예시 답변 1
약 80초
수업 프로젝트에서 로그 기반 탐지 개선 시도 경험 결
보안 수업 프로젝트에서 SIEM 시뮬레이터 실습 환경을 사용하여 로그 기반 이상 탐지를 구성해보았습니다. 처음에는 기본 룰셋만 적용했는데, 알림이 너무 많이 발생하여 실제로 봐야 할 이벤트를 구분하기 어려웠습니다. 오탐이 많으면 탐지보다 알림 처리에 시간이 더 걸린다는 것을 직접 경험하였습니다. 팀원과 함께 기준 임계값을 조정하여 알림 수를 3분의 1로 줄였고, 그 과정에서 특정 이벤트는 단독보다 연속 발생 패턴으로 묶어서 탐지하는 방식이 더 효과적이라는 것을 배웠습니다. 마지막에는 실제로 보안팀 분이 발표를 봐주셨는데, 오탐 감소 전후 수치를 함께 제시하지 않아 개선 효과를 설명하기 어려웠습니다.
오탐 감소 수치를 기록해두지 않아 발표 시 설명이 어려웠고, 개선 전후 비교 데이터를 남겨두는 습관이 중요하다는 것을 깨달았습니다.
이 결의 특징
기본 룰셋 적용 후 알림이 과다 발생해 실제 이벤트 구분이 어려워진 경험을 바탕으로, 임계값 조정과 연속 발생 패턴 묶기로 알림 수를 3분의 1로 줄인 흔적이 있습니다. 개선 전후 수치를 남기지 않아 설명이 어려웠다는 아쉬움이 뒤에 붙는 결이 보입니다.
이 결이 통하는 자리
오탐이 많아 실제 위협을 놓치는 문제를 경험한 면접관 앞에서, 룰 튜닝과 패턴 묶기로 오탐을 줄인 이 결이 운영 감각으로 읽히는 경향이 있습니다.