SIEM
포스팅 뷰23
SIEM(보안 정보·이벤트 관리)이란 무엇일까요?
- 정의 — 방화벽·서버·계정 등 흩어진 로그를 한곳에 모아 서로 연결해 분석하고(상관분석), 위협을 탐지·경보하는 통합 보안관제 체계입니다.
- 핵심 — 개별 장비는 '점'만 보지만, SIEM은 여러 로그를 선으로 이어 단독으로는 보이지 않는 공격의 흐름을 드러냅니다.
- 차이 — SIEM은 탐지·가시성, SOAR는 대응 자동화, XDR은 제품군 기반 탐지·대응으로 역할이 나뉩니다.
SIEM이란 조직 전반의 보안 로그와 이벤트를 수집·정규화·상관분석해 위협을 탐지하고 감사 기록으로 보관하는 통합 보안관제 시스템을 말합니다.
SIEM이란?
SIEM(Security Information and Event Management, 보안 정보·이벤트 관리)은 방화벽·IPS·서버·PC·애플리케이션·계정 시스템 등에서 쏟아지는 로그와 보안 이벤트를 한곳에 모아 분석하는 통합 관제 체계입니다. 로그를 단순히 쌓아두는 저장소가 아니라, 서로 다른 형식의 기록을 같은 기준으로 정리한 뒤 사건들을 연결해 위협을 찾아내는 분석 엔진에 가깝습니다.
SIEM이라는 용어는 로그를 모아 관리·보관하는 SIM(보안 정보 관리)과 실시간 이벤트를 감시·경보하는 SEM(보안 이벤트 관리)을 합친 개념으로, 2005년 가트너의 보고서에서 처음 제시된 것으로 알려져 있습니다.TechTarget
보안 장비를 여러 대 도입해도, 각 장비의 경보를 따로따로 보면 공격의 전체 그림이 보이지 않습니다. SIEM은 이 조각들을 한 화면에 모아 "누가, 언제, 어디서, 무엇을 했는지"를 시간순으로 재구성해 줍니다.
SIEM의 동작 방식
SIEM은 대체로 다음 다섯 단계로 로그를 처리합니다.
- 로그 수집 — 방화벽·서버·PC·EDR·계정 시스템·클라우드 등에서 로그와 이벤트를 실시간으로 끌어옵니다.
- 정규화 — 장비마다 다른 형식·필드·시간 표기를 하나의 기준으로 통일합니다. 시간 동기화(NTP)가 어긋나면 이후 분석이 모두 흔들립니다.
- 상관분석 — 미리 정한 룰과 평소 행동 기준선(이상행위 분석)으로 서로 다른 로그를 연결해 위협 시나리오를 찾습니다.
- 탐지·경보 — 위험도에 따라 경보를 발생시키고 대시보드로 가시화해 담당자가 즉시 확인하게 합니다.
- 보관·리포트 — 원본 로그를 법적 요건에 맞게 보관하고, 사고 조사(포렌식)와 감사·인증 대응에 쓸 리포트를 만듭니다.
상관분석이 무엇을 잡아내나 — 시나리오로 보기
아래 기록들은 하나씩 떼어 보면 모두 '정상'입니다. 그래서 개별 장비는 경보를 울리지 않습니다. 하지만 짧은 시간 안에 이어지면 이야기가 달라집니다.
SIEM은 이 네 가지를 같은 계정·같은 시간대의 연결된 사건으로 묶어 '계정 탈취 후 대량 유출 시도'로 경보합니다. 이것이 로그를 단순히 쌓아두는 것과 SIEM의 결정적인 차이입니다.
SIEM vs SOAR vs XDR
세 기술은 경쟁 관계가 아니라 역할이 다른 층입니다. SIEM이 '보고 판단'하고, SOAR가 '대응을 자동으로 실행'하며, XDR은 한 제품군 안에서 '탐지와 대응을 함께' 처리합니다.
| 구분 | SIEM | SOAR | XDR |
|---|---|---|---|
| 한 줄 정의 | 전사 로그를 모아 상관분석해 위협을 탐지·기록 | 탐지된 경보의 대응 절차를 자동 실행 | 엔드포인트·네트워크·클라우드를 한 제품군에서 탐지·대응 |
| 초점 | 가시성 · 탐지 · 컴플라이언스 | 대응 자동화 · 오케스트레이션 | 탐지·대응의 제품 통합 |
| 다루는 데이터 | 보안 장비 + 서버·앱·계정 등 사내 거의 모든 로그 | SIEM·보안 솔루션이 만든 경보와 API 연동 정보 | 벤더가 제공하는 센서·텔레메트리 중심 |
| 자동 대응 | 제한적(경보·가시화 중심) | 핵심 기능(플레이북 자동 실행) | 제품 내 자동 격리·차단 내장 |
| 주로 쓰는 곳 | 통합 관제, 사고 조사, ISMS-P 등 감사·규제 대응 | 반복 대응 업무 단축, 관제 인력 부담 완화 | 단일 벤더 기반의 빠른 탐지·대응 |
실무에서는 SIEM으로 모아 보고, SOAR로 대응을 자동화하고, XDR로 단말·네트워크 대응을 강화하는 조합이 흔합니다. 최근에는 SIEM에 이상행위 분석(UEBA)과 자동 대응이 흡수되면서 경계가 점점 흐려지고 있습니다.
실무 체크 포인트 — SIEM 도입·운영
SIEM은 '설치'보다 어떤 로그를 넣고 어떻게 튜닝하는가에서 성패가 갈립니다. 다음을 점검하세요.
SIEM은 일어난 일을 보여주는 눈입니다. 하지만 눈으로 보는 것만으로는 유출을 막을 수 없습니다. 특히 내부 사용자가 USB·메일·클라우드·출력으로 자료를 내보내는 행위는 반출 지점에서 직접 통제해야 합니다. 오피스키퍼는 정보유출방지로 이 반출 경로를 차단하고, 문서 중앙화·접근 권한 관리와 상세한 사용 이력으로 SIEM이 볼 수 있는 내부 행위 로그까지 함께 채워 줍니다.
자주 묻는 질문
Q. 로그를 서버에 모아두는 것과 SIEM은 뭐가 다른가요?
A. 단순 로그 저장은 '보관'까지입니다. SIEM은 형식이 다른 로그를 정규화한 뒤 서로 연결해 분석(상관분석)하고, 위험한 흐름을 경보로 알려 줍니다. 사람이 일일이 찾지 않아도 이상 징후가 먼저 올라온다는 점이 결정적인 차이입니다.
Q. 기존 ESM(통합보안관제)과 SIEM은 다른 건가요?
A. 국내에서 오래 쓰인 ESM은 방화벽·IDS 같은 보안 장비의 이벤트 관제에 초점이 있었습니다. SIEM은 여기서 범위를 넓혀 서버·애플리케이션·계정 등 전사 로그를 모으고, 장기 보관과 상관분석·감사 대응까지 포괄합니다. 실무에서는 ESM의 확장·발전형으로 이해하면 자연스럽습니다.
Q. SIEM이 있으면 방화벽·EDR은 필요 없나요?
A. 필요합니다. SIEM은 탐지·가시성 계층이고, 실제 차단·격리는 방화벽·IPS·EDR·정보유출방지 같은 통제 솔루션이 담당합니다. 오히려 이런 솔루션의 로그가 많고 정확할수록 SIEM의 분석 품질이 올라갑니다.
Q. 로그는 얼마나 보관해야 하나요?
A. 개인정보처리시스템의 접속기록은 「개인정보의 안전성 확보조치 기준」 제8조에 따라 1년 이상 보관·관리해야 하며, 5만 명 이상의 정보주체 개인정보를 처리하거나 고유식별정보·민감정보를 처리하는 경우, 기간통신사업자는 2년 이상입니다. 접속기록은 월 1회 이상 점검해야 합니다.국가법령정보센터
Q. 경보가 너무 많이 온다는데, 왜 그런가요?
A. 기본 룰을 그대로 쓰면 우리 업무에서는 정상인 행동까지 위협으로 올라옵니다. 운영 초기에 기준선 조정·룰 튜닝·위험도 우선순위를 잡아 실제로 볼 경보만 남기는 과정이 반드시 필요합니다.
Q. 중소기업도 SIEM이 필요한가요?
A. 규모에 따라 다릅니다. 전담 관제 인력이 없다면 대형 SIEM보다 클라우드형 로그 관리 서비스나 관제 서비스(MSSP) 위탁이 현실적입니다. 다만 로그를 남기고 점검하는 것은 법적 의무이므로, 규모와 무관하게 접속기록 보관·점검 체계부터 갖추는 것이 우선입니다.
위협은 SIEM으로 보고, 내부에서 새는 정보는 오피스키퍼로 막으세요.
제품소개서 신청하기