SIEM 환경에서 무탐지 규칙(No-Hit Rule) 기반 유효성 관리
Validity Management in SIEM Environment Based on No-Hit Rule Identification
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
보안 위협의 복잡성과 다양성이 증가함에 따라 SIEM(Security Information and Event Management) 시스템을 통한 실시간 위협 탐지의 중요성이 높아지고 있다. 그러나 운영 중인 경보가 장기간 관리되지 않으면 보안 사각지대가 형성될 수 있어, 탐지 규칙의 주기적 관리가 필수적이다. 본 연구는 일정 기간 동안 탐지 이력이 전혀 없는 규칙을 ‘무탐지 규칙(No-Hit Rule)’ 로 정의하고, SIEM 환경에서 이를 신속하고 자동으로 식별하여 탐지 규칙 관리 효율성을 향상시키는 방안을 제안한다. 이를 위해 규칙·이벤트 테이블 매칭 기반 자동 식별 절차와 로그 수집, 경보 조건, 위협정보 최신성, 자산적합성 4단계 분석 절차를 적용하였다. 제안한 방식은 실제 관제 환경에서 검증되었으며, 탐지 규칙 유효성 관리라는 새로운 연구 관점을 제시하였다.
Abstract
As the complexity and diversity of security threats increase, real-time threat detection using Security Information and Event Management (SIEM) systems has become increasingly important. However, if operational alerts remain unmanaged for a long period, security blind spots may occur, making periodic rule management essential. This study defines detection rules with no alert history during a specific period as No-Hit Rules and proposes an automated method to identify such rules efficiently in SIEM environments. The proposed approach performs rule–event table matching and applies a four-step diagnostic process consisting of log collection, alert condition, threat intelligence freshness, and asset relevance. The method was validated in an actual SOC environment and presents a new perspective on detection rule validity management.