← 문제 라이브러리
Security L5 SECURITY-1009 · 27 min

SIEM 파서 갱신이 타임스탬프를 정규화하는데 레거시 상관 하나가 정규화 이전 hostname 필드를 계속 키로 써 이벤트 연결을 멈춤 (상속 통제 정리 후)

Security 원문 시나리오에서 Resource Exhaustion 신호를 기준으로 근본 원인과 안전한 복구 방향을 정리하는 문제입니다.

SecurityIncident ResponseFoundation OpsLevel 5무료27 min
시나리오

A SIEM parser update normalizes timestamps while one legacy correlation still keys off the pre-normalized hostname field and silently stops linking events after a policy inheritance cleanup under a delegated admin redesign under a delegated operations remodel after an admin hierarchy flattening after an access model simplification after an authority model flattening after a delegated access flattening after a delegated control flattening after a simplified authority remap after a delegated authority reduction after a delegated control reset after an inherited control cleanup 상황에서 audit old correlations after schema normalization, not only the parser output를 중심으로 원인을 좁혀가는 시나리오입니다.

먼저 볼 것
  • 보안 정책, 인증 흐름, 접근 제어 원인을 운영 관점에서 분리하기
  • 기능 장애처럼 보이는 보안 문제를 로그와 정책 기준으로 해석하기
  • 차단과 복구, 재발 방지 사이의 균형점을 정리하기
점검 체크리스트
  1. 무엇이 차단되었는지보다 어떤 정책이 적용되었는지 먼저 확인합니다.
  2. 인증, 권한, 네트워크 정책, 보안 장비 로그를 같은 시간축으로 정리합니다.
  3. 임시 허용 조치와 장기 정책 수정안을 분리해서 기록합니다.
복구와 재발 방지

서비스 영향을 줄이는 가장 작은 조치를 먼저 선택하고, 이후 권한 범위 축소, trust chain 정리, rule 예외 최소화, audit log 확인를 재발 방지 항목으로 분리합니다.

같이 보면 좋은 질문
이 문제에서 원문은 그대로 읽어야 하나요?

네. 제목과 시나리오는 실제 장애 단서이므로 그대로 유지합니다. 한국어 풀이는 판단 순서와 답안 구조를 돕기 위한 보조 설명입니다.

기술 용어와 명령어는 번역해야 하나요?

아니요. IAM, token, certificate 같은 기술 용어와 audit 같은 명령어는 영어 원문을 유지하세요.

답안에서 가장 중요한 기준은 무엇인가요?

사용자 영향, 관찰한 근거, 최근 변경, 안전한 복구 방향을 한 번에 연결해 설명하는 것입니다.