위협 모니터링 체계를 구축할 때, 어떤 로그 분석 시스템을 이용했으며 그 이유는 무엇인가요?

위협 모니터링 체계를 구축할 때 SIEM 운영팀과 협업하며 어떤 로그를 수집할지를 재검토한 경험이 있습니다. 처음에는 모든 로그를 수집하는 방향으로 설계했는데, 수집량이 늘어날수록 분석 속도가 낮아지고 핵심 이벤트가 노이즈에 묻히는 문제가 생겼습니다. SIEM 운영팀과 함께 실제로 알람으로 연결된 로그 유형을 분석했을 때, 전체 수집 로그 중 분석에 활용된 비율이 20%에 불과했습니다. 이 검토에서 로그 수집 범위를 최대화하는 것이 목표가 아니라 탐지에 실제로 사용되는 로그를 집중 수집하는 구조가 운영 효율을 높인다는 시각이 생겼습니다. 수집 범위를 줄이면서 핵심 소스에서 더 세밀한 로그를 수집하는 방향으로 재설계했고, 탐지 품질과 분석 속도가 함께 개선됐습니다.

이 관점이 이후 로그 수집 설계 시 탐지 활용률을 기준으로 수집 범위를 정의하는 기준이 됩니다. 위협 모니터링 체계의 실효성은 로그 수집량이 아니라 수집된 로그가 실제 탐지에 활용되는 구조를 갖췄는지에서 결정된다는 원칙을 지킵니다.