SIEM 또는 오케스트레이션 플랫폼을 구축하고 운영한 경험에 대해 설명해 주세요.

SIEM 운영에서 가장 어렵다고 느끼는 부분은 초기 구축보다 운영 과정에서 알림 피로를 어떻게 관리하는가입니다. Elastic Stack으로 간단한 로그 수집 환경을 구성해보면서, 탐지 규칙을 추가할수록 알림 수가 기하급수적으로 늘어나는 문제를 직접 경험했습니다. 당시 접근 방식은 severity 기준으로 알림을 분류하고 동일 소스에서 반복되는 이벤트는 일정 시간 내 묶어 단건으로 처리하는 규칙을 추가하는 것이었습니다. 그 결과 알림 건수는 절반 이하로 줄었고, 실제 검토가 필요한 이벤트 비율은 오히려 높아졌습니다. 로그 소스 통합 과정에서는 포맷이 다른 소스들을 하나의 스키마로 정규화하는 파이프라인을 먼저 설계하는 것이 핵심이라는 걸 배웠습니다. 소스가 추가될 때마다 파싱 규칙을 다시 짜야 하는 상황을 막으려면, 초반에 확장 가능한 정규화 구조를 잡아두는 것이 시간을 아끼는 방법이었습니다. SIEM은 도구의 설정보다 어떤 위협 시나리오를 탐지할 것인지를 먼저 정의하는 설계 작업이 더 중요하다고 생각합니다.