SOC as a Service(관리형 SOC)
개요
보안관제 센터(SOC)는 공격 징후를 상시 모니터링하고, 경보가 실제로 무엇을 의미하는지 분류하며, 침입이 침해로 번지기 전에 대응을 이끄는 인력과 도구의 집합입니다. SOC as a Service는 그 역량을 구독 형태로 제공합니다. 당사의 분석가, 당사의 탐지 엔지니어링, 당사의 플랫폼이 여러분의 엔드포인트, 클라우드, ID, 네트워크를 24/7 감시합니다. 자체 SOC를 구축하려면 24/7 교대 근무를 채우기 위해 최소 6명의 분석가를 채용하고, SIEM 라이선스를 확보한 뒤, 변화하는 공격자 수법에 맞춰 탐지 규칙을 계속 최신으로 유지해야 합니다. 대부분의 조직은 교대 근무를 외부에 맡기고 의사결정 권한은 그대로 보유할 때 더 빠르게, 더 나은 커버리지를 얻습니다.
방법론 및 표준
탐지 규칙은 MITRE ATT&CK에 매핑되어 커버리지를 추정이 아닌 측정 가능한 값으로 관리하며, 분류는 NIST SP 800-61 사고 처리 수명주기를 따릅니다. 로그 소스, 보존 기간, 경보 심각도는 여러분의 위험 프로필에 맞춰 사전에 합의하며, 원시 경보 건수가 아니라 평균 탐지 시간(MTTD)과 평균 대응 시간(MTTR)을 기준으로 보고합니다.
포함 내용
제공 산출물
자주 묻는 질문
둘은 상당 부분 겹치며 종종 같은 의미로 판매됩니다. SOC는 더 넓은 기능으로, 여러분의 전체 자산에 걸친 모니터링, 분류, 위협 헌팅, 보고, 커버리지를 포괄합니다. MDR은 대개 더 좁고 제품 중심적이며, 엔드포인트 같은 특정 텔레메트리에서의 탐지 및 대응에 집중합니다. 보안 운영 기능 전체를 맡아줄 파트너가 필요하다면 SOC as a Service이고, 기존 팀에 빠른 탐지·대응만 덧붙이면 된다면 MDR로 충분한 경우가 많습니다.
대부분의 조직에서는 그렇고, 그 차이도 상당합니다. 24/7 교대 근무에는 SOC 매니저, 탐지 엔지니어, SIEM 라이선스, 탐지 규칙을 최신으로 유지하는 지속 비용을 빼고도 분석가가 약 6명 필요합니다. 구독 방식은 그 비용을 여러 고객이 분담합니다. 자체 구축은 규모가 매우 크거나, 규제상 해당 기능이 조직 내부에 있어야 하는 경우에 비로소 타당해집니다.
대체하지 않고 확장합니다. 당사는 인력 배치가 가장 어렵고 번아웃이 가장 쉬운 24/7 모니터링과 분류 부담을 맡습니다. 위험 의사결정, 조치, 비즈니스 맥락에 대한 주도권은 여러분의 팀이 유지하며, 이는 내부 지식이 대체 불가능한 영역입니다.
일반적인 온보딩은 2~4주가 소요됩니다. 로그 소스 발견 및 연결, 환경에 맞춘 기준선 튜닝, 에스컬레이션 경로와 런북 합의, 그리고 정식 가동 전 모니터링 병행 운영 순으로 진행합니다. 이미 사고가 진행 중이라면 긴급 온보딩도 가능합니다.
먼저 분류하므로 오탐 때문에 잠에서 깨는 일은 없습니다. 확인된 사고는 온보딩 시 합의한 에스컬레이션 경로를 따르며, 일반적으로 심각도가 치명적인 경우 즉시 연락, 사전 승인된 범위의 격리 조치 수행, 그리고 여러분의 팀이 충분한 맥락을 가지고 이어받을 수 있도록 서면 분류 요약 제공이 포함됩니다.
최소한 엔드포인트(EDR), ID(Entra ID / Okta / Active Directory), 클라우드 컨트롤 플레인(AWS CloudTrail, Azure Activity, GCP Audit)이 필요합니다. 네트워크, 이메일 보안, SaaS 감사 로그는 커버리지를 크게 향상시킵니다. 온보딩 과정에서 보유하신 로그를 MITRE ATT&CK에 매핑하고, 사각지대가 어디인지 솔직하게 알려드립니다.