내부자 위협을 분석할 때, 어떤 보안 솔루션의 알림을 우선적으로 분석하시겠어요?

보안 수업 실습에서 SIEM에 집계된 인증 로그를 기준으로 내부자 위협 시나리오를 분석한 경험이 있습니다. 퇴근 이후 접속, 평소와 다른 시스템 접근, 짧은 시간 내 대량 쿼리 실행이 함께 나타났을 때, 각각 단독으로는 이상이 없어도 세 가지가 겹치면 우선 알림으로 분류됩니다. 가장 까다로웠던 건 '정상적인 야근'과 '의도적인 야간 접근'을 로그로 구분하는 기준을 잡는 부분이었습니다. 직원의 과거 6개월 접속 패턴을 기준선으로 두고, 현재 접속이 기준선에서 2표준편차 이상 벗어날 때 알림을 트리거하는 방식이 오탐을 줄이는 데 유효했습니다. 알림 우선순위 설계에서 데이터 이동과 인증 이상이 동시에 발생한 건을 1순위로 두고 단독 이상은 2순위로 내리자, 분석 집중도가 실질적으로 높아졌습니다. 규칙 기반 탐지는 기준선이 없으면 오탐 홍수가 되고, 너무 빡빡하면 실제 위협을 놓치는 균형 문제가 있다는 걸 직접 경험했습니다.