e i 단 : : 유 n 리 도 2 c : 건 S a V o . 2 % i 확 위 T 한 식 능 의 출 d c n 된 사 a 즘 차 i * 수 p i l i r 3 . n 실 협 일 성 심 력 t D 또 하 t 미 o * y n w o i 2 0 v 히 일 정 조 의 스 : C i S 사 G 지 i 또 묘 검 u | w v a l z % 9 e 수 상 사 러 * o o p 이 A 다 만 o 는 한 증 s a e r a e % s 못 수 도 가 실 운 * n n i 트 른 n " 비 r s e t d ( t 도 행 전 가 n k 멀 약 s 다 차 결 율 e t * i A ( i 찾 있 위 필 ? e S e 목 웨 D 간 가 른 이 과 인 i * o s d 아 g 았 있 고 일 요 가 " c p s 록 어 G 로 시 | g n i w 직 a 다 고 한 치 를 t i ) 을 A 다 1 봇 던 a t a 도 t 는 수 i k : ( 른 0 넷 여 트 설 | t e r i 도 진 즉 o e 무 이 멀 0 으 러 를 명 i 9 s e 확 o 뜻 짜 시 n s 6 차 미 웨 패 ~ 로 3 o 실 n 이 있 s ) ~ 별 어 턴 1 클 E | 5 n | + 하 " 다 다 s 알 ) : 9 위 * : 5 추 러 M * 4 지 . u : 6 시 에 * 0 정 스 C 1 | O 2 s 수 3 개 도 서 개 터 1 t 않 6 이 p 2 0 하 로 S 4 . 7 h 음 건 것 i 있 5 0 는 설 ( O 3 1 4 e ) 이 들 c 다 , 개 명 C 나 C . 2 1 . r 은 i 0 것 ) l 뉜 2 6 % 9 흥 : o 0 이 으 * u 다 팀 1 3 8 m 미 u 0 상 로 * s . 에 % % . a 롭 s ~ t 6 l 다 4 → 추 e 이 보 | 3 기 | 4 w . 케 8 정 r 게 냈 2 타 % a * 이 , 1 . 다 애 . 재 r * 스 0 분 6 오 . 드 0 악 분 | e * 0 에 악 보 히 웨 9 성 류 ) * 0 의 다 려 이 어 % 코 비 다 건 1 적 들 / 드 ( 악 . ! 0 이 적 좋 은 스 | G 성 0 라 음 다 파 | a → 개 기 ) . 원 이 여 m 미 보 인 웨 전 i 분 하 이 다 서 을 어 히 n 류 루 상 는 로 g 파 확 의 , 사 종 연 설 다 악 인 심 이 일 결 정 른 할 스 I 트 하 | 러 M 차 는 오 멀 수 움 , | 단 류 웨 , 된 순 일 어 없 S 간 어 심 t 사 이 가 변 서 층 r 이 능 종 e 트 3 성 을 S 조 a 0 . O 사 m 접 0 구 C i 속 번 분 에 필 n 할 요 g 시 도 ) 도 수 움 | 을 있 으 요 니 청 까 한 . 케 이 스 다 .

Incident: Host XYZ
Cluster: 6
Cluster size: 4 hosts
Distinctive features:

  • F1 (New Destinations): 247 (cluster avg: 225, normal: 15)
  • F2 (New Dests w/o Referer): 247 (cluster avg: 225, normal: 10)
  • F8 (Challenged Domains): 156 (cluster avg: 148, normal: 2)
1 2 3 " - - # 논 * . . . * D * * # 문 * 분 즉 G 조 기 B M # 에 P 석 이 그 1 시 A 치 존 e T # 서 C 가 5 e T A 가 호 중 6 판 멀 시 방 h R B P 스 개 단 웨 간 식 i . C 출 얻 트 2 : 어 : : v ( A 력 는 는 4 도 * * e M P : 7 메 * 가 * 로 : e C 기 * 정 하 개 인 능 그 a A 반 * 보 루 에 성 피 n : 에 모 서 뒤 처 방 이 * 두 높 져 T 법 상 * 2 회 음 서 값 i 과 탐 4 H 사 . m 의 지 7 T 패 보 e 와 개 T 경 봇 턴 고 비 의 P 고 넷 T 교 비 이 찾 즉 o 교 새 R 페 기 시 했 e 이 C R 다 도 f 지 & → 판 e . 메 e C 단 s 인 r 받 2 p e 음 서 ~ → o 접 r 버 4 n 속 시 5 d 없 찾 간 ~ ) ( 음 는 1 정 0 대 상 ( 중 분 폭 은 직 . 접 " 감 1 소 5 접 ! 개 속 * ) ) *

Incident: Host XYZ
Anomaly score: 3.7σ
Principal component 3 value exceeds threshold

" 다 - - 이 # 3 # 예 - - - - - 해 예 - - - - C 예 - - - - - 시 # 논 - - * . * 시 * 게 # 5 # * 시 * * 당 * 시 * * o * 시 * * 간 # * 문 * 분 . 추 차 B P # . # 1 : 금 뉴 모 특 동 하 해 2 : 마 C 특 사 실 해 n 3 : 새 스 개 특 평 하 해 이 # 핵 에 오 하 1 2 3 실 석 . 가 원 이 e C " 3 # . 융 스 니 징 일 지 결 호 . 케 o 징 용 제 결 s . 로 타 인 징 판 지 결 # 심 서 탐 지 . . . 무 가 뭐 본 점 e A 설 8 3 팀 터 : 만 책 스 팅 n : 자 로 책 e 트 : 만 책 지 만 의 가 작 : h : 명 . % A 자 의 사 링 * 사 : 트 과 s * 가 는 : n 미 생 업 블 * 정 : 나 B 아 강 자 과 미 적 업 로 * i 가 . 동 이 * 이 접 * 도 팀 e * * t 분 긴 로 * 보 실 * 면 . 이 조 * 오 동 도 분 용 반 문 그 * v 추 가 오 화 실 트 도 트 속 사 한 원 n 회 정 * e 류 홈 그 제 * 디 하 개 탐 화 한 류 : 응 제 필 를 e 가 능 탐 오 오 시 구 에 하 용 이 t 사 상 d 클 페 없 로 평 오 어 는 수 * : 인 요 : 성 ( 탐 탐 프 간 R 의 는 자 정 e 사 라 이 음 는 판 탐 : * 프 브 사 * * 데 : 뒤 분 " F 이 로 S 수 를 상 경 d 정 업 C 이 우 지 부 * * 로 라 이 * ? * 져 즉 석 의 a 라 유 세 주 S h 만 사 쟁 책 무 o 트 드 ( 무 D 관 오 분 유 세 우 트 * 서 시 l 는 형 스 가 e 이 화 브 사 C n M 해 B 리 탐 : 9 형 스 징 P 필 실 s 별 수 a 건 트 이 라 o 경 n ( 서 c 가 의 0 * r 무 대 수 전 e 건 ( 데 집 l 는 트 우 조 n 고 e 7 비 A 전 8 * i 엇 응 분 2 이 기 t 연 리 징 사 n c . 스 f 업 략 " 건 : n 이 가 P 솔 석 0 터 h 결 정 스 하 e 페 t 2 e 데 유 c 가 치 o 직 . 상 트 ( 느 c 이 i 7 e 이 형 ( 단 i 비 능 다 s 히 0 크 c ( 에 8 라 t 지 o % 트 많 p 정 한 . i 2 롤 h F ( . i 에 n ) S 됨 수 아 3 a 상 t 좀 % 러 e 1 뉴 등 0 하 o 서 s * i . " 가 l 인 a i ) c 2 스 록 3 루 n * t 가 보 지 지 c v 많 * k : , 하 % s " 임 e 또 임 ! c t e 다 * 면 ) 종 가 동 계 A 는 중 ) o 수 i ) . C 금 * 일 의 값 d 요 m 동 o o 융 끝 * 수 " 을 v 수 * p 으 n 심 하 n ) . 웹 천 i 동 * o 로 a 층 지 n 서 클 높 s 으 n b 만 e 핑 건 릭 이 o 로 e 찾 l 분 c 거 r n 아 e 석 논 t 나 에 화 t 야 문 i , 이 i 에 o 없 트 3 함 n 서 n 특 음 리 이 . t 정 ) 스 e S 트 뭘 l * p 직 l 오 i 무 추 의 i 탐 k ( 가 미 g 의 e 마 . 하 e s 케 는 n 유 팅 데 c 형 높 , ? e * 음 " * ) 리 을 서 치 분 ) 석 는 한 예 부 외 분 이 처 리 중 . 요 하 다 .

Week 1: 분석가가 오탐 3가지 유형 식별
Week 2: 각 유형별 억제 규칙 작성
Week 3~: 동일 유형 오탐 자동 필터링

- - 이 # # 1 2 3 1 2 # 논 * 게 # # * . . . * . . # * 문 결 오 분 # # 성 개 # 우 과 탐 석 P # 공 - - - - - - - - 선 - - - # 선 결 : 률 가 C 9 * * * * * 순 과 * A . A 사 D 기 D 클 정 3 H 컴 제 시 1 필 오 3 B 악 정 B 위 를 * 3 부 보 . 례 G 존 e 러 책 9 R 플 로 그 1 요 탐 5 i 의 책 . 화 5 담 다 S : A s 스 . 라 데 니 7 : 률 % t 적 바 % O 탐 * A t 터 위 4 팀 이 이 처 건 * c 인 결 대 전 탕 대 나 C 지 * 멀 V i 링 반 1 과 언 * 관 → o 가 정 응 략 으 → 폭 은 웨 n 으 % 스 대 없 멀 리 i ? : 로 관 측 어 미 a 로 자 가 연 응 이 웨 * 화 n 필 측 * 5 감 점 점 면 탐 t 동 계 자 * 도 어 * 이 단 요 면 * S ~ 소 이 완 지 i 집 정 동 * 트 m 순 O 1 다 실 벽 o 단 식 책 가 화 비 중 리 i C 0 . 무 n 별 능 정 스 n 리 % 탐 - 감 * 위 상 대 트 i 소 워 로 P 인 지 b 염 * 반 부 로 n 스 크 C 사 * a 까 행 분 g 플 감 A 이 * s 지 위 이 1 낭 로 소 는 트 e 로 5 같 비 우 d 식 신 % 은 인 예 오 별 탐 규 가 설 상 탐 f 지 / 이 자 ? 계 e 변 하 동 : 원 a 종 로 화 인 t * 을 u 줄 * r 여 알 e 야 s 수 ( 없 F 어 1 서 , 억 F 제 2 ) 규 가 칙 을 핵 심 못 만 든 다 .

[Critical - 즉시 대응]
Malware (14.92%) + Suspicious (10.33%) = 25.25%
→ 일일 약 14건
→ Tier 2 분석가가 즉시 처리

[High - 당일 처리]
보안 위협 정책 위반 (Proxy, Tunneling, Remote access) = 1.65%
→ 일일 약 1건
→ 당일 내 처리

[Medium - 주간 배치]
일반 정책 위반 (Streaming, IM) = 37.76%
→ 일일 약 21건
→ 주간 리뷰로 모아서 처리

[Low - 월간 리뷰]
자동화 프로세스 = 35.33%
→ 트렌드 분석용

* 티 켓 자 동 생 성 템 플 릿 : * *

제목: [Beehive] DGA 멀웨어 의심 - Host XYZ
심각도: CRITICAL
탐지 시각: 2013-04-24 09:32:15

클러스터 정보:

  • Cluster 6 (4 hosts total)
  • 모두 동일 행위 패턴

특징:

  • New Destinations: 247 (정상: 15)
  • New Dests w/o Referer: 247 (정상: 10)
  • Challenged Domains: 156 (정상: 2)

판정: DGA 기반 봇넷 의심

권장 조치:

  1. 호스트 네트워크 격리
  2. 메모리 덤프 수집
  3. 안티바이러스 전체 스캔
  4. C&C 통신 흔적 확인
# 1 2 3 1 2 3 # 7 E → B " 전 D - - → 처 하 - - - → P C 기 - - - B - - → 일 F 각 - - - → 이 - - - - 내 # # # 논 # 실 - - - 실 - - - - * # * . . . * . . . # * * 8 M e * N 자 e * 음 지 C * l 존 e 반 * i 게 * * 일 # ( # 문 # * 험 제 * 즉 # 클 G # D 1 4 C e 2 e 는 e D B 3 엔 만 오 화 시 A 4 u A 방 S e F 클 5 g 클 C C C 다 오 시 이 D D 은 R 한 # 을 # G 실 악 P 논 이 알 남 → B 시 # 러 - - - - - - - - - r S 외 시 a . 건 는 * h . w p e e * . 탐 이 간 * 는 . s 도 V 화 I h 1 러 * 인 . u 러 l l l * P 음 탐 간 e a e * * * D 계 # r 성 r 문 엔 미 려 아 e 스 * * * o O 부 간 1 y 기 i S L e e 실 " 논 트 이 초 t 구 : 벽 E i 스 엔 터 r 스 u u u 클 C 연 e y 연 s A K S a 를 1 읽 o 환 e 터 진 있 e 대 C 터 집 C 전 추 행 클 C C C 정 대 새 u C 에 0 9 중 보 존 v 설 D O o p h 무 오 3 문 유 리 기 오 D e : : M v ( 터 터 넷 클 e 터 s s s 러 A 궁 3 해 구 p 구 e n e o y . 다 A u 경 트 c 쓰 프 보 는 * h 응 . 단 l 파 가 위 러 l l l 상 다 n 평 . 3 8 안 e 명 e C g L i 에 탐 5 형 스 지 탐 G r 제 : e N 링 프 에 러 마 t t t 스 보 금 5 상 가 L 3 의 a a y u 넘 . n 이 래 i 기 라 안 위 정 i 기 u 스 u u u 수 호 d 협 판 따 를 . 7 에 도 s 을 o v 서 % 분 이 트 나 오 A 로 C : e 으 라 서 스 4 다 e e e 터 다 증 % 도 o r l w r 4 어 연 보 d 라 픽 s 이 협 건 답 v 가 분 반 감 s 경 피 유 터 s s s b 스 업 른 개 9 7 구 같 가 t 분 g e 는 3 면 석 로 면 탐 원 6 데 & 로 w 로 이 는 터 를 r r r 를 학 g 종 한 c y o c : 구 면 평 면 i 편 즈 도 은 을 e 능 석 염 t 로 해 형 마 t t t a 호 트 T 서 인 읽 8 6 투 는 은 능 i 석 먼 : : 5 을 단 률 인 탐 의 이 C 그 즈 튀 = 훨 ( 문 계 료 계 h z r e – 의 가 T : 주 o 함 구 " 의 한 분 e 다 e e e s 스 가 r 2 비 검 고 % 건 자 성 n 가 저 둘 % 너 대 1 보 을 지 라 D 4 N 해 보 는 3 6 1 씬 D 실 제 와 같 * 와 e d : 학 항 r 입 n 환 들 이 미 모 측 석 식 r 추 차 자 r r r e 트 u 단 스 증 인 을 를 " 행 의 a 가 복 명 을 를 무 보 3 부 5 다 의 4 도 양 e 대 특 e 석 면 : : 2 행 a 제 은 * R d s * R 계 한 상 방 u , 경 이 미 지 른 접 구 면 의 별 적 단 동 명 l 가 어 t 계 사 느 미 알 위 t 공 잡 확 니 가 분 % 모 대 못 메 이 s 화 w 의 피 : 위 해 y 로 ( 산 후 e : * e 와 계 법 t → : 의 다 근 체 * 6 확 3 6 8 i 디 h ( ( 이 낀 탐 기 많 려 실 i 즉 부 한 한 섞 어 많 : 지 " 르 완 인 t 집 1 처 F F 석 일 업 후 속 v D * s 점 " 론 h R 돌 차 ! : 적 장 * 의 가 분 한 : : : n 큰 에 검 M s 트 의 존 이 진 기 전 o 시 했 어 떻 은 해 이 오 니 벽 호 잡 너 i 단 피 D 직 5 가 7 1 F 유 하 4 어 계 속 i a * A e 산 이 의 가 정 e 아 단 위 * * 점 능 류 e 부 증 c u 점 반 n 는 패 워 게 결 하 탐 함 스 음 몇 무 n 처 e 관 개 , 1 형 기 떻 단 에 영 e t C a 업 답 c 가 됨 협 * * 정 : 4 * 행 차 D 또 정 속 재 A s ( : 의 도 하 위 가 s 이 데 턴 크 쓰 거 로 계 * 트 a 감 s 성 다 ( 0 * P 게 위 연 향 w e S S r 계 방 근 없 a 는 " 보 * 대 * 위 단 G 자 상 하 f p P * 미 구 는 협 탐 치 해 , , 플 는 볼 가 유 속 * 가 개 많 t 염 설 t * 클 르 B F , * 쉽 r 미 구 을 : : O A c 의 법 본 다 알 l ! * A 다 동 는 해 e i e * * 가 " 지 * 2 하 로 아 능 감 형 아 i 까 계 i * 러 다 l 2 다 e 줄 배 친 가 * C C h 이 적 는 고 l 중 또 * 호 패 사 른 클 지 결 e c r * 회 만 가 * 4 고 이 높 우 게 것 냐 소 발 모 차 서 o 지 의 n 스 : o F . v 일 치 분 B * , 반 는 * 스 턴 이 학 러 i s 못 사 7 제 은 , 인 ? 수 생 두 단 n a 터 c ( 1 i ) 영 어 석 e ' L 응 만 어 문 있 정 트 트 D 습 스 보 전 S o o 다 잡 필 개 대 답 가 " 예 " . 했 못 s 한 힘 t 의 k N 1 어 e 것 는 향 떻 해 e 2 L 1 i ) 능 려 제 음 확 " G * 터 면 략 i u n 잡 . 는 수 " 응 두 정 즉 * * 라 상 가 D 지 ) * i e e 떤 w 인 은 게 보 h 0 o 3 m * 은 움 * 히 정 모 A * : t s a 았 다 인 할 확 시 * * 고 B G 만 봄 번 * o n d w ( ) 가 극 ? 자 i 2 g , i * 상 두 형 정 * e l 다 최 는 v 접 도 중 e A 하 에 n o C 피 : ? 복 발 ! v 6 t 아 계 " 성 상 * A → 는 신 이 s 수 근 설 생 요 e 감 나 s r C D o 처 * 전 e . A 2 a 니 산 같 / d I 증 유 . 법 명 각 하 h 멀 염 로 m o e n 가 * 가 했 : 0 n 0 t 겠 은 비 v 시 n 게 안 거 가 있 의 했 다 i 웨 은 많 a n s s 능 나 1 a 1 i 지 가 정 i 간 s 티 * " 다 가 다 는 v 어 즉 아 l n t e o 한 ? L . l 3 o ? 능 멀 상 s i 충 바 * 명 P . 장 능 . e 라 모 시 도 i e i n u 가 a 0 y , n " 웨 o 지 g 격 이 확 r 단 철 는 는 름 z c n t t ? r 2 s s 라 어 즉 r 나 h 적 러 해 i 후 점 학 식 이 e t a e l g i p 는 시 , 면 t 이 스 졌 n 자 이 * 원 걸 별 상 d i t d i e s p a ) 다 , 다 c 는 * 인 하 o i ) e - , . n 생 판 U 명 . . i 명 을 한 지 f n o r S 1 d 각 단 R 확 S p 다 확 e s n 튀 인 c E 9 이 L 해 I a 시 하 알 번 않 a ) s 김 지 a n 9 S V 짐 E l 다 아 에 다 t ) l t - c 든 o ) M 로 : 서 . u 튀 보 e e 2 h 다 i , C 그 식 r 김 튀 면 r 0 o . d o 를 억 별 하 e 김 L p 8 l ) 방 m 제 . 지 무 o r a B 화 p 뒤 만 v 슨 g i [ r e 벽 o 져 가 e s L l e n 야 능 엔 c 문 A e i y h 다 e . 터 t 제 n n i n 한 프 o 인 a S k I v 있 t 다 라 r 지 l e ] m e 다 . 이 가 y c ( p 도 . 3 즈 바 s u h a 는 있 로 i r t c 마 그 값 다 s i t t 찬 런 업 . 안 t p 가 데 3 무 다 f y s 지 도 . . o , : 다 7 사 r / . B σ 이 A / e " 트 D n d 논 e 만 e o o 문 h t m i 에 i 가 e a . 서 v 니 c l o e 까 t y r 명 가 , i g 시 n D / 한 거 2 g e 1 의 0 t 0 한 0 S e . 계 모 개 u c 1 와 든 s t 1 새 p i 4 실 위 i o 5 험 협 도 c n / 에 을 메 i , 2 서 인 o 5 추 은 u C 2 드 가 s l 3 러 로 확 u 6 난 실 A s 4 발 히 c t 9 한 견 t e . 계 했 이 i r 2 를 다 상 v i 5 . 하 i n 2 정 다 t g 3 리 . y 6 해 7 보 i 0 자 n ) . E n t e r p r i s e N e t w o r k s

784건 인시던트 생성
↓
1차 검증: 연구팀이 수동 레이블링
↓
2차 검증: EMC SOC 팀 협업
↓
그래도 불확실: 26건 “Further investigation”

이 - - - 신 # B * * 규 # * e 과 한 F 놓 S 실 # 일 e 정 계 a 친 O 무 조 # h 이 : l C 직 단 i * s 위 영 에 B 위 v 몇 * e 협 분 향 . e ( 석 : 도 배 는 주 P F 가 * 입 시 치 o a * 할 간 하 걸 s l 시 분 루 렸 i s 간 때 해 석 을 t e 이 마 상 의 단 i 다 도 위 것 v N 엄 의 한 로 e e 청 이 계 같 g 나 딜 * 피 다 R a 게 과 레 * 처 . a t 정 마 를 t i 든 을 엄 e v 다 계 청 를 e 반 산 난 ) 복 한 정 이 해 다 노 확 야 : 력 히 얼 이 마 한 다 측 나 다 . 정 . 되 불 는 초 가 지 기 알 1 ~ 수 2 개 없 월 음 은 수 동 검 증 기 간 으 로 봐 야 함 .

오늘(4월 24일) 로그 수집
↓
밤새 배치 처리
↓
내일 아침(4월 25일) 인시던트 리포트

* 문 제 시 나 리 오 : * *

4월 24일 오전 9시: APT 초기 침투
4월 24일 오후 2시: 횡적 이동 (Lateral Movement)
4월 24일 오후 5시: 데이터 탈취 시작
4월 25일 오전 9시: Beehive가 탐지

→ 24시간 늦음!

- - 일 " 변 # 최 - - - * * * 우 * 명 # * * 소 * * A D 빠 B 단 논 리 솔 이 # B 단 실 문 신 5 경 현 P w 른 e 위 문 는 직 긴 # e 계 * * * * 질 제 규 주 영 실 T e e 의 한 e 히 화 U D 적 * : 진 적 의 l 공 h 배 h 하 C h | 스 이 s e 5 * 조 동 에 l 격 i 치 변 i 생 지 . i 토 트 e d 대 주 * 직 안 게 대 특 : v 라 명 s 각 만 v 소 리 리 r i 기 * 은 안 성 T e 서 : t : . 초 e 요 스 - c * 도 설 : : i 수 의 * o * . 기 구 트 A a 시 입 " 득 * * m 빠 * r * . 가 시 축 g t 간 ( 학 하 * * e 시 한 른 i 학 동 간 * 구 e e : 화 시 습 기 간 계 c 2 습 까 * 축 n d * 이 ( : 공 a 0 지 | * t * 트 즉 모 어 침 내 * 격 l 1 기 H 리 시 드 려 투 * 에 3 간 필 작 히 o 스 " 움 데 는 a 년 의 요 업 1 | 스 s 트 탐 : 후 이 n 한 개 토 t 지 터 대 a 당 부 내 월 1 리 1 " 발 응 l 시 담 시 용 주 * 식 주 불 5 견 탈 y 간 | 일 * 별 가 주 까 취 못 s 기 : | * + 지 i 술 * N 기 함 s 로 * e 히 다 시 . 를 는 w 1 1 | 스 려 간 0 개 토 주 ) 목 일 D 0 월 3 리 세 : 표 일 e 대 개 요 로 s | 월 4 " 평 1 t 이 주 균 했 T i 상 호 | ) 다 B n 스 2 . a 호 트 9 0 로 t 스 별 5 0 실 그 i 트 % 일 시 를 o U 간 n 접 A 단 ( 은 실 s 속 일 2 시 한 문 0 아 간 판 자 사 1 니 정 도 열 용 3 다 처 메 자 년 . 리 위 인 학 " 하 한 습 판 기 는 식 정 준 도 별 | ) 게 메 ( 인 | 실 쉽 제 지 히 로 스 는 않 토 았 리 병 을 렬 | 거 가 다 능 . ) 지 금 이 야 S p a r k S t r e a m i n g 같 은 게 있 지 만 .

Week 1: 화이트리스트 구축
Week 2-4: 히스토리 구축하면서 동시에 탐지 시작 (정확도 낮음)
Week 5: 본격 가동

처 # 1 2 3 - - - - - - - - - B # 논 1 2 3 4 - - - - - - - - - 설 둘 # D 음 # * . . . * * * * * e # * 문 . . . . * * * * 명 # a * # B 적 대 학 정 N 공 사 D 행 스 개 정 " 실 e # 1 장 각 S 설 단 시 도 다 새 D D B T 다 # y S 4 # e - - - - - - 용 학 생 책 e 공 용 e 위 타 발 책 정 무 h # 5 저 E 보 여 최 점 O 명 점 간 메 른 로 e e e r 가 # O 주 e * * * 들 w 자 d 트 자 이 상 i 개 자 M 안 러 종 : 피 C : 과 인 운 e e e a 능 필 3 C 는 D h 정 방 직 동 대 표 D 1 공 어 네 이 제 W 가 i 프 업 들 " 시 v E 들 C * 처 가 * 조 p p h d 성 요 F 에 . i 책 화 원 질 부 준 e 인 용 려 트 약 D i c 로 : 이 느 사 e . 피 이 전 피 1 * 의 분 능 * 비 전 직 공 L L i e 한 . 서 입 오 v 벽 들 적 분 화 d 운 워 온 e F 계 a 파 * 슨 행 점 는 처 : 내 문 처 5 석 성 용 문 에 격 o o v - v 데 장 탐 엔 e 제 , 이 된 i 1 P 크 갖 거 s i 속 t 일 * 자 함 위 : 피 는 부 가 개 의 가 이 가 g g e o s . 오 " 에 률 터 가 약 호 비 c P C 환 : 의 t : e 유 의 * 처 와 실 미 가 확 적 기 과 : : f . . 탐 오 서 이 프 웹 특 스 슷 업 a C 경 * 사 i * 바 d 불 롭 * * 수 멀 험 선 가 보 많 필 용 법 의 f . 률 탐 라 가 환 정 트 한 무 t 많 : * 이 없 n * 뀜 가 게 범 전 엔 작 웨 논 정 이 이 요 L 수 : 자 계 높 이 정 경 프 e 원 으 * 트 음 a H 능 위 통 지 업 어 의 명 해 시 출 대 S 동 * 동 어 3 유 산 을 즈 하 * 록 사 구 소 환 d 칙 면 * t o 소 가 적 니 으 확 듦 현 비 T * 화 떻 5 형 해 는 * 시 이 성 프 경 접 i s 프 어 로 사 가 재 : M 피 게 % 이 보 것 환 로 트 * 트 H 적 속 o t 트 너 대 링 례 능 설 시 * 이 처 의 면 경 환 만 * 웨 o 용 n 웨 무 기 의 설 계 * 해 3 : 같 경 통 어 s ( s 개 어 업 계 관 피 자 설 결 의 가 * 다 의 : 제 접 t 어 연 념 넓 * 딜 했 찰 필 처 동 계 할 미 지 * . 존 * 속 사 s 려 구 기 설 음 * 레 다 요 으 까 뿐 성 * 용 * 움 , 준 없 치 에 마 * 추 로 ( ? 이 하 * 이 음 * 가 화 라 지 공 최 피 이 → 만 부 무 적 필 처 트 관 , 의 화 요 박 D 리 아 미 되 학 스 a 무 게 어 습 ) y 가 것 임 능 도 , 있 ( 5 " 다 블 에 하 안 . 랙 서 다 박 고 하 스 스 다 는 타 ) 룰 했 트 는 것 업 하 데 보 이 이 , 단 나 브 리 그 낫 대 드 래 다 학 도 . 에 접 근 3 적 ! 5 용 % 하 는 려 면 부 담 피 이 처 다 . 재 설 계 필 요 .

일일 56건 인시던트
↓
35% 오탐 = 20건/일
↓
주 5일 = 100건/주

- - 오 - - - 화 # - - - - - - - - - - - 일 # # - - - - - B - - - U # * * 탐 * 이 # * * * * * 반 # # * * e * E # * 분 T 1 알 이 분 " 진 해 트 # 논 E 2 궁 다 다 다 특 거 비 피 의 H P 환 논 화 # # 학 발 현 평 비 D L e 엔 실 방 하 B # 2 석 i 건 림 석 또 짜 결 리 # 문 M 주 금 른 른 른 히 래 정 처 료 I H 자 문 # 술 표 재 균 교 e o h 터 제 법 지 A # 0 가 e 당 계 가 스 의 C 간 증 상 : P I 의 검 2 적 : : : e u i 프 론 만 1 r 피 속 가 오 위 방 트 G : 산 규 나 금 시 재 * A 데 증 . A 인 * p v 라 데 이 시 B 3 부 1 로 되 탐 협 안 . 평 하 데 * 업 모 라 융 스 시 설 * A ( 이 한 . 임 2 용 연 * L e e 이 이 실 장 . 년 담 2 0 도 면 알 이 도 : 지 가 나 이 * 군 ( ( 권 템 간 계 P 터 계 부 후 팩 0 간 o t 가 즈 터 복 무 : 분 : 림 겠 * 속 단 : 의 터 ( 소 문 이 은 대 컴 r : 족 속 인 트 1 수 g 잡 형 연 이 * 분 이 ( 을 지 놓 * 일 * 금 기 화 필 플 o 유 * . 용 : 3 : 약 a 상 특 필 영 성 구 전 * 석 라 A " 침 관 * 조 융 업 권 궁 2 접 요 라 t 출 * 연 * 년 ( l 대 화 요 ( 향 에 : 가 도 l 신 리 조 직 , , ) 금 4 속 할 이 e 하 구 수 * 1 2 . 적 3 은 트 가 e 뢰 하 로 직 에 에 하 / 이 언 c 탐 지 와 1 * 8 0 으 → → 계 기 렌 시 → r 고 서 제 대 서 다 7 듯 스 t 지 만 동 2 2 회 1 ( 로 층 크 여 드 그 주 t 안 오 평 만 조 기 는 : 정 e 에 향 영 월 1 7 2 학 연 다 의 니 당 주 넘 탐 가 , 업 ? * 운 상 d E 향 5 인 ) 0 적 계 구 파 : ( 처 당 F 함 김 률 의 검 ) * 영 일 특 M 력 ( 회 용 : 1 은 에 자 이 * 아 변 1 a 증 의 에 H 화 C A * 0 서 들 프 * 래 화 중 0 1 t 2 일 료 서 수 e 는 C * 8 ) 이 이 라 에 심 0 6 i 0 반 ) 는 a 필 S 0 : 유 재 인 서 * 건 시 g % 화 에 ? 있 l 요 큰 A ( 0 : 현 접 ) * 의 간 u 서 음 t C 2 회 9 근 설 e 이 문 도 h 조 ) 0 0 어 명 오 ) 하 제 ( 직 2 이 0 려 어 ) 탐 : 로 효 야 I 이 5 상 회 움 려 * 과 간 n 라 년 움 처 * 낮 적 f 이 리 춰 인 배 o 어 1 상 야 가 치 r 느 2 ? ) m 월 함 a 정 . t 도 기 i 준 그 o 대 ) 래 n 표 도 ) 성 은 여 접 전 근 있 히 다 패 고 일 턴 일 봐 야 1 1 할 건 . 듯 . . .

IDS/IPS + Antivirus
→ 알려진 위협만 탐지

* 2 0 1 3 - 2 0 1 7 : 통 계 / M L 기 법 도 입 * *

PCA, SVM, Clustering (Beehive 포함)
→ 행위 기반 탐지 시작

* 2 0 1 7 - 2 0 2 1 : 딥 러 닝 혁 명 * *

DeepLog (2017): LSTM
LogAnomaly (2019): Attention
LogBERT (2021): Transformer
→ 자동 피처 학습

* 2 0 2 2 - 현 재 : P r e - t r a i n e d M o d e l s + G r a p h * *

PLELog: BERT 기반 로그 파싱
Neural Log Analysis: GNN으로 호스트 관계 모델링
→ 더 복잡한 패턴 학습

통 # - - - - 설 B - - 재 * 계 # * * * * * * 명 * * e * * * 미 B / # B 1 연 개 B D 2 연 개 수 새 T 3 연 개 e 4 연 개 B 후 5 있 e M # e . 구 * * 선 e w . 구 * * * 선 동 로 r 가 . 구 * * 선 h . 구 * * 선 e 속 . 는 e L e L S 점 e e D L L 점 운 a 능 R P 점 i U N 점 e h C h 실 | o t : h l 자 | e o o : 피 d 성 더 | o L : v 호 | N e : h 연 하 건 i 시 . i 시 g r * i l 동 e g g * 처 공 e 티 b E * e 스 I u * i 구 이 , v 대 v 간 연 A e * v 연 p 2 B * 격 - 희 연 u L * 의 트 연 C r * v 는 브 e 의 주 e 도 n a e T 피 도 L V E 설 에 o 생 데 도 s o 도 O a e 리 의 요 의 처 o m 의 i 처 o e R 계 f 이 t g 로 간 R l 는 호 드 * 마 리 | m - m | g c T 자 f ( 터 | * 그 | N 스 최 위 지 후 한 * a B 일 e 학 * * * 불 동 : 블 L * 관 * L 호 트 접 근 치 막 속 계 * 핵 l a 습 핵 * * * 필 * 랙 처 기 o 파 계 기 * o 스 근 : 를 심 y s 단 대 * 심 요 적 * 박 리 여 g | 서 여 g 트 간 * 연 * 대 연 e 위 폭 * 응 스 - 모 를 * 구 * 표 구 극 기 d 아 ) 강 | b 2 한 델 | A 관 들 작 복 여 → 감 이 2 2 2 화 a 0 계 링 2 n 독 계 이 . 하 | A 소 디 0 0 0 * s 2 * 0 a 립 려 | n 분 어 1 1 2 * e 1 극 * 2 l 적 고 다 이 는 2 o / 7 9 1 d 복 0 y 으 려 시 후 0 m 초 | | s 로 연 1 a A i ( B 딥 구 9 l 단 n P s 분 횡 e 러 들 y 위 L W B o r 다 * 석 적 e 닝 : | S o E m e 변 * h 이 * D T r R a - 량 이 i * A e M d T l t | 동 v 대 t t 으 2 로 y r 시 e 세 t e 로 V a 계 2 탐 가 e c e s D i 열 0 지 스 n t 자 c e e n , 2 에 타 됨 t i 동 l t e 2 일 . i o 스 f e d 호 유 로 o n 피 타 - c 스 | 리 n * 처 일 s t L 트 ) 회 * u i M G 귀 기 학 로 p o 으 간 N * 반 | 습 그 e n 로 N * r * 상 으 하 시 2 | 임 v * 파 관 로 고 퀀 0 베 i 싱 관 스 2 딩 s | 계 호 있 0 e 정 스 다 모 | d 2 확 | 트 는 델 | 0 도 , l 2 관 점 K e 0 9 계 이 분 a a 5 를 다 f r | % . 단 k n 그 위 a i B → 래 n e 프 처 + g e 9 로 리 h 8 S | i % 모 | p v 델 a e | 링 r 의 k | 정 S 규 t 화 r e 기 a 법 m i 확 n 장 g , 으 로 더 실 복 시 잡 간 한 탐 노 지 이 즈 | 처 리 |

2013: Beehive (해석 가능 피처)
↓
2017-2021: 딥러닝 블랙박스
↓
2022-현재: 하이브리드 (피처 + 딥러닝)

- - - " # # - - - - " → * * 설 # # * * * * 사 * 예 B A 설 교 명 # # U B 보 모 B G 전 - - - - U 용 G 시 e t 명 훈 # E e 안 두 e a 문 E 자 * a : e t : 가 3 B e e r E S S V B 와 B r h e 가 * 능 . A A h 제 시 h t U x e p a A e t L i n 능 * 성 . i 품 그 i n E a c l r 의 엔 e n o v t 성 " 실 = v : 니 v e B b u u o 티 h e g e i 이 무 U e 처 e r A e r n n 핵 티 i r A 의 o + 라 E U S 가 a o k i 심 ( v n n 는 영 B s 이 I 기 이 벤 m n s 호 e 정 o 피 으 딥 향 A e 전 E 반 후 U 더 i U 개 스 와 의 m 처 로 러 B r M E x B 념 트 a 를 닝 e ( 시 ( , ( B 출 A : , 정 ( l " e I 장 a 2 2 A 현 * 확 2 y 딥 어 성 h n 의 n 0 I 0 를 : * 서 히 0 러 떤 능 i d d 1 D 1 버 1 ( 닝 v u 탄 0 S 5 주 ) 같 5 2 피 둘 e s 생 E 년 / 년 요 의 은 ) 0 입 처 의 t n 대 I ~ : 1 력 가 다 r t P ) 보 철 * 9 으 철 y i 초 S : 안 * 학 * ) 로 중 확 학 t ) , * 정 ! * 요 보 이 I y : * 기 상 * * 사 한 m * A 술 * 용 지 여 p B * n 로 행 " 전 a e t 위 히 c h i 지 * 자 t a v 정 * 동 유 ) v i 를 효 i r ( 학 하 o u 2 학 습 다 r s 0 습 . 1 하 A 5 고 n ) , a l y * t 이 i 상 c s 행 * 위 * * * 를 탐 지 "

UEBA solutions use machine learning and statistical models
to create behavioral baselines and detect anomalies.

B B # e * e # * e 실 e # B h 무 h # e i i f v 영 v B o e 향 e . r : 가 e 논 * S 문 * U O B 의 E C e B e 핵 A 운 h 심 영 i 시 v 아 장 패 e 이 러 디 형 다 ( 어 성 임 2 를 에 0 변 1 그 학 화 0 대 술 년 로 적 대 설 근 초 명 거 ) 하 를 : 고 * 제 * 있 공 다 했 . 다 고 볼 수 있 다 .

[경계 방어]
방화벽, IPS
↓
[시그니처 탐지]
IDS, Antivirus
↓
[수동 조사]
보안 전문가가 로그 뒤짐

- - - * * 패 " " 사 A 러 알 외 후 f 다 려 부 t 임 진 대 e : 침 응 r * 위 입 * 협 " B " e 막 e 차 기 h 단 i v e ( 2 0 1 0 년 대 중 후 반 ~ ) : * *

[다층 방어]
경계 + 내부 모니터링
↓
[행위 분석]
UEBA (Beehive 스타일)
↓
[위협 헌팅]
사전에 위협 찾아내기

- - - " # - - - - - - - - - - - 모 # - - - - - - - B # # B * * 침 # * * * * * 두 # * * e # # * e 패 " " 사 핵 입 # R B R 특 S S 행 클 I U 로 E U " B 공 # L 중 G 로 S 도 D S L e # # 전 e 러 미 내 전 심 당 # S e S 히 p p 위 러 B s 그 x E T e 통 " # o 국 i 그 t 구 r p o h # 략 h 다 지 부 하 A e A l l 스 M e a B i e 점 정 g t a a e g i 4 i 임 의 + 차 지 C h " u u 기 터 r 정 b A m h : 상 D P 화 H 파 r 목 i l C v . A 1 v : 행 이 . ( i N 엔 n n 반 링 Q 규 e e i * . a 웨 u 싱 록 n l l e . : e * 위 위 사 : 않 E v e 터 k k R B 화 a 전 l v * 행 i 이 b , 1 : : : u 의 S 의 * 협 " 후 * 기 주 M e t 프 : 이 방 a e m 문 i e 위 오 가 : , * s O 한 하 " * " 요 C W 라 * U 상 식 d h 기 : n 의 픈 프 불 0 * 로 로 t 개 C 계 이 한 모 대 에 저 i 이 * B 탐 a a 법 * 벤 e 학 소 로 B h 변 0 그 그 e 념 를 브 계 탐 니 응 서 벤 자 자 t 즈 A 지 유 r v * 더 " 피 습 스 젝 e t 성 0 r 을 관 리 ( 지 터 더 회 n 사 : i 참 처 트 e t + 파 템 : 점 인 드 일 링 " 의 사 중 e 특 출 기 * o 고 기 → 도 h p 마 싱 플 오 식 ( 침 ) s 화 시 능 * r 능 벡 구 ( i s 이 릿 클 픈 인 한 탐 단 A 입 채 : 일 s : 터 이 화 v : 닝 러 소 사 지 위 P 택 * 부 에 피 ( A 상 영 웨 e / 추 스 스 이 실 T 후 * 가 처 2 n 호 개 향 이 / 도 출 터 로 트 무 체 배 , B " 0 a 스 념 탐 ) 기 g 구 링 계 치 빠 R e 1 l 트 과 지 : 반 i 구 적 * ) 제 르 S e 설 5 y 별 " * t 제 기 현 용 * 를 로 게 A h 계 ) t 유 * 오 h 공 반 한 데 i i 행 사 프 픈 u 전 인 이 찾 소 v 철 c 위 레 소 b 이 최 략 정 ) 아 속 e 학 s 임 스 . 상 초 하 내 시 워 c 탐 고 기 개 채 모 각 크 프 o 지 프 , " 념 택 듈 화 로 m 로 로 사 젝 / 젝 계 통 용 트 l 트 층 전 합 o . 화 환 시 g 된 작 p a 방 i 어 / l 체 o 계 g p 구 a 축 r : s e r

[실시간 레이어]
SIEM Rules + IDS/IPS + AV
↓ (즉시 알림)
[일일 배치 레이어]
Beehive-style Behavioral Analytics
↓ (익일 아침 리포트)
[주간 레이어]
Threat Hunting (수동)

- - - * * 역 실 배 주 실 할 시 치 간 무 간 : : 분 : 예 담 놓 장 시 : 알 친 기 : * 려 * * 진 위 트 * 협 렌 위 드 협 발 굴 분 + 석 ( 긴 B 급 e e 이 h 상 i v e 의 9 8 . 9 8 % )

Case 1: 알려진 멀웨어
→ 실시간 레이어에서 즉시 차단 (Beehive 출동 안 함)

Case 2: DGA 봇넷 (제로데이)
→ 실시간 레이어 통과 → Beehive가 익일 탐지

Case 3: 느린 APT
→ 주간 헌팅으로 장기 패턴 분석

B 3 e * 5 * e 전 % 4 h 략 주 i 오 v 2 탐 오 e : 을 탐 는 오 어 정 탐 떻 제 * 게 " 학 프 놓 습 줄 로 친 일 그 루 램 위 프 것 : 협 * 인 * * 가 * 발 ? 굴 " * * 역 할 에 집 중 !

Week 1:

  • Beehive 인시던트 전수 조사
  • 오탐 패턴 식별 및 분류

Week 2:

  • 패턴별 억제 규칙 작성
  • 예: “DevOps 팀 호스트는 자동화 프로세스 예외 처리”

Week 3:

  • 화이트리스트 정제
  • 추가 오탐 패턴 발견

Week 4:

  • 최종 룰셋 확정
  • 오탐률 재측정 (목표: 20% 이하)
* 지 속 적 개 선 : * *

월 1회: 신규 오탐 패턴 검토
분기 1회: 화이트리스트 대청소
연 1회: 피처 재검증

- 일 * * * 목 초 전 단 P 표 기 략 위 h : 가 a * 3 3 s * 5 : 한 e % 계 시 라 1 → 간 면 : , 1 해 일 개 상 조 월 도 금 단 씩 위 후 점 진 줄 ( 2 적 여 현 0 보 재 % 개 자 ) 선 : * → * * * 3 개 월 후 1 0 % 이 하

처리 시간: 5시간/일
Dwell Time: 평균 12시간

* P h a s e 2 : 4 시 간 단 위 ( 6 개 월 후 ) * *

하루를 6개 윈도우로 분할
처리 시간: 30시간/일 (6배 증가)
Dwell Time: 평균 4시간

Trade-off:

  • 계산 비용 6배
  • 하지만 클라우드 컴퓨팅으로 해결 가능
* P h a s e 3 : 실 시 간 스 트 림 ( 1 2 개 월 후 ) * *

Kafka + Spark Streaming
Dwell Time: 분 단위
하지만 설명 가능성 일부 희생 (딥러닝 도입 필요)

- - - E - - - - - - - - - 피 B * * M * * * * * 처 * e * 점 한 각 실 전 C 산 금 F F F 제 F F F 의 F F F 중 전 e 아 진 패 략 의 업 융 1 1 1 조 1 1 1 료 1 1 1 요 설 략 h 키 적 번 단 해 별 권 6 7 8 : 6 7 8 : 6 7 8 : 계 i 텍 에 계 도 4 1 : : : : * : : : * : : : * 에 5 v 처 접 에 : 5 추 * * * * : e : 근 바 서 롤 개 가 * 비 고 외 O 생 P P 환 의 의 * 의 꾸 백 조 정 객 부 T 산 L H 자 료 * 딥 * 지 효 직 피 피 상 C I 도 러 장 장 과 가 별 처 처 민 송 네 데 기 기 메 닝 점 점 않 능 를 거 감 금 트 이 설 접 록 기 인 과 ( : 음 검 피 예 래 워 터 정 근 의 설 * 증 처 다 시 정 시 크 대 로 전 명 * 른 : 시 보 스 외 변 패 량 그 문 앙 커 * 간 템 연 부 경 턴 가 상 가 스 조 * 대 접 결 조 이 블 능 터 직 근 접 전 로 이 회 상 참 * 성 마 에 접 근 시 송 그 상 여 * ) 이 속 패 도 * 징 그 턴 급 ( * + * 대 ( 증 ( H * 로 야 이 I I 필 D 간 상 T P 수 e 쓰 - A ! e 면 배 O A p 치 T ) L 안 o 제 경 g 된 외 계 의 다 ) ) . 장 점 ( 정 확 도 ) 결 합

[로그 스트림]
↓
[병렬 처리]
↓ ↓
[Beehive] [DeepLog]

  • 15개 피처 - LSTM
  • 클러스터링 - 시퀀스 분석
    ↓ ↓
    [앙상블 결정]
  • 둘 다 알림 → Critical (즉시 대응)
  • Beehive만 → High (설명 가능, 우선 처리)
  • DeepLog만 → Medium (추가 조사)
  • 둘 다 정상 → Pass
1 2 3 * . . . * 장 실 점 B D 최 무 : e e 고 * e e 의 예 * h p 시 i L 탐 : v o 지 * e g 율 * 가 결 + 놓 과 친 를 설 명 것 B 을 e 가 e 능 D h 성 e i e v p e L o 피 g 처 이 로 잡 해 음 석

Case: DeepLog이 이상 탐지했지만 원인 불명

Beehive 피처 확인:

  • F1 (New Destinations): 5개 (정상)
  • F5 (New User-Agent): 3개 (약간 높음)
  • F12 (Connection Spikes): 150개 (매우 높음)

분석가 판단:
“Connection Spikes가 원인이구나.
특정 시간대에 트래픽 폭증.
DDoS 공격 또는 데이터 exfiltration 의심.”

D # e # * e # S p # h L o o B r g . t - 단 도 t 독 입 e 으 r 로 로 m 는 드 맵 ( 알 1 - 수 3 개 없 월 었 ) 던 : 것 파 을 일 럿 B * e * e h i v e 피 처 로 설 명 !

Month 1: 준비

  • 대상 시스템 선정 (명확한 워크플로우 1개)
  • SIEM 로그 수집 확인
  • 화이트리스트 구축 (1주)
  • 히스토리 구축 시작 (4주)

Month 2: 파일럿 가동

  • Beehive 탐지 시작
  • 매일 인시던트 수동 검증
  • 오탐 패턴 식별

Month 3: 정제

  • 화이트리스트 정제
  • 오탐률 20% 이하로 감소
  • 효과 측정 (MTTD, MTTR)
* M i d - t e r m ( 3 - 6 개 월 ) : 확 장 * *

Month 4-5: 추가 시스템

  • 3-5개 핵심 시스템에 확장
  • 조직 특화 피처 3개 추가
  • SOAR 연동 (자동 티켓팅)

Month 6: 안정화

  • 월간 리포트 생성
  • 경영진 보고 (ROI 계산)
  • SOC 프로세스 공식화
* L o n g - t e r m ( 6 - 1 2 개 월 ) : 최 적 화 * *

Month 7-9: 고도화

  • 시간 해상도 4시간으로 개선
  • DeepLog 하이브리드 테스트
  • 외부 위협 인텔리전스 통합

Month 10-12: 전사 확산

  • 다른 사업부/지역으로 확대
  • Best Practice 문서화
  • 지속적 개선 프로세스 수립
# 논 - - - 이 실 - - - 학 일 # * * 문 런 무 계 * # D 1 이 " " " 자 언 도 " 에 2 단 a . G 일 오 솔 제 입 만 서 . 위 5 y 자 r 탐 직 입 능 는 . 솔 신 o 단 률 함 장 쓰 시 시 v 4 직 의 u 위 이 에 고 도 이 간 s 개 를 한 n 3 서 예 구 런 . 인 한 d 배 5 오 는 언 상 " 해 읽 한 계 치 % 히 : 제 되 가 솔 상 실 인 고 계 를 T 라 는 려 는 직 도 시 사 r 안 아 함 의 간 이 느 인 명 u 실 높 문 니 이 트 낀 정 확 t 시 다 * 쓸 제 라 근 의 히 h 간 " 신 지 는 드 본 ( 점 뢰 미 물 적 P : 가 인 없 대 를 판 리 걸 다 e * 치 정 어 응 단 . 딜 r * * 한 서 높 대 알 레 s * 다 못 인 가 비 고 대 마 o : 정 한 다 능 부 * n 확 다 * 시 분 * a 한 " * 작 l . " 평 우 I 가 리 n 가 s 어 i 렵 최 g 다 고 h " ! t " ) 만 외 치 는 데 . . .

일 단위:

  • 장점: 대용량 처리 가능, 안정적, 설명 가능
  • 단점: 빠른 공격 대응 못함

실시간:

  • 장점: 즉시 대응, Dwell Time 최소화
  • 단점: 계산 비용 높음, 안정성 낮음, 설명력 떨어짐
실 - - - 각 B 논 이 - - - B 2 2 2 실 - - - 딥 → B - - - - - - - B B - - - - - - - - - - - - - 내 # # # # * 무 자 * e 문 게 e * 0 0 0 * 무 러 e * * * * * e * e * * * * * 일 # ( # # * 정 에 실 배 주 3 e 단 실 새 e 4 1 1 2 왜 에 S 경 법 닝 e 5 변 엔 로 설 오 변 로 처 딥 핵 근 e 6 e 우 " K B 우 L B 하 우 E B 실 다 지 M 면 최 D 은 R S # # D 답 서 시 치 간 역 . h 하 학 순 무 로 h . 3 7 2 서 O 영 적 은 * h . 하 터 그 명 탐 한 그 리 러 심 본 h . h 선 S a e 선 o e 이 선 x e 무 음 금 I 접 종 a e * * * D O # a 은 는 간 할 i 나 술 히 운 i : - - 다 는 C 진 하 i 지 프 가 닝 : i i 순 t f e 순 g e 브 순 a e 까 T 에 y 최 s A K S a C 1 y 레 레 이 U v 가 문 v 설 2 현 시 에 책 정 이 v 2 라 가 관 것 규 기 * 문 v 다 v 위 r k h 위 A h 리 위 b h 도 궁 지 R 서 실 종 e n e o y . A 없 레 이 이 E e 연 논 제 시 e 명 B 0 재 분 게 임 확 브 e 0 않 이 " 능 리 : 모 술 도 * 제 e 음 e e a i n i 드 e i 입 금 E 행 4 a a y u 실 . 1 다 * 이 어 어 다 B 구 문 를 장 e 2 : 돌 * 석 도 리 의 1 은 즈 d 성 의 * 구 와 의 의 1 a v 2 o v 의 3 a v 증 배 어 결 r l w r 5 무 5 : . 계 어 르 A ( * 의 을 저 가 e 1 아 " 가 설 ( 는 드 3 i 의 * ( ( 읽 : m + e : m e : m e 사 운 A 떻 체 종 론 c y o c 일 무 층 ( ( 다 2 산 쓰 해 자 능 h : 다 왔 왜 가 명 G 피 년 것 환 r 어 1 H 등 철 개 을 한 - 를 a 실 , 례 ( T 게 크 료 과 h z r e – 적 간 엇 문 T 화 ( B T . 시 0 업 진 는 결 만 들 성 i 시 을 " 해 D 높 접 처 : 경 t 중 려 T a 장 학 념 계 실 B S 딥 l 피 제 U 개 D 걸 T 리 * e d : 용 을 제 r 된 I e h 장 1 짜 하 든 이 의 v 딥 까 를 이 야 P 지 근 논 * 의 y 요 움 B d 은 은 논 를 시 a p 실 러 y 처 E S 념 연 a & 설 스 * S R d s * C : 학 의 a D e r 3 전 게 고 다 e 러 설 ? 해 R 만 이 + 문 * " 성 / o 문 간 s a 시 닝 구 B p 이 구 y 어 C 명 트 O e : * o 습 배 d 방 S h e 형 ) 체 가 자 재 닝 명 * 알 해 예 , 이 특 하 d o 변 1 보 e r 간 ( + 현 A l 떻 K 할 는 C v D * n B 웠 본 e 어 i a 성 를 치 아 랑 발 ( * 아 야 산 등 미 D 성 다 a p 하 0 방 완 처 d k 으 통 2 u 어 5 게 , 까 ? i a * A c e 여 나 질 - I v t 의 → 다 니 스 견 해 블 가 야 ) " 래 e 2 는 y 지 년 향 하 리 로 합 0 A 사 제 n 떻 ? 실 e t C l e 정 * o * P e 바 : 라 러 * 석 랙 능 * 대 확 왜 * e 0 ( → 이 * 는 * A S * 1 t 례 품 k 게 P S N 무 w e S S u h * f 가 S ) H 의 G 꿨 울 * 박 성 * 응 보 때 " * p 2 정 현 → 않 * * n t 만 * 9 t r O I : : O A s i 종 f ) u 미 a 다 가 스 으 문 를 L 4 책 실 S 는 지 방 o r 들 ) e 분 U 상 e C S 적 * C C i v 합 다 답 n * r * 만 능 로 하 가 에 o 년 1 p 다 나 향 m e n 석 B 용 v T 용 B * , o e . 인 t * t * 하 ) 유 기 능 설 g 에 제 0 a . 도 으 a a 수 t * A 화 i 실 e ' n 에 * i n . 다 행 회 설 명 의 도 약 T r * 로 l m i * 되 e 무 C 전 e 2 L 1 s 서 * 것 n e . 귀 때 명 , B k * 여 : y i 있 o 백 었 w 에 S 략 h 0 o 3 g r 문 못 학 유 / ) 전 n 나 n 서 나 ) F 을 i 2 g , a 배 같 ) 이 필 한 습 효 동 d 히 D g ? ? : 적 와 v 6 n 운 다 U 다 수 다 한 질 a e 메 * 용 종 e . A 2 d : E : . 능 성 y 유 t 아 커 * 할 어 합 : 0 n 0 것 B 력 이 ) ) 효 e 키 니 까 떻 해 1 a 1 P 들 A 유 하 c 텍 즘 ? 게 보 L . l 3 r ) = * 다 t 처 자 a 0 y , a * 정 * . i 연 ! r 3 s c 의 최 o 계 g i p t 선 n ? e s p i ( - , . c 2 i S 1 a 0 n c E 9 l 1 a n 9 5 E l t - I ) n e e 2 m t r 0 p → e L p 8 l r o r i U p g i [ c E r s L a B i A e i t A s n n i e a S k o 벤 l e ] n 더 L y c ( s o s u h 탄 g i r t 생 s s i t " t p ( f y s 2 o , : 0 r / 1 A / 5 D n d ~ e o o ) t m i e a . c l o t y r i g n D / g e 1 t 0 S e . u c 1 s t 1 p i 4 i o 5 c n / i , 2 o 5 u C 2 s l 3 u 6 A s 4 c t 9 t e . i r 2 v i 5 i n 2 t g 3 y 6 7 i 0 n ) E n t e r p r i s e N e t w o r k s

엔터프라이즈 로그는 “dirty"하다
↓
시그니처 기반은 신규 위협 못 잡는다
↓
PCA 같은 블랙박스는 “왜"를 설명 못한다
↓
→ 행위 기반 + 설명 가능한 탐지가 필요!

S * O * 핵 C D 심 는 a y 깨 단 달 순 2 음 히 : : * " 해 * 이 법 상 의 하 다 설 " 계 를 * * 넘 어 * " 왜 이 상 한 지 , 어 떻 게 대 응 할 지 " * * 를 알 아 야 한 다 .

3계층 파이프라인:
Layer 1: 더러운 로그 → 깨끗한 데이터 (정규화)
Layer 2: 15개 엔터프라이즈 특화 피처 추출
Layer 3: PCA + 변형 K-means → Outlier 식별

B * i * 핵 g D 심 a D y 깨 a 달 t 3 음 a : : * 처 실 * 리 전 는 의 알 검 고 증 리 * 즘 * 만 의 문 제 가 아 니 다 . * 데 이 터 정 제 가 핵 심 * * 이 다 .

784건 인시던트
→ 25.25% 실제 위협 (DGA 멀웨어 포함)
→ 39.41% 정책 위반
→ 35.33% 오탐 (하지만 유형은 3가지뿐)

기존 도구 탐지: 단 8건 (1.02%)
Beehive 고유 탐지: 776건 (98.98%)

최 * 신 * 핵 D 심 보 a 안 y 깨 달 도 4 음 구 : : 들 * 도 한 * 계 놓 의 치 는 인 식 게 * * 이 렇 게 많 다 . 행 위 기 반 탐 지 는 * 선 택 이 아 니 라 필 수 * * 다 .

한계:

  • Ground Truth 부재 (수동 검증 필수)
  • 일 단위 배치 (실시간 못함)
  • 초기 학습 5주 필요
  • 오탐률 35%

영향:

  • UEBA 시장 형성
  • 후속 연구 촉발 (DeepLog 등)
  • 215회 인용
완 지 # # 이 - - - B - - - " 핵 * 벽 * 금 # # * 전 e * 실 * 심 핵 한 D 까 # # 1 실 소 단 e 실 대 다 의 무 2 심 a 지 # . 연 험 규 일 h 제 규 중 미 에 . 통 도 y 1 구 실 모 i 모 : 서 찰 깨 구 배 . A B : 로 v 운 로 * E : 달 는 5 운 . i 데 ( 그 e 영 ( 그 * 쓸 n 음 이 g 이 수 : 일 t : 없 ( 것 론 학 터 소 데 일 소 수 e * 다 지 을 적 술 D G 스 이 스 r * . 금 적 a ( B 터 1 있 p ) 어 기 t 깨 ) T 통 는 r : 떻 여 의 a 끗 ( B 합 " i * 게 의 함 더 , s T 실 정 S ) 러 보 e r 무 리 e 움 총 안 - a * c ) S d 통 실 u 6 분 p e 합 제 r T 석 e - * i B c o * S t ) 연 i f O y 구 f f C 의 i 를 에 A c n 첫 이 적 a F 해 용 l 사 e 하 * y 례 a 고 * t . t 할 i u 보 c r 완 것 s e 인 의 전 가 D 략 ? 개 e * 척 s * * i 을 * g n 세 * 워 * 야 한 다 .

일반 인터넷 ≠ 엔터프라이즈

일반 인터넷:

  • 행위 범위 무한대
  • 예측 불가능
  • 정책 제약 없음

엔터프라이즈:

  • 행위 범위 제한적
  • 업무 패턴 예측 가능
  • 정책 제약 강함

→ 이 차이를 피처 설계에 활용!

- - 이 * * 예 일 기 아 3 시 반 업 이 . : : : 디 * 어 E * N N 가 x e e p w w 후 l 속 a D D i e e 연 n s s 구 a t t 와 b i i l n n U e a a E t t B B i i A e o o h n n 제 a s s 품 v 의 i 1 1 o 0 0 기 r 0 0 반 a 개 개 이 l → → 됨 D . e 정 확 t 상 실 e 일 히 c t 수 이 i 상 o 있 함 n 음 * * 
  정확도  
    ↑

DeepLog │ ●
│
Beehive │ ●
│
PCA │ ●
│
└─────────→ 설명 가능성

Beehive의 위치:

  • PCA보다 정확도 높음
  • DeepLog보다 설명 가능성 높음
  • 실무에 적합한 균형점

4. Dirty Data 전처리 방법론

체계적 접근:

  1. 타임스탬프 정규화 (SIEM 수신 시각 활용)
  2. IP-Host 매핑 (DHCP 로그 기반)
  3. 정적 IP 자동 탐지 (역방향 DNS)
  4. Dedicated Host 식별 (95% 단일 사용자)

의미: “데이터가 더럽다"고 포기하지 말고, 체계적으로 정제하라.

B. 로그 분석 패러다임의 전환

Before (규칙 기반): 전문가가 수동으로 규칙 작성
→ 시간/비용 많이 듦
→ 시스템 변경 시마다 재작성

Before (블랙박스 ML): PCA, SVM으로 이상 탐지
→ “뭔가 이상함"만 알려줌
→ “왜"를 모름
→ 수동 분석 다시 필요

After (Beehive): 자동 학습 + 해석 가능
→ 전문가 없이도 적용 가능
→ “왜 이상한지” 명확
→ 즉시 대응 가능

영향:

  • 이후 모든 UEBA 제품이 이 철학 채택
  • “설명 가능한 AI"의 중요성 부각
  • SOC 분석가 교육에 “행위 분석” 추가

3. SOC 실무 적용 전략

지금부터가 핵심이다. 이 논문을 읽은 이유는 실제로 쓰기 위해서다.

A. 탐지 역량 강화

1. DGA 멀웨어 자동 탐지

Beehive의 성과:

  • Cluster 6에서 4대 모두 DGA 감염 식별
  • 기존 AV 미탐지
  • Destination-based features (F1, F2)가 핵심

SOC 적용 전략:

탐지 룰:

# Pseudo-code
IF (new_destinations > 150 AND
    new_destinations_no_referer > 120 AND
    unpopular_raw_ip_fraction > 0.4):
    
    ALERT("DGA Malware Suspected", severity=CRITICAL)
    
    # 클러스터 체크
    IF (cluster_size > 1):
        ALERT("Multiple hosts infected - botnet suspected")

임계값 조정:

  • EMC 기준: New Destinations 200개 이상
  • 우리 조직: 데이터 수집 후 90% 백분위수로 설정
  • 처음엔 보수적으로 (오탐 줄이기)

자동 대응:

1 2 3 4 5 . . . . . 네 메 C 보 T 트 모 & 고 i 워 리 C 서 e 크 r 덤 도 생 격 프 메 성 2 리 인 수 및 분 ( 집 추 석 자 출 티 가 동 ( 켓 에 ) 자 및 게 동 생 ) 차 성 알 단 림 ( ( 자 ( 자 동 자 동 ) 동 ) )

기대 효과:

  • MTTD: 24시간 이내
  • MTTR: 1시간 이내
  • 기존 AV 미탐 위협 100% 포착 목표

2. 내부자 위협 징후 포착

피처 조합:

  • F5 (New User-Agent): 비인가 소프트웨어 설치
  • F3, F4 (Unpopular Raw IP): 수상한 외부 연결
  • F14, F15 (Bursts): 대량 데이터 전송

탐지 시나리오:

시나리오 1: 데이터 유출 준비

징 - - - 판 조 후 정 치 : N U C : : e n o w p n 데 즉 o n 이 시 U p e 터 s u c 조 e l t e 사 r a i x , - r o f A n i 필 g R l 요 e a B t n w u r 시 t r a I s t 계 3 P t i 정 개 s o 2 n 정 ( 0 3 지 파 개 0 준 일 분 비 ( 전 클 지 단 송 라 속 계 우 도 드 구 스 설 토 치 리 ) 지 )

시나리오 2: 권한 탈취 후 정찰

징 - - - 판 조 후 정 치 : 평 업 C : : 소 무 h 와 a 계 비 시 l 정 밀 다 간 l 번 른 e 탈 호 외 n 취 N g 리 e 접 e 의 셋 w 속 d 심 , D ( D M e V o F s P m A t N a i i 강 n 로 n 제 a 그 s t i 연 다 o 계 수 n ) s ( 정 5 책 0 개 위 반 )

실무 팁: 역할별 정상 행위 프로파일 구축:

  • 개발자: New User-Agent 많을 수 있음 (정상)
  • 마케팅: New Destinations 많을 수 있음 (정상)
  • 재무: 업무 시간 외 접속 거의 없음 (이상 시 주의)

3. APT 초기 단계 탐지

APT의 특성:

  • 느리고 조용하게 침투
  • 여러 단계 거침
  • 기존 도구로 잡기 어려움

Beehive 활용:

Reconnaissance 단계:

  • Domain Spikes (F13): 내부 네트워크 스캔
  • New Destinations without Referer (F2): 외부와 직접 통신

Initial Access 단계:

  • New User-Agent (F5): 악성코드 설치
  • Unpopular Raw IP (F3, F4): C&C 연결 시도

Lateral Movement 단계:

  • 여러 호스트가 동일 클러스터에 등장
  • 시간차를 두고 감염 확산

탐지 전략:

[ 단 [ 비 [ 장 일 일 주 슷 월 기 일 간 한 간 호 패 모 스 트 패 분 턴 니 트 렌 턴 석 터 드 의 ] 변 링 이 ] 화 ] 상 호 스 → → 트 숨 즉 증 은 시 가 감 조 추 염 사 세 발 → 굴 A P T 의 심

B. 대응 역량 강화

1. 자동 우선순위화

Beehive 인시던트 분류:

우선순위 조건 처리 시간 담당
P1 - Critical Malware/Suspicious 즉시 (1시간) Tier 2 Senior
P2 - High 보안 정책 위반 당일 (4시간) Tier 2
P3 - Medium 일반 정책 위반 주간 Tier 1
P4 - Low 자동화 프로세스 월간 자동 처리

자동 분류 로직:

def prioritize_incident(incident):
    cluster_features = incident.features
    
    # P1: DGA 패턴
    if (cluster_features['F1'] > 150 and 
        cluster_features['F2'] > 120):
        return "P1-CRITICAL-DGA"
    
    # P1: 내부자 위협 패턴
    if (cluster_features['F5'] > 3 and
        cluster_features['F14'] > 20):
        return "P1-CRITICAL-INSIDER"
    
    # P2: 보안 위협 정책 위반
    if (cluster_features['F6'] + cluster_features['F7'] > 100):
        return "P2-HIGH-POLICY"
    
    # P3: 일반 정책 위반
    if (cluster_features['F10'] + cluster_features['F11'] > 500):
        return "P3-MEDIUM-POLICY"
    
    # P4: 자동화 프로세스
    if (cluster_features['F12'] > 300 and
        is_known_automation(incident.host)):
        return "P4-LOW-AUTOMATION"
    
    return "P3-MEDIUM-UNKNOWN"

기대 효과:

  • 분석가가 우선순위 고민 안 함
  • 중요한 것부터 자동 정렬
  • 리소스 효율적 배분

2. 플레이북 자동 매핑

클러스터 유형별 대응 절차:

유형 1: DGA 봇넷

[ 1 2 3 4 [ 5 6 7 8 자 . . . . 수 . . . . 동 동 호 메 C 방 포 감 패 복 실 스 모 & 화 실 렌 염 치 구 행 트 리 C 벽 행 식 ] 에 ] 경 적 후 네 덤 도 분 로 용 트 프 메 차 석 모 워 인 단 추 니 크 수 적 터 집 목 룰 링 격 록 리 추 추 가 출

유형 2: 정책 위반 (스트리밍)

[ 1 2 [ 3 4 자 . . 수 . . 동 동 H 사 반 필 실 R 용 실 복 요 행 자 행 ] 팀 에 ] 위 시 에 게 반 대 통 경 시 역 보 고 폭 상 이 급 제 메 자 한 일 통 보

유형 3: 의심스러운 내부 활동

[ 1 2 3 [ 4 5 6 S - - # 제 설 심 자 . . . 수 . . . * O # * 목 명 각 동 동 구 A P B # 기 : : 도 해 최 접 계 필 추 현 R h e # 존 : 실 당 근 속 실 정 요 가 a e A H 행 한 행 방 플 n h 3 S n o ? ] 계 7 ] 소 시 감 법 랫 t i . I o s 정 일 민 유 사 : 폼 o v E m t 감 자 비 * m e 티 M a 활 타 밀 * 연 , 켓 l 1 동 임 데 인 번 동 인 티 y 9 라 이 터 호 D 시 자 켓 2 로 인 터 뷰 e 던 동 : D . 그 리 m 트 * e 1 생 목 셋 i 생 * t 6 전 성 록 s → 성 e 8 체 t c . 확 o A 고 t 1 수 인 , P 도 e . 집 I 화 d 1 S 0 p 호 0 l 출 u s n → h k o 플 w S 레 s O 이 A 북 a R n 자 o 등 동 m a 실 l 행 o u s b e h a v i o r

Beehive 강화 티켓:

제 심 담 탐 - - - - 행 - - - 판 하 전 C 권 1 2 3 4 관 - - - 권 " # # 가 " 임 헌 n n u 결 5 → → 목 각 당 지 위 정 루 형 & 장 . . . . 련 장 * 와 # # * * 설 C 계 팅 e e n 과 대 : 도 자 탐 C U 부 N N C 에 적 C D L D : 분 , # # B 예 : l 값 w w p : 초 조 : : 정 지 l s 서 특 e e h 근 인 조 [ [ [ [ 호 E A E 석 # e 시 u 보 쿼 _ _ o 추 기 기 [ 보 u e : 성 w w a 거 2 서 치 자 대 대 수 스 S P S 4 가 이 C e s 다 리 d d p 가 P C S : 시 s r : l : 4 D 버 : 동 기 기 동 트 K T K 대 거 . 1 h 1 t : e e u 감 차 1 R O 각 t : E D D l 7 G ] ] ] T O T 반 면 . i : e 약 s s l 발 염 단 - I C : e n e e e 개 A 탐 완 ( O P O 모 응 분 v r 간 t t a 견 C T - r j g s s n 의 색 료 메 안 포 동 P - P 두 : 바 석 T e C i i r ! 단 성 R I T 2 : o i t t g 봇 ] 모 티 렌 일 - G - * 로 h l 6 낮 n n _ 계 공 I C i 0 h n i s e 새 넷 중 리 바 식 D 7 J 동 * 역 r 클 u 과 아 a a r 로 T A e 2 6 n e n d 로 으 호 이 클 4 H 0 시 대 량 e 러 s 서 t t a I L r 6 . e a w 운 행 로 스 덤 러 분 러 E 8 K 응 a 스 t 비 i i w 추 C 2 - ( d r t / D 위 트 프 스 석 스 5 I 1 대 할 강 t 터 e 슷 놓 o o _ 정 A - 0 총 o i i o o 도 . 추 터 F 9 L 응 화 r 한 친 n n i L S 1 e n o m 메 정 네 수 전 및 ) 6 2 수 H → s s p ] e - 4 @ g n R a 인 . 트 집 체 : ( 필 u 6 패 호 _ n 0 대 c s e i 워 감 ( b ( 요 있 n 헌 턴 스 > < f D i 3 o : f n 접 크 - 스 염 j o a 겠 t 팅 발 을 트 r G o 호 m e s 속 캔 a b l ( 는 i 견 가 1 1 a A r 0 스 p 2 r : , 격 분 경 n . i 집 데 n 가 가 0 5 c 9 트 a 4 e 리 석 로 e j c 단 ? g 설 후 졌 있 0 0 t M ( : ) n 7 r 1 모 가 . o e " * * 지 을 i a 자 1 y : 5 두 추 s n . 감 가 * * 만 A A o l 동 5 . ( 6 승 적 m e w 염 설 것 N N n w : c 정 2 H 인 i s i 이 D D a 배 3 o 상 4 ( T t @ l 의 생 다 > r 정 2 m 7 정 T 필 h c s 심 성 . e ) 범 상 P 요 @ o o ) " 0 위 ( : c m n . S : 정 R o p @ 3 u 상 0 e m a c s 1 : - f p n o p 0 2 e a y m e - 5 ) r n . p c 2 - e y c a t 0 1 r . o n e ) 0 c m y d ) 없 o ) . 이 m c - ) o 직 m H 접 ) o s 접 t 속 . D E S K T O P - A 1 B 2 C 3

예시 2: 주간 트렌드 분석

관 이 전 가 " 직 헌 c 결 2 → → - - # 1 2 3 분 - - - 찰 번 반 설 새 원 팅 h 과 0 * # * 월 월 월 석 : 적 : 로 들 a : 대 스 해 P R P # 월 : : : : 2 3 계 주 으 운 이 쿼 l 피 당 r e r # 간 월 월 속 로 리 l 호 어 o a o C C C 에 에 " 피 수 : e 스 이 a c a 2 클 l l l 모 C 2 싱 상 n 트 피 메 c t c . 러 u u u D 치 니 h 0 한 g 에 싱 일 t i t 스 s s s G 료 터 a % 캠 e 서 i v i 장 터 t t t A 링 l 페 링 d 이 전 v e v 기 e e e 효 l 증 인 크 _ 동 메 사 e : e 변 r r r 봇 과 필 e 가 이 를 d 일 일 : 트 화 넷 요 n o 차 v B 렌 6 6 6 확 g 진 클 m 도 확 단 s e B 드 추 확 인 e 행 릭 a 메 인 . e e 적 ( 유 유 산 d 하 i 인 h e 분 : D 형 형 중 고 n R i h 석 * G 있 D 일 s 접 e v i * A 8 2 었 o 있 속 a e v ) 대 대 음 m 수 다 > c e a . 발 t 알 4 ( ( i 있 " 평 견 i 림 패 대 증 감 n 다 균 v 턴 가 소 s . e → ! ) " + : → ) * 대 피 2 * 응 헌 처 σ 팅 가 → 추 가 위 협 발 굴

피처별 트렌드:

# 월별 평균 계산
monthly_trends = {
    'Jan': {'F1': 15, 'F5': 1.2, 'F12': 80},
    'Feb': {'F1': 18, 'F5': 1.5, 'F12': 95},
    'Mar': {'F1': 22, 'F5': 2.1, 'F12': 110}
}

# 이상 감지
IF (Mar['F1'] > Jan['F1'] * 1.3):
    ALERT("New Destinations 증가 추세 - 새로운 위협 유형 출현 가능성")
**조직 벤치마크:**  
| 부서 | 평균 New Dests | 평균 Policy Violations |  
|------|----------------|------------------------|  
| Engineering | 25 | 5 |  
| Marketing | 35 | 15 (높음 - 정상) |  
| Finance | 8 | 2 |  
| HR | 12 | 3 |  
마케팅은 경쟁사 조사 때문에 New Destinations 많음 → 정상  
재무가 갑자기 35개 → 즉시 조사!  
#### 3. ROI 측정 및 경영진 보고  
**Beehive 도입 효과 계산:**  
**탐지 성과:**  

기간: 2주
생성 인시던트: 784건
실제 위협: 198건 (25.25%)

기존 도구 탐지: 8건
Beehive 고유 탐지: 190건

→ Beehive가 없었다면 190건 놓쳤을 것

비용 산정:

D ( B 예 B R G 데 e 방 e O A 이 e 한 e I 터 h h : 봇 i 피 i 넷 유 v 해 v 1 출 e 액 e 0 1 , 가 : 배 건 운 랜 막 $ 영 피 섬 은 5 해 웨 0 비 어 봇 0 용 예 넷 , : 상 등 : 0 액 ) 0 $ : 1 0 5 0 0 $ 건 , 5 0 0 0 , 0 0 0 ( 0 6 개 월 )

시간 절감:

수 - - B - - 절 동 e 감 평 1 e 평 1 : 조 균 9 h 균 9 사 0 i 0 6 4 건 v 3 건 6 시 시 e 0 5 간 간 = 분 = 시 / 자 / 간 ( 건 7 동 건 9 기 6 5 ( 존 0 분 시 약 ) 시 석 간 : 간 : 1 6 주 )

보고서 예시:

제 핵 - - - - 주 1 2 3 향 1 2 3 목 심 요 . . . 후 . . . : 신 예 시 R 지 규 방 간 O 성 D 내 정 계 실 D 전 B 표 I 과 G 부 책 획 시 e 사 e : 위 피 절 : : A 자 : 간 e e 협 해 감 위 p 확 h 액 : 1 봇 위 반 처 L 대 i 탐 : 0 넷 협 리 o v 지 6 배 자 g ( e : $ 6 1 5 동 기 Q 5 5 0 건 화 능 하 4 도 1 0 시 건 이 ) 입 9 0 간 사 ( 추 브 0 , 조 전 H 가 리 6 건 0 기 R 드 개 0 포 ( 월 0 차 착 부 Q ( 단 담 2 Q 성 ) 3 과 5 ) 0 % 감 소 )

경영진이 좋아할 숫자들!

4. 프레임워크/표준 연계

A. MITRE ATT&CK 매핑

Beehive 피처 → ATT&CK Tactics/Techniques:

Beehive Feature ATT&CK Mapping 탐지 방법
F1, F2 (New Destinations) TA0011: Command and Control
T1071: Application Layer Protocol
T1568: Dynamic Resolution (DGA)		 200+ new domains → DGA 의심
F3, F4 (Unpopular Raw IP) TA0001: Initial Access
T1190: Exploit Public-Facing Application
TA0010: Exfiltration
T1041: Exfiltration Over C2 Channel		 IP 직접 접속 → C&C 또는 유출
F5 (New User-Agent) TA0002: Execution
T1204: User Execution
TA0003: Persistence
T1543: Create or Modify System Process		 비인가 소프트웨어 설치
F6-F11 (Policy-based) TA0005: Defense Evasion
T1090: Proxy
T1572: Protocol Tunneling		 차단 사이트 반복 시도
F12-F15 (Traffic Spikes) TA0009: Collection
T1005: Data from Local System
TA0010: Exfiltration		 대량 데이터 이동

실무 활용:

시나리오: DGA 봇넷 탐지 후

B F A → → 대 1 2 3 e 1 T 응 . . . e = T T T h 2 & A 1 플 M M 관 i 4 C 0 5 레 I I 련 v 7 K 0 6 이 T T e , 1 8 북 R R 다 매 1 . : E E 른 탐 F 핑 0 지 2 : ( 0 권 권 T : = C 2 장 장 e 2 o c 4 m ( 탐 완 h 7 m D 지 화 n a o i n m 방 조 q d a 법 치 u i e a n 확 적 s n 인 용 d G 모 e 니 C n 터 o e 링 n r t a 강 r t 화 o i l o ) n A l g o r i t h m s )

Kill Chain 추적:

I E P C [ n x e o 여 i e r m 기 t c s m 서 i ↓ u ↓ i ↓ a ↓ a t s n 차 l i t d 단 o e ! A n n & ] c c c ( e C e F o s 5 ( n s : 장 t 기 r ( 새 o F 모 l 1 U 니 , A 터 ( 링 F F 발 ) 1 2 견 , ! 이 ) F 상 2 : 없 음 D ) G A 발 견 ! )

Beehive로 Kill Chain의 어느 단계에서 잡았는지 파악 가능.

B. NIST Cybersecurity Framework 연계

NIST 기능 Beehive 활용 구체적 적용
Identify Dedicated Host 식별 (78,000대)
정상 행위 baseline 학습		 자산 인벤토리 자동 구축
역할별 프로파일
Protect Policy-based features (F6-F11)
정책 위반 자동 탐지		 접근 제어 검증
교육 자동 트리거
Detect 전체 Beehive 시스템
행위 기반 이상탐지		 15개 피처 모니터링
클러스터링 기반 탐지
Respond 자동 우선순위화
플레이북 매핑		 인시던트 자동 분류
SOAR 연동
Recover 클러스터 분석으로 감염 범위 파악 집단 감염 추적
복구 우선순위 결정

NIST CSF 성숙도 향상:

B D R A D R 목 D R e e e f e e 표 e e f t s t t s t s o e p e e p ( e p r c o r c o 6 c o e t n t n 개 t n : d B : d 월 : d B : e : : e L e L 후 L e e L h e L ) e L h v e i v e : v e i e v v e v e v v l e e l e l e e l : l l : 2 3 4 1 3 4 ( ( ( 부 ( 포 ( 적 ( 분 수 괄 자 응 지 적 동 적 동 적 능 화 형 탐 대 탐 된 탐 지 응 지 지 대 ) ) ) 대 ) 응 응 ) )

C. Cyber Kill Chain 연계

Kill Chain 단계 Beehive 탐지 대응 전략
Reconnaissance F12, F13 (Spikes)
내부 네트워크 스캔 패턴		 차단 + 위협 인텔리전스 업데이트
Weaponization 탐지 어려움 (외부 활동) -
Delivery F1, F2 (New Destinations)
피싱 사이트 접속		 사용자 교육 + URL 차단
Exploitation F5 (New User-Agent)
악성코드 실행		 호스트 격리 + 포렌식
Installation F5 (New User-Agent)
지속성 확보		 치료 + 시스템 재설치
Command & Control F1, F2 (DGA)
C&C 통신		 C&C 차단 + 봇넷 제거
Actions on Objectives F14, F15 (Bursts)
데이터 유출		 긴급 차단 + 피해 평가

조기 차단의 가치:

R D E C A B → e e x & c e c l p C t e 피 o i l i h 해 n v o 단 o i 를 n e i 계 n v a r t s e 3 i y a 차 는 0 s t 단 단 - s 단 i : 계 주 5 a 계 o 로 0 n n 피 차 % c 차 해 단 E e 단 단 : x 수 : 계 5 p 준 단 0 피 l 으 계 피 차 % 해 o 로 해 단 i 차 : 8 t 억 단 1 0 a 제 : 0 피 % t % 해 i 가 피 o 능 해 3 n 0 0 % ~ % C & C 단 계 에 서 탐 지

6. 5일간 리뷰 종합

Day 주제 핵심 학습 실무 적용
Day 1 문제 정의 Dirty logs, 설명 가능성의 필요성 현실적 데이터 품질 이해
Day 2 방법론 3계층 파이프라인, 15개 피처 체계적 전처리 + 피처 설계
Day 3 실증 결과 98.98% 고유 탐지, DGA 완벽 포착 기존 도구와 보완 관계
Day 4 한계/영향 시간 해상도, UEBA 시장 형성 한계 극복 전략, 하이브리드
Day 5 실무 통합 SOC 3대 역량, 프레임워크 연계 52주 로드맵, 체크리스트

7. 최종 개인 인사이트

A. 이 논문이 나의 SOC 역량에 기여한 점

1. “실무 가능성"이라는 기준의 확립

논문을 읽으며 항상 물었다:

  • “이거 실제로 쓸 수 있나?”
  • “우리 조직에 적용하면?”
  • “오탐은 어떻게 관리하지?”

Beehive는 이런 질문에 정직하게 답한다:

  • Ground Truth 없어서 어렵다 (솔직)
  • 초기 5주 기다려야 한다 (현실적)
  • 오탐 35%지만 관리 가능하다 (해결책 제시)

→ “학술 논문 읽기” != “논문 이해하기” → “논문 이해하기” == “실무 적용 가능성 판단하기”

2. Big Data는 알고리즘만의 문제가 아니다

처음에는 “클러스터링 알고리즘"에만 관심 있었다.

하지만 논문의 진짜 가치는:

  • 타임스탬프 정규화 (30분 단위 보정)
  • IP-Host 매핑 (DHCP 로그 활용)
  • 화이트리스트 구축 (74% 감축)

→ “데이터 정제"가 “알고리즘"만큼 중요하다 → 실무에서는 오히려 전자가 더 힘들다

3. 설명 가능성 = 신뢰성 = 실용성

D 분 D B 분 e 석 e e 석 e 가 e e 가 p : p h : L L i o " o v " g 왜 g e 아 : ? : : , " " " " D 이 . N G 상 . e A . w 네 확 " . 률 D e 격 9 s 리 5 t ! % i " 입 n 니 a 다 t " i o n s 2 4 7 개 , 정 상 은 1 5 개 "

SOC는 “빠른 의사결정” 이 생명이다. 블랙박스는 아무리 정확해도 쓸 수 없다.

→ 설명 가능성 = 선택이 아니라 필수

4. 완벽한 도구는 없다, Trade-off를 관리하라

Beehive의 한계:

  • 일 단위 배치
  • 초기 학습 기간
  • 오탐 35%

하지만 보완 전략이 있다:

  • 계층화된 방어 (실시간 + 배치)
  • 점진적 도입 (파일럿 → 확장)
  • 오탐 학습 루프

→ “완벽한 도구"를 찾지 말고 → “적절한 도구 + 보완 전략"을 만들어라

5. 논문 하나가 산업을 바꿀 수 있다

Beehive (2013) → UEBA 시장 (2015~) → 수십 개 벤더

한 편의 논문이:

  • 새로운 개념 제시 (행위 기반 + 설명 가능)
  • 실무 검증 (98.98% 고유 탐지)
  • 산업 표준화 (UEBA)

→ 좋은 연구 = 학술적 기여 + 실무 영향

나도 언젠가 이런 영향력 있는 일을 하고 싶다.

B. Lou et al. & DeepLog와의 비교 종합

3편의 논문을 읽고 나니:

논문 핵심 아이디어 강점 약점 적용 시나리오
Lou et al. (2010) 불변성 마이닝 설명 가능, 워크플로우 명확 파라미터 필요, 선형만 ETL, 배치 시스템
DeepLog (2017) LSTM 시퀀스 학습 자동 학습, 높은 정확도 블랙박스, 대량 데이터 필요 복잡한 시스템
Beehive (2013) 엔터프라이즈 행위 분석 대규모 처리, 실무 검증 일 단위, 오탐 높음 대기업 네트워크

3개 모두 배웠으니, 이제 하이브리드 시스템을 설계할 수 있다!

다음 논문에서 또 만나요!

5일간 리뷰 완료