A.8.16
모니터링 활동
기술적 통제확인사항 6증적 6사례 6
통제 목적
모니터링 활동은 네트워크, 시스템, 애플리케이션을 지속적으로 관찰하여 정상 기준선에서 벗어난 이상행위, 비정상 트래픽, 무단 접근 시도 등을 조기에 탐지하고, 이를 잠재적 보안 사고로 평가하여 신속히 대응할 수 있도록 요구하는 통제입니다. 로그를 남기는 데 그치지 않고 수집된 데이터를 조직의 필요와 역량에 맞춰 실시간 또는 정해진 주기로 분석하고 상관분석하여 침해 징후를 식별하는 것이 핵심입니다. 탐지 규칙과 기준선을 지속적으로 조정하여 탐지 누락(미탐)과 과다 오탐을 함께 줄이고, 모니터링이 사고 대응 체계와 연계되도록 하는 것이 목적입니다.
주요 확인사항
- 모니터링 대상(네트워크, 서버/OS, 애플리케이션, 보안장비, 클라우드, 계정/권한 등)과 수집 항목이 위험도 기반으로 정의되어 있는가?
- 정상 상태 기준선(baseline)과 이상 탐지 규칙/임계치가 정의되어 있고, 위협 정보 및 사고 이력을 반영해 주기적으로 갱신되는가?
- 이상 징후 발생 시 경보(alert) 발생, 심각도 분류, 사고대응 절차로의 연계(에스컬레이션)가 정의되어 운영되는가?
- 모니터링을 상시(24x7 필요 여부 포함) 수행하기 위한 인력, 도구(SIEM 등), 책임이 지정되어 있는가?
- 모니터링으로 생성되는 로그/경보 자체의 무결성이 보장되고 접근이 통제되며, 법적 보존기간을 충족하는가?
- 탐지 성능(오탐/미탐)과 경보 처리 시간 등을 주기적으로 검토하여 규칙과 기준선을 개선하는가?
이행 지침
- 자산 중요도와 위협 시나리오를 기준으로 모니터링 대상과 수집 지표(로그인 실패, 권한 상승, 비정상 트래픽, 데이터 대량 반출, 구성 변경 등)를 정의합니다.
- 정상 행위 기준선을 수립하고, 이상 탐지 규칙/임계치와 상관분석(correlation) 규칙을 설계하여 SIEM 등 보안 모니터링 도구에 반영합니다.
- 경보를 심각도별로 분류하고, 담당자 배정, 조사, 사고대응 절차로 이어지는 트리아지 및 에스컬레이션 흐름을 문서화합니다.
- 외부 위협 정보(위협 인텔리전스)와 과거 사고/오탐 결과를 반영해 탐지 규칙과 기준선을 주기적으로 튜닝하여 미탐과 오탐을 줄입니다.
- 모니터링 로그와 경보 데이터의 무단 변경/삭제를 방지하도록 접근통제, 시각 동기화, 보존기간을 적용합니다.
- 중요도가 높은 환경에는 상시(24x7) 감시 체계 또는 외부 관제 서비스와의 연계를 검토하고, 모니터링 사각지대(암호화 트래픽, 클라우드/SaaS 등)에 대한 가시성 확보 방안을 마련합니다.
증적자료
- 모니터링 정책/절차서(대상, 수집 항목, 기준선, 경보 기준, 책임 정의)
- SIEM/모니터링 도구 구성 및 탐지 규칙/상관 규칙 목록
- 경보 발생 및 처리 이력(트리아지 결과, 에스컬레이션 기록)
- 모니터링 대시보드/관제 보고서(일간/주간 리포트 등)
- 탐지 규칙 튜닝 및 기준선 갱신 이력, 오탐/미탐 검토 기록
- 모니터링 로그 접근권한 목록 및 보존/무결성 설정 증적
부적합 사례
- 로그는 수집하나 실시간/정기 분석 없이 방치되어 침해 징후가 탐지되지 않는 경우
- 이상 탐지 규칙/기준선이 최초 설정 후 갱신되지 않아 신종 공격이나 환경 변화를 반영하지 못하는 경우
- 경보가 대량 발생하나 심각도 분류/처리 절차가 없어 실제 위협 경보가 오탐 속에 묻히는 경우
- 클라우드/SaaS, 원격근무 등 신규 환경이 모니터링 범위에서 누락되어 가시성 사각지대가 발생한 경우
- 경보 발생 후 사고대응 절차로의 에스컬레이션 연계가 정의되지 않아 대응이 지연된 경우
- 모니터링 로그/경보 데이터에 접근통제가 없어 관리자 또는 공격자가 흔적을 임의로 삭제할 수 있는 경우