[논문 리뷰] UCLog+ : A Security Data Management System for Correlating Alerts, Incidents, and Raw Data From Remote Logs

William Yurcik, Cristina L. Abad외 3명|ArXiv.org|2006. 07. 25.

Network Security and Intrusion Detection참고 문헌 10인용 수 5

한 줄 요약

UCLog+는 오픈소스 도구를 사용하여 원격 소스에서 온 경고, 사고 및 원시 로그 데이터를 상관 분석하는 보안 데이터 관리 시스템입니다. 이는 실시간 상황 인식과 포렌식 분석을 위한 자동화된 다중 소스 상관 분석을 가능하게 하며, 분산된 데이터 유형을 통합된 분석 가능한 저장소로 통합함으로써 보안 운영을 향상시킵니다. 수동 상관 분석에 의존하는 것을 줄이고 사고 탐지 및 대응 효율성을 향상시킵니다.

ABSTRACT

Source data for computer network security analysis takes different forms (alerts, incidents, logs) and each source may be voluminous. Due to the challenge this presents for data management, this has often lead to security stovepipe operations which focus primarily on a small number of data sources for analysis with little or no automated correlation between data sources (although correlation may be done manually). We seek to address this systemic problem. In previous work we developed a unified correlated logging system (UCLog) that automatically processes alerts from different devices. We take this work one step further by presenting the architecture and applications of UCLog+ which adds the new capability to correlate between alerts and incidents and raw data located on remote logs. UCLog+ can be used for forensic analysis including queries and report generation but more importantly it can be used for near-real-time situational awareness of attack patterns in progress. The system, implemented with open source tools, can also be a repository for secure information sharing by different organizations.

연구 동기 및 목표

• 다양한 데이터 소스 간 자동 상관 분석을 제한하는 고립된 스토브파이프 보안 데이터 운영의 체계적 문제를 해결하기 위해.
• 원격 시스템에 저장된 경고, 사고 및 원시 로그 데이터 간의 상관 분석을 가능하게 하여 UCLog 시스템을 확장하기 위해.
• 통합된 데이터 상관 분석을 통해 실시간 공격 패tern 모니터링을 위한 근접 실시간 상황 인식을 지원하기 위해.
• 조직 간 위협 지능 공유를 위한 안전하고 중심화된 저장소를 제공하기 위해.
• 포렌식 조사 및 사고 대응을 위한 자동화된 쿼리 및 보고서 생성을 가능하게 하기 위해.

제안 방법

• 표준화된 데이터 수집 파이프라인을 통해 분산된 소스에서 경고, 사고 및 원시 로그 데이터를 수신합니다.
• 정의된 의미적 및 시간적 관계를 기반으로 다양한 데이터 유형(경고, 사고, 로그) 간 이벤트를 매핑하고 상관 분석하기 위한 통합 데이터 모델을 적용합니다.
• 원격 로그 데이터는 보안적 프로그래밍 인터페이스를 통해 액세스되어 로컬 스토리지가 필요 없이 검색 및 인덱싱이 가능합니다.
• 확장성, 확장성 및 배포 유연성을 확보하기 위해 오픈소스 컴포넌트를 아키텍처에 활용합니다.
• 다단계 공격 행동을 탐지하기 위해 규칙 기반 및 패턴 매칭 기법을 사용한 상관 분석 로직을 구현합니다.
• 실시간 모니터링과 사고 후 포렌식 분석을 모두 지원하는 쿼리 및 보고서 엔진을 운영합니다.

실험 결과

연구 질문

• RQ1 원격 소스에서 온 경고, 사고 및 원시 로그 데이터를 자동으로 상관 분석하여 위협 탐지 능력을 향상시킬 수 있는 방법은 무엇인가요?
• RQ2 이질적인 보안 데이터 소스의 확장성 있고 안전한 통합을 가능하게 하는 아키텍처 설계는 무엇인가요?
• RQ3 자동 상관 분석이 사고 대응 과정에서 수동 분석 노력에 얼마나 기여할 수 있나요?
• RQ4 시스템이 실시간으로 지속적인 사이버 공격 패턴을 인식하는 데 얼마나 효과적인가요?
• RQ5 시스템이 조직 간 위협 지능 공유를 위한 안전하고 공유 가능한 저장소로 기능할 수 있나요?

주요 결과

• UCLog+는 경고, 사고 및 원격 원시 로그를 성공적으로 상관 분석하여 다중 소스를 아우르는 다단계 공격을 탐지할 수 있습니다.
• 시스템은 근접 실시간 상황 인식을 지원하여 보안 분석가가 지연을 최소화하고 지속적인 공격 패턴을 탐지할 수 있습니다.
• 자동 상관 분석은 데이터 간 수동 교차 참조의 필요성을 줄여 운영 효율성을 향상시킵니다.
• 오픈소스 도구의 사용은 다양한 조직 환경에서의 배포 및 커스터마이제이션을 가능하게 합니다.
• 시스템은 체계적인 쿼리 및 보고서 생성 기능을 통해 포렌식 분석을 촉진합니다.
• 아키텍처는 위협 데이터를 통합하고 표준화함으로써 조직 간 안전한 정보 공유를 지원합니다.