행위 프로파일

개요

행위 프로파일은 사용자, 자산, 계정, 통신 대상의 과거 이력을 쿼리로 뽑아 기준 데이터로 저장해 두고, 이후 들어오는 이벤트가 그 기준에 있는지 대조할 수 있게 해 주는 기능입니다. 정책 > 행위 프로파일에서 프로파일을 정의해 두고, 실시간 탐지나 배치 탐지에서 처음 보는 로그인, 기존에 없던 접근 대상, 이력이 없는 거래 같은 이상 징후를 식별하세요.

예를 들어 최근 1년간의 VPN 접속 로그로 행위 프로파일을 만들면 휴면 계정 로그인이나 처음 보는 IP 주소 대역의 접근을 탐지하는 시나리오를 구성할 수 있습니다. 행위 프로파일은 지정한 주기에 따라 쿼리를 다시 실행해 데이터를 새로 만들며, 빌드가 끝나기 전까지 탐지 시나리오는 이전에 빌드한 데이터를 계속 참조합니다.

정책 > 행위 프로파일 메뉴는 클러스터 관리자, 관리자, 사용자 역할의 계정에 모두 표시되고 목록도 세 역할이 조회할 수 있습니다. 반면 행위 프로파일을 추가, 수정, 삭제하거나 빌드하는 것은 기본 상태에서 클러스터 관리자와 관리자만 할 수 있습니다. 사용자 역할의 계정이 행위 프로파일을 관리하려면 관리자가 관리 권한을 따로 부여해야 합니다. 역할별 권한은 계정 권한 일람표를 참고하세요.

사용자 역할의 계정에는 역할 권한과 함께 행위 프로파일마다 공유 여부도 적용됩니다.

• 목록에는 스스로 추가한 행위 프로파일과 공유받은 행위 프로파일만 나타납니다. 공유 대상은 행위 프로파일을 추가하거나 수정할 때 계정과 계정 그룹 항목에서 지정하며, 계정 그룹을 지정하면 그 그룹에 속한 계정이 모두 공유받습니다.
• 관리 권한을 받았더라도 저장과 빌드는 스스로 추가했거나 쓰기 권한으로 공유받은 행위 프로파일에서만 할 수 있습니다. 콘솔에서 공유하면 쓰기 권한까지 함께 주어지며, 읽기 전용으로 공유받은 행위 프로파일은 내용만 볼 수 있습니다.

행위 프로파일 목록 조회/검색

정책 > 행위 프로파일에서 행위 프로파일 목록을 조회하거나 검색할 수 있습니다. 행은 이름 오름차순으로 표시되며, 열 머리글을 클릭해 정렬 기준을 바꿀 수는 없습니다. 한 페이지에 기본 15건을 표시하고, 페이지 크기는 목록 아래쪽의 선택 상자에서 바꿀 수 있습니다.

• 상태: 행위 프로파일의 사용 상태 표시자. 목록의 모든 행에 같은 표시가 나타납니다.
• 이름: 행위 프로파일 이름
• 건수: 마지막 빌드로 행위 프로파일에 저장된 데이터 건수. 한 번도 빌드하지 않은 행위 프로파일은 0입니다.
• 빌드 주기: 행위 프로파일 쿼리를 다시 실행해 데이터를 새로 만드는 주기. 저장되는 값은 cron 식이지만 목록에는 매달/매일/2시/0분 마다처럼 사람이 읽는 문구로 표시됩니다.
• 빌드 상태: 행위 프로파일의 빌드 상태
  • 대기 중: 추가한 뒤 아직 한 번도 빌드하지 않은 상태
  • 빌드 중: 빌드가 진행 중인 상태
  • 빌드됨: 빌드를 마친 상태
• 빌드: 빌드를 시작하거나 진행 중인 빌드를 중단하는 단추. 행위 프로파일 관리 권한이 있고 그 행위 프로파일에 쓰기 권한도 있는 계정에만 나타납니다.
• 소유자: 행위 프로파일을 추가한 계정
• 마지막 빌드: 마지막 빌드가 끝난 시각. 한 번도 빌드하지 않은 행위 프로파일은 비어 있습니다.
• 수정일: 행위 프로파일을 마지막으로 수정한 일시

목록에서 특정 행위 프로파일을 찾으려면 도구 모음의 검색 상자에 키워드를 입력하고 Enter 키를 누르세요. 검색은 이름만 대조하며 설명, 쿼리문, 소유자는 대조하지 않습니다. 공백으로 구분해 여러 낱말을 입력하면 이름이 모든 낱말을 포함해야 결과에 나옵니다.

행의 체크박스를 켜면 검색 상자 자리가 선택 항목 작업 막대로 바뀌고 삭제와 선택 취소 단추가 나타납니다. 사이드 패널이 열려 있는 동안에는 두 단추가 비활성 상태입니다.

행위 프로파일 빌드

행위 프로파일은 빌드 주기가 되면 자동으로 다시 만들어집니다. 기다리지 않고 지금 갱신하려면 빌드 열의 지금 빌드를 클릭하세요. 이미 빌드가 진행 중인 행에서는 같은 자리가 취소로 바뀌며, 클릭하면 진행 중인 빌드를 중단합니다.

빌드 열의 단추는 행위 프로파일 관리 권한이 있고 그 행위 프로파일에 쓰기 권한도 있는 계정에만 나타납니다. 읽기 전용으로 공유받은 행위 프로파일은 빌드 셀이 비어 있습니다.

빌드는 처리할 데이터 크기에 따라 오래 걸릴 수 있습니다. 예를 들어 최근 1년간의 VPN 로그인 이력을 담는 행위 프로파일이라면, 시스템 부하가 적은 새벽 시간대로 빌드 주기를 잡는 것이 좋습니다.

목록 다운로드

행위 프로파일 목록을 파일로 내려받으려면 도구 모음에서 를 클릭하세요.

• 파일 이름: 내려받을 파일의 이름. 기본값은 행위 프로파일입니다.
• 컬럼: 파일에 포함할 열. 이름, 설명, 건수, 빌드 주기, 마지막 빌드, 생성일, 수정일 7개를 제공하며 기본적으로 모두 선택되어 있습니다. 목록에 있는 상태, 빌드, 소유자는 포함되지 않고, 목록에 없는 설명과 생성일이 포함됩니다. 항목을 끌어 순서를 바꿀 수 있습니다.
• 파일 형식: CSV, XML, Microsoft Word, HTML, JSON, PDF 중 선택
• 인코딩: 문자 인코딩. 파일 형식이 CSV나 JSON일 때만 표시됩니다.
• 범위: 내려받을 항목의 범위

목록 새로 고침

행위 프로파일 목록을 최신 정보로 다시 조회하려면 도구 모음에서 을 클릭하세요.

행위 프로파일 추가

행위 프로파일을 추가하려면,

1. 정책 > 행위 프로파일에서 도구 모음의 추가를 클릭하세요.

2. 행위 프로파일 추가 패널에서 다음 항목을 설정하세요. 이름, 키 필드, 쿼리문은 필수 항목입니다.

   

   • 이름: 행위 프로파일의 이름(최대 50자). 이미 있는 이름으로 저장하면 중복 오류가 표시됩니다.
   • 설명: 행위 프로파일에 대한 설명(최대 2,000자)
   • 실행 주기: 행위 프로파일 쿼리를 다시 실행하는 주기. 상자에 직접 입력하지 않고 오른쪽의 을 클릭해 실행 주기 설정 대화상자에서 고릅니다. 상자에는 고른 값이 매달/매일/0시/0분 마다처럼 사람이 읽는 문구로 표시되며, 기본값은 매일 0시 0분입니다.
   • 키 필드: 행위 프로파일을 대조할 때 기준 키로 쓸 필드 이름(최대 1,000자). 2개 이상 지정하려면 쉼표(,)로 구분해 입력하세요. 항목마다 필드이름:유형 형태로 유형을 덧붙일 수 있고, 유형을 생략하면 문자열로 처리합니다. 예를 들어 계정별 로그인 이력을 기준으로 이상 행위를 탐지하려면 계정 이름 필드인 user를 키 필드로 지정합니다.
   • 쿼리문: 행위 프로파일 데이터를 만들 쿼리(최대 2,000자). 일반적으로 duration 또는 from, to 옵션으로 기간을 한정해 최근 데이터를 담도록 작성합니다. 쿼리 결과에는 키 필드가 반드시 포함되어야 하고, 키 필드 값은 행위 프로파일 안에서 유일해야 합니다.
   • 계정: 이 행위 프로파일을 함께 쓸 계정. 검색 상자에 이름이나 로그인 ID를 입력해 고르면 이름 (로그인ID) / 부서 형식의 칩으로 추가됩니다.
   • 계정 그룹: 이 행위 프로파일을 함께 쓸 계정 그룹

3. 오른쪽 위의 저장을 클릭하세요.

추가·수정 패널의 실행 주기는 목록의 빌드 주기 열과 같은 값입니다. 같은 값을 가리키는 이름이 화면마다 다르므로 주의하세요.

행위 프로파일 수정

행위 프로파일을 수정하려면,

1. 행위 프로파일 목록에서 수정할 행위 프로파일의 행을 클릭하세요. 체크박스를 뺀 어느 셀을 클릭해도 수정 패널이 열립니다.

   

2. 행위 프로파일 수정 패널에서 값을 고친 후 오른쪽 위의 저장을 클릭하세요. 각 항목의 설명은 행위 프로파일 추가를 참고하세요.

   

수정 패널에서 키 필드와 쿼리문은 읽기 전용이므로 값을 변경할 수 없습니다. 저장 단추는 행위 프로파일 관리 권한이 있는 계정에 표시됩니다. 다만 목록의 빌드 열과 달리 해당 행위 프로파일에 대한 쓰기 권한 여부는 확인하지 않으므로, 읽기 전용으로 공유받은 행위 프로파일에도 표시됩니다. 이러한 행위 프로파일을 저장하면 서버가 권한 부족을 이유로 요청을 거부합니다.

행위 프로파일 데이터 조회

수정 패널 아래쪽의 행위 프로파일 데이터 구획에서 마지막 빌드로 저장된 데이터를 확인할 수 있습니다. 표시되는 열은 행위 프로파일 쿼리의 결과 필드이며, 행위 프로파일 수정의 그림에 있는 행위 프로파일은 키 필드 user와 함께 src_ip, login_hour, count를 보여 줍니다. _time 열은 행마다 다른 시각이 아니라 빌드가 끝난 시각이 전 행에 같은 값으로 들어갑니다.

한 페이지에 기본 50건을 표시하며, 페이저에는 행위 프로파일에 저장된 전체 건수가 표시됩니다. 이 값은 목록의 건수 열과 같습니다.

한 번도 빌드하지 않은 행위 프로파일은 조회할 데이터 테이블이 아직 만들어지지 않아 이 구획에 오류가 표시됩니다. 데이터를 보려면 먼저 행위 프로파일을 빌드하세요.

필터 조건 추가

데이터가 많을 때는 필터를 걸어 원하는 행만 볼 수 있습니다. 조건을 추가하려면 필터 오른쪽의 추가를 클릭하세요. 걸어 둔 조건을 모두 지우려면 필터 초기화를 클릭합니다.

기본 탭에서는 유형, 대상 필드, 조건, 값을 골라 조건을 만듭니다. 값을 입력하면 아래쪽 필터 쿼리에 실제로 실행될 쿼리가 만들어지고, 클립보드에 복사로 그 쿼리를 가져올 수 있습니다. 쿼리를 직접 작성하려면 고급 탭을 사용하세요. 조건을 마치고 확인을 클릭하면 필터가 적용됩니다.

행위 프로파일 활용

행위 프로파일은 탐지 시나리오와 쿼리에서 공통 참조 데이터로 활용할 수 있습니다.

시나리오 빌더

정책 > 실시간 탐지에서 시나리오를 추가하거나 수정할 때 시나리오 빌더의 룰로 행위 프로파일을 대조할 수 있습니다. 필드에서 기타를 골라야 룰 목록에 행위 프로파일 탐지가 나타나고, 그 룰을 고르면 아래에 행위 프로파일 선택 상자가 생깁니다. 다음 그림은 그 선택 상자를 펼친 상태이며, 상자에는 목록의 첫 항목이 기본값으로 들어가 있습니다.

룰의 전체 목록과 다른 매개변수는 필드 유형별 룰 및 매개변수를 참고하세요. 시나리오 빌더는 실시간 탐지에만 있고 배치 탐지에는 없습니다. 배치 탐지에서는 쿼리로 행위 프로파일을 대조하세요.

대조할 행위 프로파일을 고른 다음 을 클릭해 규칙을 등록하세요. 아래쪽 스트림 쿼리에 대조 쿼리가 만들어지며, 쿼리에는 화면에 표시되는 이름이 아니라 행위 프로파일의 GUID가 들어갑니다. 다음 그림은 사용자 로그인 행위를 골라 등록한 결과입니다. 등록을 마치면 빌더 행은 기본값으로 되돌아가므로 그림 윗부분에는 방금 고른 필드와 룰 대신 기본 룰이 보입니다.

쿼리

쿼리에서는 matchbehavior 명령어나 matchbehavior() 함수로 행위 프로파일을 대조합니다. 쿼리를 입력할 수 있는 다른 기능에서도 같은 방식으로 행위 프로파일을 참조할 수 있습니다.

명령어는 guid 옵션에 GUID를 지정해 행위 프로파일을 가리킵니다. guid는 필수 옵션이며, 이름으로 행위 프로파일을 가리킬 수는 없습니다. 함수도 첫 번째 매개변수로 GUID만 받습니다.

GUID는 행위 프로파일을 열었을 때 웹 브라우저 주소 표시줄의 /behavior-profile/ 뒤에 붙는 값입니다. 시나리오 빌더로 규칙을 등록하면 만들어지는 스트림 쿼리에서도 같은 값을 확인할 수 있습니다. 빌더가 이름 대신 GUID를 쓰기 때문에 행위 프로파일 이름을 바꿔도 이미 등록한 시나리오는 영향을 받지 않습니다.

기준에 없는 값, 곧 행위 프로파일에 이력이 없는 레코드를 찾으려면 invert=t를 지정하세요.

table duration=1d *:VPN | matchbehavior guid="3c7e1a90-5b42-4d81-9f10-2a6b3c4d5e01" invert=t

행위 프로파일 삭제

행위 프로파일을 삭제하려면,

1. 행위 프로파일 목록에서 삭제할 행위 프로파일 행의 체크박스를 선택하세요.

2. 검색 상자 자리에 나타난 삭제를 클릭하세요.

   

3. 행위 프로파일 삭제 대화상자에서 표에 열거된 이름을 확인한 후 삭제를 클릭하세요. 삭제하지 않으려면 취소를 클릭합니다.