본문 바로가기

방화벽 로그 인텔리전스

수만 줄의 방화벽 로그를하나의 그래프로 읽습니다

흩어진 syslog를 자동으로 분류하고 엮어, 공격이 지나간 경로를 클릭 몇 번으로 보여줍니다.

도입 문의소개서 보기
  1. 203.0.113.77의 포트 스캔 1,284건, 경계 방화벽에서 차단
  2. 02:14 규칙 #4127로 10.0.5.21에 SMB 연결 허용
  3. 02:19 10.0.5.21에서 10.0.7.8로 RDP 접속
  4. 02:22 10.0.5.21에서 198.51.100.23으로 2.1GB 전송
예시 사건 INC-1104-0217. 실제 고객 데이터가 아닙니다.

로그 1,284줄이 사건 하나가 되기까지

아래 사건은 설명을 위해 만든 예시입니다.

장면 건너뛰기

  1. 흘러가기만 하는 로그

    새벽 2시 11분, 같은 출발지에서 차단 로그가 쏟아집니다. 텍스트만 봐서는 무엇이 어디서 시작됐는지 알 수 없습니다.

  2. 먼저 읽고 나눕니다

    차단과 허용, 그리고 위협 유형을 따로 표시합니다. 정상 트래픽은 흐려지고 허용된 의심 연결이 남습니다.

  3. 줄이 관계가 됩니다

    로그 한 줄 한 줄이 출발지와 방화벽, 내부 자산을 잇는 선이 됩니다. 차단된 시도는 방화벽에서 멈춥니다.

  4. 1,284번 막고 1번 뚫렸습니다

    규칙 #4127을 통과한 SMB 연결이 내부 RDP 접속과 외부 2.1GB 전송으로 이어졌습니다. NX-CORR가 이 흐름을 사건 하나로 묶습니다.

  1. 흘러가기만 하는 로그

    새벽 2시 11분, 같은 출발지에서 차단 로그가 쏟아집니다. 텍스트만 봐서는 무엇이 어디서 시작됐는지 알 수 없습니다.

  2. 먼저 읽고 나눕니다

    차단과 허용, 그리고 위협 유형을 따로 표시합니다. 정상 트래픽은 흐려지고 허용된 의심 연결이 남습니다.

    • 02:11:04.112 FW-EDGE-01 BLOCK tcp 203.0.113.77:52341 -> 10.0.5.14:22 rule=default-denyBLOCK · PORT-SCAN
    • 02:11:04.233 FW-EDGE-01 BLOCK tcp 203.0.113.77:52343 -> 10.0.5.15:3389 rule=default-denyBLOCK · PORT-SCAN
    • 02:14:39.902 FW-EDGE-01 ALLOW tcp 203.0.113.77:52911 -> 10.0.5.21:445 rule=4127ALLOW · 규칙 #4127

  3. 줄이 관계가 됩니다

    로그 한 줄 한 줄이 출발지와 방화벽, 내부 자산을 잇는 선이 됩니다. 차단된 시도는 방화벽에서 멈춥니다.

  4. 1,284번 막고 1번 뚫렸습니다

    규칙 #4127을 통과한 SMB 연결이 내부 RDP 접속과 외부 2.1GB 전송으로 이어졌습니다. NX-CORR가 이 흐름을 사건 하나로 묶습니다.

    203.0.113.77 스캔 출발지 198.51.100.23 전송 목적지 FW-EDGE-01 경계 방화벽 10.0.5.21 DMZ 파일 서버 10.0.5.0/24 스캔 대상 23대 FW-CORE-02 내부 방화벽 10.0.7.8 업무망 RDP

쿼리를 몰라도공격 경로를 따라갑니다

  • 클릭으로 추적

    노드를 누르면 원본 로그와 판단 근거가 함께 열립니다. 검색식을 조합할 필요가 없습니다.

    • 02:14:39.902 FW-EDGE-01 ALLOW tcp 203.0.113.77:52911 -> 10.0.5.21:445 rule=4127
    • 02:14:41.017 FW-EDGE-01 BUILT tcp 203.0.113.77:52911 -> 10.0.5.21:445 session=8f31c2

  • 분류와 상관분석

    액션과 위협 유형을 나눠 표시하고, 시간과 출발지, 평소 기준선을 근거로 흐름을 사건으로 묶습니다.

    • 02:11:04.112 FW-EDGE-01 BLOCK tcp 203.0.113.77:52341 -> 10.0.5.14:22 rule=default-denyBLOCK · PORT-SCAN
    • 02:11:04.180 FW-EDGE-01 BLOCK tcp 203.0.113.77:52342 -> 10.0.5.14:23 rule=default-denyBLOCK · PORT-SCAN
    • 02:14:39.902 FW-EDGE-01 ALLOW tcp 203.0.113.77:52911 -> 10.0.5.21:445 rule=4127ALLOW · 규칙 #4127

    같은 출발지, 3분 간격, 기준선 이탈. INC-1104-0217로 묶음

  • 30분 되감기

    사건 직전 30분의 로그와 세션, 경로를 시간순으로 다시 보여줍니다.

    02:1102:00-02:30 KST
    1. 02:11 포트 스캔 시작
    2. 02:14 규칙 #4127 통과
    3. 02:19 횡적 이동
    4. 02:22 대용량 외부 전송

직접 따라가 보세요

위 장면과 같은 예시 사건입니다. 노드나 경로를 고르고 타임라인을 움직여 보세요.

INC-1104-0217예시 데이터이며 실제 고객 정보가 아닙니다.
02:30

02:23 · 사건으로 묶임

포트 스캔 1,284건 차단

BLOCKPORT-SCANT1046 · Network Service Discovery

판단 근거

  • 23개 호스트의 41개 포트를 3분 안에 훑음
  • 모든 시도가 기본 거부 규칙에서 차단됨

원본 로그

02:11:04.112 FW-EDGE-01 BLOCK tcp 203.0.113.77:52341 -> 10.0.5.14:22 rule=default-deny
02:11:04.180 FW-EDGE-01 BLOCK tcp 203.0.113.77:52342 -> 10.0.5.14:23 rule=default-deny
02:11:04.233 FW-EDGE-01 BLOCK tcp 203.0.113.77:52343 -> 10.0.5.15:3389 rule=default-deny

규칙 #4127로 허용된 SMB 연결

ALLOWSUSPICIOUS-ALLOWT1021.002 · SMB/Windows Admin Shares

판단 근거

  • 스캔과 같은 출발지에서 3분 뒤 발생
  • 규칙 #4127 "TEMP-ANY-445": 출발지를 Any로 연 임시 규칙

원본 로그

02:14:39.902 FW-EDGE-01 ALLOW tcp 203.0.113.77:52911 -> 10.0.5.21:445 rule=4127
02:14:41.017 FW-EDGE-01 BUILT tcp 203.0.113.77:52911 -> 10.0.5.21:445 session=8f31c2

기준선에 없던 RDP 횡적 이동

ALLOWLATERAL-MOVET1021.001 · Remote Desktop Protocol

판단 근거

  • 10.0.5.21 → 10.0.7.8 RDP는 최근 30일간 0건
  • SMB 세션 성립 4분 뒤 시작

원본 로그

02:19:02.441 FW-CORE-02 ALLOW tcp 10.0.5.21:49822 -> 10.0.7.8:3389 rule=212
02:19:02.512 FW-CORE-02 BUILT tcp 10.0.5.21:49822 -> 10.0.7.8:3389 session=a90e17

외부로 2.1GB 전송

ALLOWEGRESS-SPIKET1048 · Exfiltration Over Alternative Protocol

판단 근거

  • 전송량이 평소 대비 41배
  • 처음 관측된 외부 목적지

원본 로그

02:22:15.630 FW-EDGE-01 ALLOW tcp 10.0.5.21:50113 -> 198.51.100.23:443 rule=88
02:26:48.004 FW-EDGE-01 TEARDOWN tcp 10.0.5.21:50113 -> 198.51.100.23:443 bytes=2.1G

로그는 이렇게 사건이 됩니다

  1. Collect

    수집

    제조사가 다른 방화벽의 syslog를 그대로 받습니다.

  2. LGCT Log Center

    정규화

    형식이 다른 로그를 하나의 스키마로 맞추고 보관합니다.

  3. NX-CORR

    상관분석

    출발지와 시간, 평소 기준선을 보고 흩어진 이벤트를 사건으로 묶습니다.

  4. EVCT Event Center

    이벤트 센터

    사건을 위협 유형, 심각도, MITRE ATT&CK 기법별로 정리합니다.

  5. Respond

    대응

    차단과 격리 요청으로 이어지고, 정책 변경은 NxPortrait가 맡습니다.

“Security without context is noise.”

정책은 의도, 로그는 현상입니다.둘을 이어야 맥락이 보입니다.

규칙 #4127이 왜 열려 있었는지는 NxPortrait가, 그 규칙으로 무엇이 들어왔는지는 NxLandscape가 답합니다. NxOntoGraph는 둘 사이의 인과관계를 추론합니다.

  1. 의도Policy OpsNxPortrait방화벽 정책의 요청, 분석, 적용을 표준화하고 자동화합니다.자세히
  2. 현상Event OpsNxLandscape대규모 방화벽 로그에서 실제로 일어난 일을 탐지하고 추적합니다.지금 보고 계신 제품
  3. 맥락Autonomy OpsNxOntoGraph정책과 이벤트를 온톨로지로 연결해 원인을 추론하고 대응을 제안합니다.자세히

우리 방화벽 로그로직접 확인해 보세요.

도입 문의소개서 보기