🔐 SIEM & SOAR

1. 개요

• 사이버 보안 위협의 증가에 따라 대규모 로그 데이터 수집 및 분석을 통한 위협 탐지의 중요성이 증대됨
• 이에 따라 보안 운영 효율성과 자동화 요구가 증가하며 SIEM과 SOAR 기술이 함께 발전함
• SIEM은 로그 중심의 위협 탐지 및 상관분석 중심 도구, SOAR는 대응 자동화와 프로세스 오케스트레이션 중심 도구로 발전
• 두 기술은 상호보완적 관계를 가지며 보안 운영센터(SOC)의 핵심 시스템으로 활용됨

---

2. 정의 및 주요 기능

■ SIEM(Security Information & Event Management)

• 다양한 보안 장비 및 시스템에서 발생하는 로그, 이벤트, 알람 정보를 수집 및 통합
• 수집된 데이터를 기반으로 실시간 보안 이벤트 분석 및 이상행위 탐지 수행
• 상관분석, 패턴매칭, 룰기반 탐지를 통해 의심 이벤트를 식별
• 대시보드, 경보, 리포트 기능을 통해 보안 가시성 제공
• 포렌식, 규제 준수(Compliance), 감사 목적의 로그 장기 저장 및 검색 가능

■ SOAR(Security Orchestration, Automation & Response)

• 보안 경보에 대해 수동 대응이 아닌 자동화된 워크플로우 기반 대응 체계를 제공
• 다양한 보안 시스템 및 API 기반 통합 연동 기능을 통해 오케스트레이션 수행
• 사전 정의된 Playbook 기반으로 탐지 → 분석 → 대응 → 보고 과정 자동화
• 티켓 시스템과 연계하여 보안 분석가의 업무 효율 향상
• 반복 작업 최소화 및 대응 시간 단축을 통한 운영 효율화 달성

---

3. 주요 구성 요소 비교

항목	SIEM	SOAR
목적	위협 탐지 및 로그 분석	보안 자동화 및 대응 오케스트레이션
주요기능	로그 수집, 이벤트 상관분석, 대시보드 제공	경보 수집, Playbook 기반 자동화, API 연동
분석대상	로그 및 이벤트 데이터	경보(Alert), 티켓, 인시던트
분석방식	룰 기반, 통계 기반, AI 기반 상관분석	자동화된 분석 절차 및 대응 시나리오 실행
사용자	보안 분석가, 감사 담당자	보안 운영팀, 대응 담당자
도입 목적	보안 가시성 확보, 이상행위 탐지	대응 시간 단축, 운영 자동화

---

4. 통합 운영 및 상호 보완성

• SIEM은 다양한 보안 로그를 수집하고, 경보를 생성하여 분석가에게 전달
• SOAR는 SIEM이 생성한 경보를 수신하여 자동 분석 및 대응 프로세스를 실행
• 예시: SIEM이 악성 IP 탐지 경보 발생 → SOAR가 해당 IP에 대한 Threat Intelligence 조회 → 방화벽 차단 정책 자동 적용
• SIEM은 탐지 역량, SOAR는 대응 역량을 각각 담당하며 SOC의 통합 보안 운영을 완성

---

5. 도입 고려사항

■ SIEM 도입 고려사항

• 로그 소스 다양성 및 수집 범위
• 상관분석 규칙의 정교함과 커스터마이징 가능성
• 실시간 탐지 및 대시보드 성능
• 장기 보관 정책 및 규제 대응 능력

■ SOAR 도입 고려사항

• 기존 보안 시스템과의 API 연동 범위
• 대응 시나리오 정의 및 자동화 가능성
• 보안 운영팀의 대응 프로세스와의 정합성
• 사용자 권한 관리 및 승인 절차 설계 필요

---

6. 시장 동향 및 기술 발전

• 클라우드 환경 및 하이브리드 인프라 확산에 따라 보안 이벤트의 양이 기하급수적으로 증가
• 이에 따라 SIEM은 AI 기반 분석 기능, UEBA(User & Entity Behavior Analytics), 클라우드 네이티브 아키텍처로 진화
• SOAR는 단순 Playbook 자동화를 넘어 Generative AI 기반의 대응 시나리오 생성, 자연어 분석 기능 접목
• 오픈소스 SOAR 도입 증가 및 XDR(Extended Detection and Response)과의 통합 확산 추세

---

7. 결론

• SIEM은 위협 탐지의 중심축으로 기능하며, SOAR는 대응 자동화의 핵심 요소로 작용
• 두 시스템의 적절한 조합과 통합 운영이 보안 운영 성숙도 제고의 핵심
• 보안 인력 부족, 대응 지연 문제를 해결하기 위해 SOAR의 자동화 기능은 필수적
• 궁극적으로는 탐지 → 분석 → 대응 → 복구 전 주기를 아우르는 보안 체계를 구축하는 것이 지향점

---