A.8.15
로깅
기술적 통제확인사항 6증적 6사례 6
통제 목적
로깅은 정보시스템, 애플리케이션, 네트워크/보안 장비, 사용자 활동에서 발생하는 이벤트를 기록하여 보안 사고의 탐지, 조사, 대응에 필요한 증거와 책임추적성(accountability)을 확보하기 위한 통제입니다. 로그는 이상행위 식별, 사고 원인 규명, 법적/규제 요구사항 준수의 기반이 되므로 무엇을, 어느 수준으로, 얼마나 오래 기록하고 보관할지를 명확히 정의해야 합니다. 또한 로그 자체가 위변조/삭제/무단열람의 표적이 될 수 있으므로, 기록을 남기는 데 그치지 않고 로그의 무결성과 기밀성까지 보호하는 것이 목적입니다.
주요 확인사항
- 로깅 대상 시스템과 기록할 이벤트 유형(로그인, 권한변경, 데이터 접근, 설정변경, 오류 등) 및 상세 수준이 로깅 정책/절차에 정의되어 있는가?
- 각 로그에 사건 재구성에 필요한 항목(발생 시각, 주체 식별자, 대상, 행위, 성공/실패 결과 등)이 포함되고, 이벤트나 플랫폼이 제공하는 경우 출발지 정보도 기록되도록 설정되어 있는가?
- 로그의 무결성/기밀성을 보장하기 위해 접근통제, 변조방지, 암호화, 중앙 수집 등의 보호조치가 적용되어 있는가?
- 로그 보존기간이 법적/규제/내부 요구사항에 맞게 정의되고, 보존기간 동안 유실 없이 저장되는가?
- 특권/관리자 계정의 활동이 별도로 기록되고, 로그 관리자가 자신의 행위를 은폐하지 못하도록 직무분리/통제가 이루어지는가?
- 로그 수집 실패, 저장소 용량 초과, 시간 미동기화 등 로깅 신뢰성을 저해하는 상황을 탐지하고 대응하는 절차가 있는가?
이행 지침
- 정보자산 중요도와 위험평가 결과에 따라 로깅 대상 시스템, 이벤트 유형, 상세 수준을 선정하고 로깅 정책/표준으로 문서화합니다.
- 로그에는 사건 재구성에 필요한 시간, 주체, 유형, 대상과 결과를 기록하고 가능한 경우 출발지 주소를 포함합니다. 이벤트나 플랫폼에서 제공하지 않는 필드는 임의로 채우지 않으며 시간대와 필드 의미를 명확히 합니다.
- 로그를 원격 중앙 저장소(로그서버/SIEM)로 전송하여 개별 시스템이 침해되더라도 원본 기록이 남도록 하고, 전송 구간을 암호화합니다.
- 로그 읽기/쓰기 권한을 최소화하고 변경/삭제 제한, 별도 저장소, 추가 전용 저장 등의 보호를 적용합니다. 해시/서명을 무결성 검증에 사용할 때에는 기준값과 검증 키도 공격자가 함께 바꾸지 못하도록 보호합니다.
- 비밀번호, 재사용 가능한 토큰, API 비밀키 등 인증 비밀정보는 로그에서 제외합니다. 개인정보는 목적에 필요한 항목만 기록하고 마스킹/필터링과 접근통제를 적용합니다. 로그 저장소를 암호화했다고 해서 불필요한 비밀정보 기록이 정당화되지는 않습니다.
- 로그 순환(rotation), 보존기간, 아카이브, 파기 규칙을 정의하고 저장소 용량과 수집 상태를 지속적으로 모니터링합니다.
- 특권/관리자 활동 로그를 일반 사용자 로그와 분리 보관하고, 로그 관리 권한과 시스템 운영 권한을 직무 분리하여 상호 감시가 가능하게 합니다.
증적자료
- 로깅 정책/표준(대상 시스템, 기록 이벤트, 필수 필드, 보존기간 정의)
- 주요 시스템/보안장비의 로그 설정 화면 또는 구성파일 및 실제 수집 로그 샘플
- 중앙 로그 저장소(SIEM/로그서버) 구성도 및 로그 전송/수집 현황
- 로그 접근권한 목록과 무결성 보호(해시/서명/append-only) 적용 증적
- 로그 보존기간 및 파기 이력, 저장소 용량/수집 상태 모니터링 기록
- 특권/관리자 활동 로그 및 로그 관리 직무분리 증적
부적합 사례
- 주요 서버/보안장비에서 로그 기능이 비활성화되어 있거나 핵심 이벤트(권한변경, 접근실패 등)가 기록되지 않는 경우
- 시스템별 시각이 동기화되지 않아 사고 발생 시 로그 상관분석과 시간대별 추적이 불가능한 경우
- 관리자가 개별 서버의 로그를 임의로 삭제/수정할 수 있어 로그 무결성이 보장되지 않는 경우
- 로그 보존기간이 법적 요구(예: 접속기록 보존 의무)에 미달하거나 조기에 삭제되는 경우
- 재사용 가능한 인증 비밀정보나 불필요한 민감 개인정보가 로그에 기록되어 노출 위험이 발생한 경우
- 로그 수집 실패나 저장소 용량 초과를 감지하지 못해 상당 기간 로그가 누락된 사실을 인지하지 못한 경우