Security 고급 SECURITY-110 · 17분

SIEM 상관 규칙이 야간 무차별 대입 연쇄를 놓침

A SIEM correlation rule misses an after-hours brute-force chain because the timezone basis shifted with the parser update 상황에서 validate time normalization anytime parser or ingestion timezone behavior changes를 중심으로 원인을 좁혀가는 시나리오입니다.

Incident ResponsePro

시나리오

A SIEM correlation rule misses an after-hours brute-force chain because the timezone basis shifted with the parser …

구독하면 이어서 볼 수 있어요

이 문제의 전체 시나리오와 점검 체크리스트, 복구 순서, 모범 풀이는 Pro 구독에서 열립니다.

구독 안내 보기

다음으로 이어서 보기 좋은 문제

내 풀이

저장됨

1 · 원인 분석 2 · 복구 방안 3 · 재발 방지

풀이 기록·힌트·북마크는 로그인하면 계정에 저장되어 웹·앱에서 이어집니다.

SIEM 상관 규칙이 야간 무차별 대입 연쇄를 놓침

SIEM 파서 갱신이 타임스탬프를 정규화하는데 레거시 상관 하나가 정규화 이전 hostname 필드를 계속 키로 써 이벤트 연결을 멈춤 (단계적 폐기 중)

SIEM 파서 갱신이 출발지 IP 필드 둘을 합쳐 위협 헌팅 질의가 트래픽 절반을 놓침

SIEM 파서 갱신이 타임스탬프를 정규화하는데 레거시 상관 하나가 정규화 이전 hostname 필드를 계속 키로 써 이벤트 연결을 멈춤 (상속 통제 정리 후)

취약점 스캐너용 SIEM 억제가 실제 측면 이동을 가림