자산 IP

개요

자산 IP는 보호 대상 자산의 IP 주소와 자산 정보를 함께 관리하는 기능입니다. 정책 > 자산 IP에서 내부 자산을 등록하고, 사이트, 중요도, 담당자, 운영체제, 위치 같은 속성을 함께 관리하세요.

실무에서는 자산 IP를 기준 정보로 정리해 두면 이벤트나 티켓을 검토할 때 해당 IP 주소가 어떤 자산인지 빠르게 식별할 수 있습니다. 특히 사이트와 함께 사용하면 같은 IP 주소 대역이라도 운영 위치나 조직 단위에 따라 자산을 구분할 수 있습니다. XDR 라이선스가 활성화된 환경에서는 자산마다 알려진 취약점(CVE)을 등록해 조치 상태를 추적할 수도 있습니다.

클러스터 관리자와 관리자 역할의 계정은 자산 IP를 조회하고 추가·수정·삭제할 수 있습니다. 사용자 역할의 계정은 목록을 조회하고 다운로드할 수 있지만 추가 단추와 행 선택 체크박스가 표시되지 않으며, 자산 IP 상세 화면도 읽기 전용으로 열립니다. 역할별 권한은 계정 권한 일람표를 참고하세요.

자산 IP 목록 조회/검색

정책 > 자산 IP에서 등록된 자산 IP 목록을 조회하거나 검색할 수 있습니다. 목록은 IP 주소 오름차순으로 표시되며, 열 머리글을 클릭해 정렬 기준을 바꿀 수는 없습니다. 한 페이지에 기본 15건을 표시하고, 페이지 크기는 목록 아래쪽의 선택 상자에서 바꿀 수 있습니다.

• 중요도: 자산의 중요도. 상은 빨간색 세 칸, 중은 주황색 두 칸, 하는 초록색 한 칸 인디케이터로 표시됩니다.
• 사이트: 자산이 속한 사이트의 식별자. 사이트를 지정하지 않은 자산은 비어 있습니다.
• IP 주소: 자산의 IPv4 주소
• 분류: 자산 분류. 분류를 지정하지 않은 자산은 미분류로 표시됩니다.
• 호스트명: 자산의 호스트명
• 담당자: 자산의 주 담당자로 지정된 임직원 이름
• 부서: 주 담당자의 부서
• 수정일: 자산 IP를 마지막으로 수정한 일시

목록을 걸러내려면 도구 모음의 사이트, 분류, 중요도 선택 상자를 사용하세요. 세 필터는 함께 적용되며, 선택 목록 맨 위의 항목을 다시 고르면 해당 필터가 해제됩니다.

특정 자산을 찾으려면 도구 모음의 검색 상자에 키워드를 입력하세요. 검색은 IP 주소, 호스트명, 작업 그룹, 주 담당자 이름, 설명을 대상으로 부분 일치로 대조합니다. 공백으로 구분해 여러 낱말을 입력하면 모든 낱말을 포함하는 자산만 보여줍니다. 분류 이름과 사이트 식별자는 검색 대상이 아니므로 분류와 사이트 필터를 사용하세요.

목록 다운로드

자산 IP 목록을 파일로 내려받으려면 도구 모음에서 를 클릭하세요. 목록에 자산이 하나도 없으면 이 아이콘은 비활성 상태입니다.

• 파일 이름: 내려받을 파일의 이름. 기본값은 자산 IP입니다.
• 컬럼: 파일에 포함할 열. 중요도, 사이트, IP 주소, 분류, 호스트명, 작업 그룹, 설명, 담당자, 부서, 수정일 10개를 모두 선택한 상태로 열리며, 오른쪽의 손잡이를 끌어 열 순서를 바꿀 수 있습니다. 목록 화면에 없는 작업 그룹과 설명도 내려받을 수 있습니다.
• 파일 형식: 내려받을 파일 형식(CSV, XML, Microsoft Word, HTML, JSON, PDF). 기본값은 CSV입니다.
• 인코딩: 파일의 문자 인코딩. 파일 형식이 CSV나 JSON일 때만 표시되며, 한국어 콘솔의 기본값은 MS949입니다.
• 범위: 내려받을 자산의 순번 범위. 기본값은 현재 페이지의 첫 항목 순번부터 전체 건수까지입니다.

입력한 내용을 확인한 뒤 다운로드를 클릭하세요.

목록 새로 고침

자산 IP 목록을 최신 정보로 다시 조회하려면 도구 모음에서 을 클릭하세요.

자산 IP 추가

티켓 분석이나 자산 관리에 사용할 내부 자산 정보를 등록하려면 자산 IP를 추가하세요.

1. 정책 > 자산 IP에서 도구 모음의 추가를 클릭하세요.

2. 자산 IP 추가 화면에서 자산 정보를 입력하거나 선택하세요. 필수 항목은 IP 주소 하나이고 나머지는 모두 선택 항목입니다.

   

   • IP 주소: 자산의 IPv4 주소(필수)
   • 사이트: 자산이 속한 사이트. 선택 상자를 열고 사이트 식별자를 검색해 지정합니다. 지정하지 않으면 사이트가 없는 자산으로 저장됩니다.
   • 중요도: 자산의 중요도(상, 중, 하). 기본값은 하이며, 오른쪽의 C, I, A 등급과 연동됩니다.
   • C, I, A: 기밀성, 무결성, 가용성 등급. 기본값은 모두 하입니다.
   • 분류: 자산 분류. 기본값은 미분류이며, 설치 시 PC, 서버, 모바일, 네트워크장비, 보안장비, 프린터, VOIP 7종이 기본으로 제공됩니다.
   • 담당자 (정): 자산의 주 담당자. 임직원을 검색해 선택하며, 선택 목록에는 이름과 부서가 함께 표시됩니다.
   • 담당자 (부): 자산의 부 담당자
   • 호스트명: 자산의 호스트명(최대 255자)
   • 작업 그룹: 자산이 속한 작업 그룹 또는 도메인(최대 255자)
   • 운영체제: 자산의 운영체제 이름(최대 50자). 선택 상자가 아니라 직접 입력하는 항목입니다.
   • 버전: 자산의 운영체제 버전(최대 20자)
   • 위치: 자산의 물리적 위치(최대 255자)
   • 설치일: 자산을 설치한 일시. 날짜 선택기에서 시각까지 지정합니다.
   • MAC 주소: 자산의 MAC 주소(최대 17자)
   • 설명: 자산에 대한 설명(최대 2,000자)

   설치 환경에 사용자 정의 자산 필드가 구성되어 있으면 설명 아래에 입력 항목이 추가로 표시됩니다.

3. 입력한 내용을 검토한 뒤 오른쪽 위의 저장을 클릭하세요. 저장하지 않고 패널을 닫으려면 패널 좌측 상단의 를 클릭하세요.

   

중요도와 C/I/A 산정 기준

중요도와 C, I, A 등급은 서로 연동됩니다. 중요도를 고르면 C, I, A 세 등급이 모두 같은 값으로 맞춰집니다. 반대로 C, I, A 중 하나를 바꾸면 세 등급의 합(하 1점, 중 2점, 상 3점)으로 중요도가 다시 계산됩니다. 합이 7보다 크면 상, 4보다 크면 중, 그 밖에는 하가 됩니다. 저장할 때 서버로 전달되는 값은 C, I, A 세 등급이며, 중요도는 서버가 같은 기준으로 다시 계산해 저장합니다.

각 등급을 어떤 기준으로 정하는지 확인하려면 C, I, A 라벨에 마우스 포인터를 올려놓으세요. 해당 항목의 평가 기준 표가 나타납니다. 표는 구분, 평가 기준, 점수 세 열로 이루어지며, 세 항목이 각각 다른 기준을 사용합니다.

자산 IP 수정

자산 정보가 바뀌었을 때는 수정 화면에서 최신 상태로 갱신하세요.

1. 자산 IP 목록에서 수정할 자산의 행을 클릭하세요.

   

2. 자산 IP 수정 화면에서 정보를 고친 뒤 저장을 클릭하세요. 입력 항목과 입력 규칙은 추가 화면과 같습니다.

   

수정 화면에는 머리글 아래에 탭이 표시됩니다. 자산 IP 설정 탭은 항상 표시되고, 취약점 탭은 XDR 라이선스가 활성화된 환경에서만 표시됩니다. 취약점 탭을 선택하면 취약점을 각 대화상자에서 바로 저장하므로 오른쪽 위의 저장 단추가 사라집니다.

자산 취약점 관리

XDR 라이선스가 활성화된 환경에서는 자산 IP 수정 화면의 취약점 탭에서 해당 자산에 영향을 주는 취약점을 등록하고 조치 상태를 관리할 수 있습니다. 취약점 탭은 자산 IP 추가 화면에는 없으므로, 새로 등록한 자산의 취약점은 저장한 뒤 수정 화면에서 추가하세요.

• CVE ID: 취약점 식별자. 오른쪽의 아이콘을 클릭하면 해당 취약점의 CVE 상세 화면으로 이동합니다.
• 상태: 조치 상태(미해결, 검토 중, 수정 중, 위험 수용, 해결됨)
• CVSS4, CVSS3, CVSS2: 버전별 CVSS 점수. 점수 구간에 따라 배지 색이 달라지며(0.0-1.9 초록색, 2.0-4.9 노란색, 5.0-7.9 주황색, 8.0-10.0 빨간색), 점수가 없으면 N/A로 표시됩니다.
• 조치 완료일: 조치를 마친 날짜
• 조치 예정일: 조치를 마치기로 한 날짜
• 담당자: 조치를 담당하는 임직원
• 진단일: 취약점을 진단하거나 등록한 날짜

목록은 상태 순서(미해결, 검토 중, 수정 중, 위험 수용, 해결됨)로 먼저 정렬하고, 같은 상태 안에서는 CVSS 점수가 높은 순으로 정렬합니다. 검색 상자는 CVE ID만 대조합니다. 취약점 목록을 파일로 내려받으려면 를 클릭하세요. 다운로드 대화상자는 자산 IP 목록 다운로드와 같은 방식으로 동작합니다.

취약점 등록

1. 취약점 탭에서 추가를 클릭하고 취약점 등록을 선택하세요.

   

2. 자산 취약점 등록 대화상자에서 취약점 정보를 입력한 뒤 확인을 클릭하세요.

   

   • CVE ID: 취약점 식별자(필수). CVE-2021-44228처럼 CVE-연도-일련번호(4자리 이상) 형식으로 입력합니다.
   • 상태: 조치 상태. 기본값은 미해결입니다. 해결됨을 고르면 조치 완료일이 오늘 날짜로 자동 입력되고, 다시 미해결로 바꾸면 지워집니다.
   • 조치 완료일: 조치를 마친 날짜
   • 조치 예정일: 조치를 마치기로 한 날짜
   • 담당자: 조치를 담당할 임직원
   • 진단일: 취약점을 진단한 날짜. 기본값은 오늘입니다.

등록한 취약점을 고치려면 목록에서 해당 행을 클릭하세요. 자산 취약점 수정 대화상자가 열리며, CVE ID는 바꿀 수 없고 나머지 항목을 고친 뒤 저장을 클릭합니다.

취약점 일괄 등록

여러 취약점을 한 번에 등록하려면 추가를 클릭하고 취약점 일괄 등록을 선택하세요.

입력란에 CVE ID를 한 줄에 하나씩 입력한 뒤 확인을 클릭하세요. 형식에 맞지 않는 값이 하나라도 있으면 등록되지 않습니다. 일괄 등록한 취약점은 상태가 미해결이고 진단일은 등록한 날짜로 지정되므로, 조치 예정일이나 담당자는 등록한 뒤 각 행에서 지정하세요.

취약점 상태 변경과 담당자 변경

취약점 목록에서 행의 체크박스를 선택하면 검색 상자 자리에 선택 항목 작업 도구가 나타납니다.

• 상태 변경: 선택한 취약점의 상태를 한꺼번에 바꿉니다. 단추를 클릭하면 상태 다섯 가지가 목록으로 표시됩니다.
• 담당자 변경: 담당자 변경 대화상자에서 임직원을 선택해 선택한 취약점의 담당자를 한꺼번에 지정합니다. 담당자를 고르지 않고 확인을 클릭하면 담당자를 지정하라는 경고가 표시됩니다.
• 삭제: 선택한 취약점을 삭제합니다.
• 선택 취소: 선택을 모두 해제합니다.

취약점 삭제

1. 취약점 목록에서 삭제할 취약점의 체크박스를 선택하세요.
2. 삭제를 클릭하세요.
3. 자산 취약점 삭제 대화상자에서 삭제할 CVE ID를 확인한 뒤 삭제를 클릭하세요. 삭제하지 않으려면 취소를 클릭하세요.

자산 IP 삭제

더 이상 관리하지 않는 자산 IP를 정리하려면 목록에서 삭제하세요.

1. 자산 IP 목록에서 삭제할 자산의 체크박스를 선택하세요. 한 건이라도 선택하면 필터와 검색 상자 자리가 선택 항목 작업 도구로 바뀝니다. 자산 IP 목록에서 선택한 항목에 할 수 있는 작업은 삭제뿐입니다.

   

2. 삭제를 클릭하세요.

3. 자산 IP 삭제 대화상자에서 삭제할 자산 목록을 확인한 뒤 삭제를 클릭하세요. 삭제하지 않으려면 취소를 클릭하세요.

   

자산 IP 활용

수집기 연동

자산 IP를 수집기에 연결하면 수집기가 수집하는 데이터에 자산 정보가 자동으로 부가됩니다. 수집기를 추가하거나 수정할 때 화면 위쪽 기본 입력 항목의 자산 IP에서 데이터 원천에 해당하는 자산을 지정하세요. 선택 목록의 항목은 IP 주소, 호스트명, 사이트 식별자 차례로 표시됩니다.

수집기는 지정한 자산 정보를 _device_name(호스트명), _device_ip(IP 주소), _site(사이트 식별자) 필드로 추가해 데이터를 저장합니다. 따라서 이후 쿼리나 이벤트 분석에서 해당 데이터가 어떤 자산에서 수집되었는지 바로 확인할 수 있습니다.

쿼리에서 조회

쿼리에서 자산 IP 목록을 조회하거나, 로그의 IP 주소가 등록된 자산인지 확인하려면 iplookup 명령어를 사용하세요. key 옵션 없이 실행하면 자산 IP 전체 목록을 조회하고, key 옵션에 IP 주소 필드를 지정하면 그 값을 자산 IP 목록과 대조해 담당자와 중요도 정보를 입력 레코드에 추가합니다.

다른 화면에서 참조

등록한 자산 IP는 자산과 관련된 다른 화면에서도 참조합니다. CVE 상세 화면의 영향 자산 목록에서 자산의 IP 주소를 클릭하면 해당 자산의 수정 화면으로 이동하고, MITRE ATT&CK 화면에서도 IP 주소의 자산 조회 메뉴로 같은 화면에 접근할 수 있습니다. 담당자, 부서, 사이트 같은 속성을 함께 관리하면 보안 이벤트를 분석할 때 자산 맥락을 더 빠르게 파악할 수 있습니다.

MITRE ATT&CK 화면은 엔드포인트의 호스트명과 호스트명 필터에 자산 IP의 호스트명을 씁니다. 다만 그 화면이 어떤 IP 주소를 내부 호스트로 셀지는 자산 IP가 아니라 네트워크 대역의 내부망 대역이 정합니다. 등록한 자산 IP가 내부망 대역 밖에 있으면 MITRE ATT&CK 화면에 집계되지 않으므로, 자산이 쓰는 대역이 내부망 대역에 들어 있는지 확인하세요.