728x90 시그마 지수1 [외부침해위협] 방화벽 로그 기준 탐지 시나리오 설계 및 운용 방안 방화벽의 최근 1달간 로그를 FULL로 분석하여 일정 단위시간 동안...(1분) 특정범위를 넘어서는 접속시도를 탐지....(threshold) 단, 업무상 정상적인 접속을 하는 IP의 경우에는 예외처리를 통해 탐지에서 제외한다. 이때 탐지하는 임계치는 통계적 기법인 3시그마 공식을 활용하여 일반적인 경우의 99%의 범위 밖의 값을 산정하였다. 탐지가 된 IP 에 대해서는 무조건 차단을 하는 것은 권장하지 않는다. 해당 IP에 대해서 정상적인 접속을 하는 IP인지 로그 분석을 통해 판단을 하고 예외처리를 적용한다. Best case는 정상적인 접속을 하는 IP에 대해 예외처리를 적용한 직후 다시 임계치 값을 재조정 하는 것을 권장한다. 일반적인 경우 탐지되는 접속건수의 범위에 대해서는 3개월/6개월에 한번.. 2020. 11. 17. 이전 1 다음 728x90