SPiDER TM V5.0은 이글루시큐리티 보안관제 경험과 빅테이터 활용역량이 집약된 통합보안관리솔루션으로 최초탐지부터 로그/네트워크 패킷 분석까지 일원화 된 관제환경구성을 통해 관제업무의 기민성과 효율성을 높이는 동시에 인프라 전반에 대한 가시성을 확보할 수 있다.   

1. 개요

SPiDER TM V5.0 에서는 침해사고 발생 시 고객과 관제요원이 실시간으로 해당 상황을 빠르게 인지하고 대응할 수 있도록 사용자 정의 대시보드 기능을 제공 한다. 사용자정의 통계 기능을 활용하면 기존 사용자정의 대시보드의 제한적인 데이터 표현의 한계를 극복하여 사용자가 원하는 조건을 기준으로 통계 데이터 생성이 가능하다. 사용자가 정의한 조건을 기준으로 생성된 통계 데이터를 사용자 정의 대시보드의 Dataset으로 활용 할 수 있어 알아보기 쉽고 한눈에 파악이 가능하며 이를 통해 사고 발생 시 빠르게 인지 하는 직관적인 관제가 가능하다.

2. 사용자정의 통계 생성 방법

1) 관리 > 설정 관리 > 통계관리 > 사용자정의 통계

SPiDER TM V5.0 (이하 SIEM) 웹 UI 관리 페이지에 접속하여 사용자정의 통계 데이터를 생성해 보겠다. 설정관리 메뉴 아래의 통계관리 메뉴를 클릭 후 오른쪽 상단의 통계 등록 버튼을 클릭하면, 사용자 정의 통계를 생성하기 위한 설정 화면이 실행 된다.

2) 통계등록 > 통계 그룹 설정 > 통계명 설정

사용자정의 통계 메인 화면에서 “통계 등록” 버튼을 클릭하면, 아래와 같이 설정 화면이 나타난다. 사용자가 정의할 수 있는 조건은 통계 그룹, 통계 명, 로그소스, 필터, 통계 함수, 정렬, 제한조건 8가지 항목으로 구성된다.

예시) 웹 방화벽의 탐지, 차단 로그의 출발지 IP, 목적지 IP, 탐지명, 도메인, 메소드 데이터를 사용자정의 통계테이블로 생성해보자.

■ 필터조건 설정

1. 필터조건에 추가할 필드명을 확인

2. 연산자 항목에서 연산자 항목에서 해당 연산자 선택

3. 값 항목에 설정 값 입력 후 “+” 아이콘을 클릭하면 오른쪽 선택 목록 화면에 필드 추가 됨

선택 목록에 추가된 필드는 통계 엔진이 인식하는 표현식으로 변환되어 화면에 출력된다.

표현식은 출력 후 화면에서 직접 수정 가능하나, 출력 후 수정하게 되면 선택 목록에 선택된 필드 목록의 조건과 달라질 수 있다. 필드 조건이 2개 이상일 경우 AND|OR 버튼을 선택하여 앞에 있는 필드와의 관계를 설정 할 수 있다.

■ 그룹핑 필드 설정

그룹핑필드, 통계함수, 정렬, 제한조건 항목은 통계 설정에서 서로 연관성을 가지므로 순차적으로 입력하여 설정하여야 한다.

■ 통계 함수 설정

■ 정렬 설정

■ 제한조건 설정 후 등록 완료

3. 사용자정의 통계를 이용한 대시보드 구성

▶ 사용자정의 대시보드 > 설정 > Dataset 설정

▶ 사용자정의 대시보드 > 설정 > Widget 설정

사용자가 원하는 데이터를 통계화하여 보고자하는 데이터 표현이 가능하다. 

4. 사용자정의 통계를 이용한 웹 방화벽 집중 모니터링 대시보드 구성

5. 결론

보안관제 업무 수행 시 광범위한 데이터를 빠르게 이해하여 네기 원하는 데이터를 찾는 것은 매우 어려운 일이다. 사용자가 직접 만든 통계 데이터를 활용하여 대시보드를 구성하게 되면, 한 눈에 데이터 파악이 가능하고 내부 감시 및 사고 발생 시 빠르게 인지하는 직관적인 관제가 가능하다. 정확한 통계 데이터를 구하고 이를 대시보드로 표현 할 수 있다면 실시간으로 발생하는 질문에 대한 답을 얻을 수 있을 것이다.

SPiDER TM V5.0에서는 내가 원하는 데이터를 가공하여 손쉽게 업무에 필요한 대시보드 구현이 가능하다.