한국에서 SIEM 솔루션 선택하는 방법: 실전 구매 가이드

SIEM은 한국 조직이 가장 오래 운영하는 보안 플랫폼이자, 가장 자주 과잉 판매되는 도구입니다. 금융보안원 검사 대상, CII 지정 기관, 개인정보보호법을 의식하는 기업 모두 사고 대응의 출발점, 감사 종착점, 매니지드 서비스의 접점으로 SIEM을 기대합니다. 계약 전 의사결정 — 사이징, 콘텐츠, 운영 모델 — 이 계약보다 오래 살아남습니다. 본 가이드는 한국 구매자가 ① 프로젝트 프레이밍, ② 인제스션 사이징, ③ 로그 소스 매핑, ④ 탐지 콘텐츠 설계, ⑤ 벤더 평가, ⑥ 운영 계획, ⑦ 예산 수립의 7단계를 거치도록 안내합니다.

이 가이드의 구성

• 프로젝트 프레임: SIEM이 실제로 전달해야 할 것
• 인제스션을 정직하게 사이징
• 벤더 데모 전 로그 소스 매핑
• 탐지 콘텐츠 전략 결정
• 보관과 티어드 스토리지 설계
• 사내 SOC·MSSP·하이브리드 중 선택
• 개인정보보호법·금융보안원·정보통신망법 매핑
• 현실을 반영한 PoC 실행
• 3년 TCO 모델링
• 롤아웃·거버넌스·운영 계획
• 흔한 함정과 회피 방법

프로젝트 프레임: SIEM이 실제로 전달해야 할 것

벤더를 좁히기 전, SIEM이 조직에서 달성해야 할 네 가지 결과를 명시합니다. 한국 미드마켓 SOC에서 보통은: tier-1 사고의 MTTD/MTTR 단축, 컴플라이언스 가능한 감사 트레일, 월간 보고로 임원 가시성, threat hunter가 데이터를 이동할 수 있는 공간. 데모가 이 네 지표 중 어느 것도 움직이지 못한다면, 기능 범위와 무관하게 그 플랫폼은 적합하지 않습니다.

두 번째 프레임은 SIEM이 무엇이 아닌가입니다. EDR이 아니고, ITDR이 아니며, SOAR도 아닙니다. 가장 흔한 한국 미드마켓 실수는 네 영역을 단일 SIEM SKU에 욱여넣는 것입니다. 분야는 잘 연동되지만 단일 제품으로 살아남기는 어렵습니다.

세 번째 프레임은 거버넌스 — 운영 오너, 예산, 콘텐츠 수명주기 결정자입니다. 한국 미드마켓에서 성공한 프로그램은 단일 책임자(SOC manager), DPO와 컴플라이언스 리드가 포함된 스티어링, 분기별 검토 캐덴스가 문서화되어 있습니다.

인제스션을 정직하게 사이징

가장 중요한 한 가지 숫자는 일 인제스션(GB)입니다. 기존 로그 소스에 대해 2주 샘플링을 수행하고 12개월 성장률을 포함해 투영합니다. 한국 SOC가 이 단계를 건너뛰면 계약 시점에 그럴듯한 견적이 6개월 안에 초과로 이어집니다. 클라우드 워크로드(Azure, AWS, GCP)는 마이크로서비스 로깅 증가로 연 50~100% 성장, 온프레미스 네트워크와 엔드포인트 볼륨은 안정적입니다. 30GB/일에서 70%가 클라우드라면 18개월 안에 50~60GB/일을 예상하고 계약에 ramp를 명시합니다.

SIEM에 들어가지 않아도 되는 것을 가립니다. 디버그 로그, 원시 패킷 캡처, 대량 DNS 쿼리는 더 저렴한 데이터 레이크(Azure Data Explorer, S3+Athena)로 보내거나 필터링합니다. 사전 필터링은 30~50% 비용을 줄이면서도 탐지 가치를 유지합니다. Sentinel·Splunk는 에이전트 레벨에서 필터, Elastic은 Logstash, QRadar는 DSM Editor를 활용합니다.

벤더 데모 전 로그 소스 매핑

벤더 데모는 항상 80% out-of-box 커버리지를 보여 줍니다. 한국 미드마켓 실제는 50~60%에 가깝습니다. 남는 부분이 일정의 성패를 가릅니다. 출시 전(tier-1), 90일 내(tier-2), 장기(tier-3)로 소스를 분류합니다. Tier-1은 EDR, SSO/MFA, M365, 주력 클라우드, 주요 방화벽, 개인정보 접근 HR 시스템입니다. Tier-2는 보조 방화벽·WAF·보조 EDR·위협 인텔·재무 시스템. Tier-3는 비즈니스 앱·마케팅 도구·일회성 통합. 사람인 HRD·두레이·자비스·한국 ERP·금융권 SaaS·금감원·KISA API 같은 한국 시스템은 커스텀 수집이 필요한 경우가 많으므로 벤더 또는 한국 파트너의 레퍼런스 통합 여부를 확인합니다.

탐지 콘텐츠 전략 결정

한국 SOC는 콘텐츠 전략을 ① 벤더 주도, ② bring-your-own, ③ 커뮤니티 주도 중 어디로 둘지 사전에 정합니다. 콘텐츠 엔지니어가 없으면 Sentinel·LogRhythm 같은 벤더 주도 + 가벼운 커스터마이즈가 가장 무난합니다. 엔지니어 자원이 있다면 SPL·KQL·EQL bring-your-own이 더 유연하고 플랫폼 교체에도 견딥니다. 한국 SOC가 자연스럽게 KQL로 모이는 흐름이 큰데, Defender·Log Analytics와 동일 언어 사용이 이유입니다. 위협 인텔(Mandiant·Recorded Future·MISP·OTX) 도입도 함께 결정합니다 — 금융보안원 검사 대상에서는 이미 표준 기대치입니다.

보관과 티어드 스토리지 설계

한국 SIEM 보관은 hot(초 단위 검색)과 warm(분 단위 검색) 두 단계로 운영됩니다. 금융보안원·CII 대상은 12개월 hot + 24개월 warm이 일반적, ISMS-P·개인정보보호법 중심 기관은 6~12개월 hot에 머무는 경우가 많습니다. 특권 접근·금융 거래 등 일부 로그 종류는 5~7년 cold 보관으로 확장됩니다. Sentinel·Elastic은 티어드 스토리지가 강해 분석 티어 대비 10~25% 비용. Splunk SmartStore는 cold를 object storage로 이동, QRadar는 어플라이언스 capa 한계가 있어 QRadar on Cloud로 확장 보관을 사용합니다. PDPA·금융보안원 감사용 CSV/JSON export(체인 오브 커스터디 포함) 기능도 평가 단계에서 확인합니다.

사내 SOC·MSSP·하이브리드 중 선택

사내 SOC는 4명 이상 분석가 + SIEM 엔지니어가 있을 때 동작합니다 — 대형 금융기관·통신사 표준. MSSP는 2~4명 팀에 24/7 트리아지·콘텐츠 튜닝·사고 대응을 위탁하는 모델로, 한국 미드마켓에 적합. 하이브리드는 평일 사내 + 야간·주말 MSSP 온콜로, 점점 일반적입니다. 한국 분석가 인건비(연 1.0~1.6억) × 4명 + SIEM 엔지니어 + SOC 매니저는 연 6~9억 수준. MSSP는 SLA에 따라 연 2~5억. 금융보안원 검사 대상은 한국 온쇼어 SOC가 점점 선호되며, MSSP를 정할 때는 한국 내 SOC 위치·산업 레퍼런스·에스컬레이션 경로를 명시적으로 검토합니다.

개인정보보호법·금융보안원·정보통신망법 매핑

한국 SIEM 프로젝트는 RFP 단계부터 컴플라이언스 매핑 표를 만듭니다. 개인정보보호법은 고유 식별, PII 시스템 MFA, 사고 조사용 감사 트레일을 요구. 금융보안원의 전자금융감독규정·정보처리시스템 보호조치는 특권 접근 모니터링, 실시간 알람, 12~24개월 보관, end-to-end 로깅. 정보통신망법·전자정부법은 공공·통신 분야에서 추가 요건. 각 요구사항을 플랫폼 기능, 필요한 SKU, 운영 오너로 정리한 테이블을 작성하면 계약 협상과 감사 대응이 동시에 단순해집니다.

현실을 반영한 PoC 실행

PoC는 6~8주가 한국 표준입니다. tier-1 소스 3~5종 인제스션, 실제 환경에서 가져온 탐지 시나리오 2건, end-to-end 사고 대응 워크플로 1회, DPO가 사인할 수 있는 감사 export 1건이 포함되어야 합니다. 한국 관련 시나리오(특권 계정 이상 위치 로그인, M365 브루트 포스, 웹메일 통한 데이터 유출, EDR 상관 횡적 이동)를 선정하고, True Positive·노이즈·SOC UX·감사 export 품질·한국 지원 응답 시간을 다섯 축으로 점수화합니다.

3년 TCO 모델링

TCO는 ① 플랫폼(인제스션+보관), ② 도입(원오프 파트너), ③ 콘텐츠 엔지니어링(사내 또는 파트너 연간), ④ SOC 운영의 4개 라인입니다. 1년차에는 플랫폼이 헤드라인이지만 3년차에는 콘텐츠·운영이 비슷하거나 초과합니다.

롤아웃·거버넌스·운영 계획

롤아웃은 ① Foundation(1~6주: 코어 플랫폼, tier-1 통합, 기본 탐지 콘텐츠, 관리자 온보딩), ② Wave 1(7~16주: tier-2 통합, 커스텀 콘텐츠, SOC 운영 캐덴스), ③ Wave 2(17~30주: tier-3 롱테일, 위협 헌팅, 감사 설정), ④ Steady-state(7개월 이후: 튜닝, 보관 정책 재검토, 분기 콘텐츠 캠페인)의 4단계로 진행합니다. 거버넌스는 주간 콘텐츠 리뷰, 월간 노이즈 감축 스프린트, 분기 위협 헌팅 캠페인, 연간 MITRE ATT&CK 커버리지 감사를 운영 매뉴얼에 명문화하고 DPO·감사 부서가 열람할 수 있도록 합니다.

제품 자세히 보기

흔한 함정과 회피 방법

① 소스 매핑 전 플랫폼 선정 — 인벤토리를 끝낸 뒤 결정합니다. ② SOC 인원 과소 — 분석가 부족이면 알람이 쌓이고 가치가 하락합니다. ③ MSSP-ready 아키텍처 미설계 — 시작이 사내라도 테넌트 경계·태깅·접근 티어를 미리 정의합니다. ④ SIEM·EDR을 대체재로 취급 — 보완재로 설계합니다. ⑤ 감사 export 리허설 누락 — PoC에서 실제로 한 번 export 해 봅니다.