소명

보안위반행위에 대해 소명이 필요한 경우, 보안담당자는 이상 행위자에게 소명을 요청할 수 있습니다. 티켓을 기반으로 소명을 생성하거나, 직접 소명 내용을 작성해 소명 요청을 하면, 이상 행위자는 임직원 메뉴에 등록된 메일 주소로 소명 요청 이메일을 받습니다. 소명 요청 이메일에서 소명 내용 작성 링크를 클릭하여 소명 내용을 작성하면 검토자는 해당 내용을 토대로 해당 소명 내용이 정상인지 보안 위반인지 판단합니다. 이 프로세스를 이미지로 표현하면 다음과 같습니다.

소명 프로세스가 원활하게 동작하기 위해서는 임직원 정보가 임직원 메뉴에 등록되어 있어야 하며 소명 템플릿이 설정되어 있어야 합니다.

소명 목록

대응 > 소명 메뉴를 클릭하면 소명 목록 화면으로 이동합니다. 화면 상단에는 소명 추이 차트가 표시되고, 하단에는 소명 요청 목록이 표시됩니다. 소명은 탐지 시나리오에 의해 자동 생성되거나, 티켓 화면 또는 소명 화면에서 직접 추가할 수 있습니다.

기본 역할 기준으로 클러스터 관리자, 관리자, 사용자 모두 소명을 조회하고 검토·삭제할 수 있습니다. 역할별 권한 구성은 계정 권한을 참고하세요.

소명 추이 차트

목록 상단의 차트는 소명 요청일을 기준으로 하루에 몇 건의 소명이 요청되었는지를 누적 막대로 표시합니다. 차트 우측 상단의 처리 상태와 처리 결과 버튼을 클릭하여 표시 기준을 전환할 수 있습니다. 처리 상태 기준에서는 소명 상태 7종이, 처리 결과 기준에서는 종결된 소명의 정상/위반 건수가 쌓입니다. 하단의 범례를 클릭하면 해당 계열을 숨기거나 다시 표시할 수 있습니다.

소명 목록 조회 및 검색

목록에 표시되는 컬럼은 다음과 같습니다.

• 중요도: 소명의 중요도(상/중/하)를 인디케이터로 표시합니다.
• 상태: 소명의 현재 처리 상태입니다.
  • 미응답: 소명 대상자가 아직 소명 사유를 제출하지 않은 상태
  • 제출: 소명 대상자가 소명 사유를 제출한 상태
  • 반려: 1차 검토자가 소명을 반려한 상태
  • 완료(전결): 2차 검토자 없이 1차 검토자가 최종 처리한 상태
  • 검토대기: 1차 검토자가 승인하여 2차 검토자(감사자)의 검토를 대기 중인 상태
  • 검토반려: 2차 검토자가 소명을 반려한 상태
  • 검토승인: 2차 검토자가 소명을 최종 승인한 상태
• 소명 대상자: 소명 요청을 받은 임직원 이름입니다.
• 1차 검토자: 소명을 1차로 검토하는 담당자 이름입니다.
• 2차 검토자: 소명을 2차로 검토하는 감사자 이름입니다.
• 소명 요청자: 소명 요청을 생성한 사용자 이름입니다. 탐지 시나리오가 자동으로 생성한 소명은 비어 있습니다.
• 분류: 소명에 적용된 분류 이름입니다.
• 티켓 제목: 연결된 티켓의 번호와 제목입니다. 클릭하면 해당 티켓으로 이동합니다.
• 결과: 소명 최종 처리 결과(정상/위반)입니다. 완료(전결) 또는 검토승인 상태에서만 표시됩니다.
• 소명 요청일: 소명이 생성된 일시입니다.
• 마감시한: 소명 제출 마감 날짜입니다.

목록은 최근에 요청된 소명부터 표시하며, 페이저에서 한 화면에 표시할 건수를 바꿀 수 있습니다.

도구 모음의 필터를 사용하여 소명을 검색할 수 있습니다.

• 날짜 선택기: 소명 요청일 기준으로 조회 기간을 설정합니다. 기본값은 최근 30일입니다.
• 중요도: 특정 중요도의 소명만 표시합니다.
• 상태: 특정 처리 상태의 소명만 표시합니다.
• 분류: 특정 분류의 소명만 표시합니다.
• 검색: 소명 대상자, 1차 검토자, 2차 검토자, 소명 요청자 이름과 티켓 제목에서 검색합니다. 여러 낱말을 공백으로 구분해 입력하면 그중 하나라도 일치하는 소명을 표시합니다.

컬럼 설정

도구 모음의 컬럼 설정 버튼을 클릭하면 목록에 표시할 컬럼을 선택하고 순서를 변경할 수 있습니다. 변경 사항은 사용자별로 저장됩니다. 기본값으로 되돌리려면 목록 아래쪽의 초기화 버튼을 클릭하세요.

소명 목록 다운로드

도구 모음에서 를 클릭하면 소명 목록을 파일로 다운로드할 수 있습니다.

• 파일 이름: 저장할 파일 이름을 입력합니다. 기본값은 explanation_requests입니다.
• 컬럼: 파일에 포함할 컬럼을 선택하고 순서를 조정합니다. 위쪽 검색 입력란에서 컬럼 이름을 찾을 수 있습니다. 선택할 수 있는 컬럼은 중요도, 상태, 소명 대상자, 1차 검토자, 2차 검토자, 소명 요청자, 분류, 티켓 제목, 결과, 소명 요청일, 마감시한이며, 목록에 표시 중인 컬럼이 기본으로 선택됩니다.
• 파일 형식: 저장할 파일 형식을 선택합니다.
• 인코딩: 파일 인코딩을 선택합니다.
• 범위: 내려받을 행의 시작 번호와 끝 번호를 지정합니다.

목록에 적용한 기간, 중요도, 상태, 분류, 검색 조건은 다운로드에도 그대로 적용됩니다.

소명 목록 새로 고침

도구 모음에서 을 클릭하면 소명 목록을 최신 상태로 갱신합니다.

소명 일괄 검토

목록 좌측 체크박스를 선택하면 도구 모음에 일괄 작업 버튼이 나타납니다.

• 검토: 선택한 소명의 상태를 일괄 변경합니다. 검토 버튼을 클릭하면 검토 의견 창이 열립니다.

  

  • 상태: 변경할 상태를 선택합니다. 승인 (정상), 승인 (위반), 반려 중 선택합니다.
  • 검토 의견: 검토 의견을 입력합니다.

  두 항목 모두 필수이며, 상태를 고르고 의견을 입력해야 확인 버튼이 활성화됩니다.

  Note

  승인 (정상) 또는 승인 (위반)으로 변경하면 소명 결과가 정상 또는 위반으로 기록되고 상태가 검토승인으로 변경됩니다. 반려로 변경하면 상태가 미응답으로 변경됩니다.
  

• 삭제: 선택한 소명을 삭제합니다. 확인 창에서 삭제할 소명의 분류, 티켓 제목, 소명 대상자, 1차 검토자를 확인한 후 삭제합니다.

• 선택 취소: 선택을 해제합니다.

소명 요청

소명은 실시간 탐지나 배치 탐지에서 자동으로 요청하도록 설정할 수 있고, 티켓 화면에서 소명 요청을 할 수도 있으며, 대응 > 소명 화면에서 추가 버튼을 눌러 직접 소명 요청을 생성할 수도 있습니다.

오른쪽에 열리는 패널에서 다음 항목을 설정합니다.

• 중요도: 소명의 중요도를 선택합니다(필수, 기본값: 하, 범위: 하/중/상).
• 소명 대상자: 소명 요청을 받을 임직원을 선택합니다(필수, 최대 1명). 이름을 입력하거나 검색하여 선택합니다. 대상자를 선택하면 1차 검토자가 자동으로 지정됩니다.
• 1차 검토자: 소명을 검토할 담당자를 선택합니다(필수, 최대 1명). 소명 대상자 선택 시 자동으로 지정되지만 직접 변경할 수 있습니다.
• 2차 검토자: 1차 검토자 승인 후 추가로 검토할 감사자를 선택합니다(선택, 최대 1명). 2차 검토자를 지정하지 않으면 1차 검토자가 전결로 처리합니다.
• 분류: 소명 분류를 선택합니다(필수). 분류는 대응 > 소명 분류 메뉴에서 관리합니다.
• 소명 기한: 소명 대상자가 소명 사유를 제출해야 하는 마감 날짜를 선택합니다(필수). 기본값은 오늘부터 7일 뒤입니다.
• 소명 요청 메시지: 소명 대상자에게 전달할 메시지를 입력합니다. 입력란 안내 문구는 10,000자로 표시되지만, 2,000자를 넘으면 저장되지 않습니다.

티켓 화면에서 소명 요청을 시작하면 중요도가 티켓의 중요도로 맞춰지고, 패널 아래쪽에 티켓 정보 표가 함께 표시되며, 해당 티켓의 근거 자료가 자동으로 추가됩니다.

1차 검토자 자동 지정

소명 대상자를 선택하면 다음 규칙에 따라 1차 검토자가 자동으로 지정됩니다.

• 소명 대상자의 부서에 부서장이 있으면, 해당 부서장이 1차 검토자로 지정됩니다.
• 대상자 부서에 부서장이 없으면 상위 부서의 부서장이 1차 검토자로 지정됩니다.
• 최상위 부서까지 올라가도 부서장이 없으면, 관리자 권한의 임직원이 1차 검토자로 지정됩니다.

소명 대상자가 부서장인 경우:

• 대상자(부서장)의 상위 부서에 부서장이 있으면 상위 부서의 부서장이 1차 검토자로 지정됩니다.
• 대상자(부서장)의 상위 부서가 없거나, 최상위 부서까지 올라가도 부서장이 없으면 관리자 권한의 임직원이 1차 검토자로 지정됩니다.

근거 자료 추가

소명 요청 패널 아래쪽의 근거 자료 항목에서 소명의 근거가 되는 로그를 추가할 수 있습니다. 소명 대상자를 선택하고 추가 버튼을 클릭하면 근거 자료 추가 창이 열립니다.

근거 자료 추가 창에서 다음 항목을 설정하여 근거 로그를 검색합니다.

대상자

소명 대상자의 이름과 직급이 표시됩니다. 이 항목은 변경할 수 없습니다.

테이블

근거 자료가 적재된 테이블을 선택합니다.

스키마

근거 자료를 수집한 수집기의 로그 스키마를 선택합니다. 선택한 테이블에서 해당 스키마로 정규화된 데이터를 검색하며, 조회 결과는 테이블과 스키마 열에 이어 그 스키마의 필드를 표시 이름으로 보여 줍니다.

검색 기간

조회할 기간을 입력합니다. 기본값은 오늘 하루입니다.

검색어/쿼리

검색 방식과 키워드를 지정합니다. 최대 건수는 10,000건, 표시 단위는 100건으로 고정되어 있습니다. AND 조건으로 검색하면 모든 키워드가 존재하는 레코드만, OR 조건은 하나의 키워드라도 존재하는 레코드만 출력합니다. 쿼리 표현식 조건을 선택하면 fulltext 검색 불리언 표현식 쿼리를 직접 입력합니다.

테이블과 스키마를 모두 선택해야 검색 버튼이 활성화됩니다. 조회가 오래 걸리면 중지 버튼을 클릭해 멈출 수 있습니다.

검색 결과에서 원하는 로그를 선택한 후 확인 버튼을 클릭하면 선택한 로그가 소명 요청의 근거 자료로 추가됩니다. 한 번에 추가할 수 있는 로그는 1,000건까지이며, 넘으면 "한 번에 추가할 수 있는 근거 자료 개수를 초과했습니다" 안내가 표시되고 추가되지 않습니다.

추가한 근거 자료는 로그 스키마별 탭으로 묶여 패널에 표시됩니다. 행을 선택하고 삭제 버튼을 클릭하면 근거 자료에서 제외됩니다.

패널에서 모든 항목을 설정한 후 저장 버튼을 클릭하면 소명 요청이 생성되고, 소명 대상자에게 이메일이 발송됩니다.

소명 내용 작성

탐지 정책에 의해 소명이 자동으로 요청되거나, 티켓 화면 또는 소명 화면에서 소명 요청이 생성되면, 소명 대상자는 임직원 DB에 등록된 이메일 주소로 소명 요청 이메일을 받습니다. 이메일 포맷은 시스템 > 소명 템플릿 메뉴에서 설정할 수 있습니다.

메일의 소명 작성 링크(기본 템플릿에서는 소명 제출)를 클릭하면 새 창에 소명 제출 화면이 열립니다. 1회성 로그인 토큰을 사용하므로 로그프레소 소나 계정이 없어도 소명을 작성할 수 있습니다. 화면 언어는 임직원에 등록된 언어를 따릅니다.

소명 제출 화면은 세 부분으로 구성됩니다.

• 요약: 중요도, 소명 요청자, 소명 대상자, 1차 검토자, 2차 검토자, 분류, 소명 기간, 행위 기간, 소명 요청 메시지를 표시합니다. 소명 요청자가 비어 있으면 탐지 시나리오가 만든 소명이므로 "시스템"으로 표시됩니다.
• 상세 내역: 소명 요청에 첨부된 근거 자료를 로그 스키마별 탭으로 표시합니다.
• 소명 이력: 소명 요청과 이전에 작성된 소명 사유, 검토 의견을 시간 순으로 표시합니다.

화면 아래쪽의 소명 사유에 내용을 작성한 후 제출 버튼을 클릭하여 제출합니다. 마감시한이 지나면 "소명 제출 기한을 경과했습니다." 안내가 표시되고 소명을 제출할 수 없습니다.

소명 토큰 만료 기한 사용 예

• 소명 생성일: 2019-08-21 18:00:00
• 소명 마감일: 2019-08-27 23:59:59
• 작업 날짜: 2019-08-28 15:00:00
• 소명 토큰 만료 기한: 10일

작업일 기준으로 소명 마감일은 지났지만, 소명 토큰 만료 기한은 2019-08-31 18:00:00까지이므로 소명 작성이 가능합니다.

소명 검토

소명 대상자가 소명 사유를 작성하여 제출하면, 소명 검토자에게 소명 검토 이메일이 발송됩니다. 검토자는 이메일에 포함된 링크를 클릭하여 소명 검토 화면으로 이동합니다.

소명 검토 화면은 소명 제출 화면과 같은 요약, 상세 내역, 소명 이력을 보여 주고, 아래쪽에 검토 의견 입력란과 처리 버튼이 놓입니다.

소명 정보와 상세 내역을 검토한 후, 화면 하단의 검토 의견 입력란에 의견을 작성하고 처리 버튼을 클릭합니다. 표시되는 버튼은 2차 검토자 지정 여부에 따라 달라집니다.

2차 검토자를 지정하지 않아 1차 검토자가 전결로 처리하는 경우:

• 반려: 소명을 반려합니다. 소명 상태가 반려로 변경되고, 소명 대상자에게 소명 요청 메일이 다시 발송됩니다.
• 승인 (정상): 소명 결과를 정상으로 승인합니다. 소명 상태가 완료(전결)로 변경되고 결과가 정상으로 기록됩니다.
• 승인 (위반): 소명 결과를 위반으로 승인합니다. 소명 상태가 완료(전결)로 변경되고 결과가 위반으로 기록됩니다.

소명이 완료(전결) 또는 검토승인으로 종결되면 소명 대상자에게 완료 안내 메일이 발송됩니다.

2차 검토자를 지정한 경우 1차 검토자에게는 반려와 검토 대기 버튼만 표시됩니다. 검토 대기를 클릭하면 소명 상태가 검토대기로 바뀌고 2차 검토자에게 검토가 넘어갑니다. 2차 검토자는 검토 반려, 검토 완료 (정상), 검토 완료 (위반) 중에서 선택하며, 각각 소명 상태가 검토반려, 검토승인으로 기록됩니다. 검토 반려도 반려와 마찬가지로 소명 대상자에게 소명 요청 메일을 다시 보냅니다.

소명 목록에서 행을 클릭하면 콘솔 안에서도 같은 검토 화면을 패널로 열 수 있습니다. 이 패널은 2차 검토자(감사자)용이라 **검토 완료 (정상)**과 검토 완료 (위반) 버튼이 나오고, 소명이 검토대기 상태일 때만 검토 반려가 함께 나옵니다. 소명이 미응답 상태이면 재소명 요청 버튼도 표시되어 소명 요청 메일을 다시 보낼 수 있으며, 메일 링크로 연 1차 검토 화면에는 이 버튼이 나타나지 않습니다. 이미 완료(전결) 또는 검토승인으로 종결된 소명을 열면 "소명을 검토했습니다." 안내가 표시되고 처리 버튼은 나오지 않습니다.