SIEM이란? 뜻·주요 기능·SOC 운영 기준

SIEM은 한국 보안 분야에서 가장 많은 어휘를 생산하면서 SOAR·EDR·XDR·UEBA·로그 관리와 가장 자주 겹치는 카테고리입니다. 공통 어휘 없이 RFP에 들어가면 이미 가진 기능을 다시 사거나, 필요한 기능을 빠뜨립니다. 본 용어집은 한국 SOC 구매자가 벤더 미팅 전 정리해야 할 핵심 개념을 다루고, 개인정보보호법·금융보안원·KISA·정보통신망법 맥락에 매핑합니다. 보안 엔지니어링을 가르치는 것이 아니라 조달 대화의 모호함을 제거하는 것이 목표입니다.

이 용어집의 구성

• SIEM의 핵심 정의
• 로그 관리 vs SIEM
• SOAR와 자동화의 위치
• EDR·NDR·XDR과 SIEM의 관계
• UEBA와 행위 분석
• MITRE ATT&CK과 탐지 콘텐츠
• 위협 인텔리전스(TI)와 TIP
• 인제스션·보관·티어드 스토리지
• MSSP·MDR·관리형 SOC 모델
• 한국 조달에서 자주 보는 용어(개인정보보호법·금융보안원·KISA·KISIA)

SIEM의 핵심 정의

Security Information and Event Management(SIEM)는 IT와 비즈니스 시스템에서 로그를 받아 정규화하고, 사건 간 상관 분석을 수행하며, 의심스러운 패턴에 경보를 발생시키고 조사·감사를 위한 기간 동안 보관하는 플랫폼입니다. 2000년대 로그 집계에서 시작해 상관·UEBA·위협 인텔·SOAR를 흡수해 왔습니다. 한국 구매자에게 실질적 효과는 사고 대응의 시작점, 감사 종착점, 금융보안원·KISA 사고 보고 접점 모두가 한 플랫폼으로 수렴한다는 것입니다. SIEM은 엔드포인트 보호가 아닙니다 — 그것이 EDR입니다.

로그 관리 vs SIEM

로그 관리는 전제 계층(수집·전송·파싱·저장)이고, SIEM은 그 위에서 상관·경보·대시보드·조사 기능을 추가합니다. 한국 미드마켓은 로그 관리(Splunk Core, ELK without Security)로 시작해 SIEM(Splunk ES, Elastic Security)으로 졸업합니다. 견적 단계에서 SIEM 벤더는 로그 관리가 있다고 암묵 가정하기도 하고, 로그 관리 벤더가 SIEM 기능을 과대 광고하기도 하므로 어휘를 명확히 합니다.

SOAR와 자동화의 위치

Security Orchestration, Automation, and Response(SOAR)는 경보 이후의 단계(위협 인텔 보강, 티켓 생성, 엔드포인트 격리, 분석가 통지)를 자동화합니다. 전용 SOAR: Splunk SOAR(전 Phantom), Palo Alto Cortex XSOAR, IBM QRadar SOAR. 현대 SIEM은 경량 SOAR를 번들 — Sentinel Logic Apps, LogRhythm RespondX, Elastic case management. 한국 미드마켓 SOC는 번들 SOAR로 충분, 도구 다수와 복잡한 자동화가 필요한 엔터프라이즈는 전용 SOAR를 선호합니다.

EDR·NDR·XDR과 SIEM의 관계

EDR은 엔드포인트(CrowdStrike·SentinelOne·Defender for Endpoint), NDR은 네트워크(Vectra·Darktrace·Cisco SecureX), XDR은 엔드포인트·네트워크·신원·클라우드를 결합한 더 넓은 개념(Microsoft Defender XDR·Cortex XDR·SentinelOne Singularity XDR). SIEM은 XDR보다 더 넓고 비즈니스 시스템까지 포괄합니다. 한국 SOC는 XDR을 고품질 보안 데이터 레이크, SIEM을 폭넓은 컴플라이언스·감사 계층으로 병행 운용합니다.

UEBA와 행위 분석

User and Entity Behaviour Analytics(UEBA)는 사용자·호스트·서비스의 정상 baseline을 학습하고 이상치를 알람으로 띄웁니다. 특권 사용자의 이상 위치 로그인, 처음 접근하는 스토리지에 접근하는 서비스 계정, 평소의 100배 다운로드 같은 패턴이 대상입니다. Sentinel·Splunk ES·Elastic Security·QRadar UBA·LogRhythm 모두 내장. Exabeam·Securonix 등 standalone은 SIEM에 통합됩니다. 금융보안원 검사 대상 한국 구매자에게 UEBA의 특권 접근 커버리지는 점차 평가 기준이 되고 있습니다.

MITRE ATT&CK과 탐지 콘텐츠

MITRE ATT&CK은 실세계 공격자 행위를 전술(왜)과 기술(어떻게)로 카탈로그화한 공개 프레임워크입니다. SIEM 탐지 콘텐츠는 점점 ATT&CK 용어로 기술되고(Sentinel content는 전술·기술 태그, Splunk Security Essentials도 ATT&CK 매핑, MITRE는 ATT&CK 정렬 규칙을 공개) 한국 SOC는 자체 탐지 커버리지를 ATT&CK으로 매핑해 관리·감사 회의에서 성숙도를 표현합니다. 특정 기술의 커버리지 갭이 다음 분기 콘텐츠 엔지니어링 우선순위를 만듭니다.

위협 인텔리전스(TI)와 TIP

TI는 IoC(IP·도메인·해시), 관찰된 전술, 위협 actor 프로필 등 curated 정보입니다. TIP(Anomali·MISP·ThreatConnect·Recorded Future)이 피드를 집중·전달합니다. 한국 구매자는 글로벌 상용 인텔(Mandiant·Recorded Future·CrowdStrike Falcon Intelligence)과 KISA·금융보안원 advisory, 산업별 ISAC 피드를 결합합니다. SIEM이 TI를 native로 통합하면(Sentinel TAXII, Splunk Threat Intelligence Framework, QRadar X-Force) 별도 TIP 필요성이 줄어듭니다.

인제스션·보관·티어드 스토리지

인제스션은 일 단위 GB 수집량, 보관은 검색 가능한 기간입니다. Hot(초)·Warm(분)·Cold(저비용)로 계층화하며, 한국은 금융보안원·CII 영향권에서 12개월 hot + 24개월 warm이 일반적입니다. Sentinel·Elastic·Splunk SmartStore의 티어드 스토리지가 60~90% 비용 절감을 가능케 하지만 검색 지연이 발생합니다. 평가 시 티어별 감사 친화 export 가능 여부를 검증합니다.

MSSP·MDR·관리형 SOC 모델

MSSP는 SIEM을 모니터링·triage·에스컬레이션하는 전통 모델, MDR은 결과 지향 진화로 격리·계정 차단·사고 봉쇄까지 수행합니다. 한국에는 안랩·이글루·IGLOO·SK실드러스 등 국내 MSSP/MDR과 글로벌 MDR(CrowdStrike Falcon Complete·SentinelOne Vigilance·Sophos MDR)이 활동합니다. 경계는 흐려졌고 중요한 건 위임 권한 범위, 응답 SLA, SOC가 한국 온쇼어인지입니다.

한국 조달에서 자주 보는 용어(개인정보보호법·금융보안원·KISA·KISIA)

RFP에는 일관된 어휘가 등장합니다. 개인정보보호법은 고유 식별·MFA·감사 로그·침해 대응을 요구하고 개인정보보호위원회가 감독합니다. 금융보안원의 전자금융감독규정·정보처리시스템 가이드라인은 강한 고객 인증·특권 접근 관리·end-to-end 로깅을 강제합니다. KISA(한국인터넷진흥원)는 ISMS-P 인증·국가 사이버 보안 advisory의 핵심이고, KISIA는 산업협회, K-CSAP·CC 인증은 일부 공공·통신 환경에서 자주 등장합니다. 벤더가 요청 시 서면 매핑 표를 제공할 수 있어야 합니다.

제품 자세히 보기

용어집에서 조달로의 가교

두 가지 실용 가교를 권장합니다. ① 벤더에게 자사 환경에 대응한 ATT&CK 커버리지 매트릭스를 요청해 out-of-box 커버와 콘텐츠 엔지니어링 필요 항목을 가시화합니다. ② 개인정보보호법·금융보안원·ISMS-P 매핑 표(보존·모니터링·감사 export·국내 데이터 잔류)를 서면으로 받습니다. 두 가지가 모두 충족되면 한국 감사 일정과의 마찰이 작아집니다.