네트워크 대역

개요

네트워크 대역은 여러 IP 주소 대역을 목적별로 묶어 관리하는 기능입니다. 정책 > 네트워크 대역에서 내부망, 본사 네트워크, 데이터센터 서버 대역처럼 성격이 비슷한 네트워크를 하나의 그룹으로 정리하세요.

네트워크 대역은 이름과 설명, 그리고 그룹에 등록한 네트워크 목록으로 이루어집니다. 네트워크는 IP 주소 범위, 단일 IP 주소, CIDR 가운데 한 가지 형식으로 등록하며, 한 그룹 안에 여러 형식을 섞어 둘 수 있습니다. 이 기능은 IPv4 주소만 지원합니다.

설치하면 사설 IP 주소 대역 세 개(10.0.0.0-10.255.255.255, 172.16.0.0-172.31.255.255, 192.168.0.0-192.168.255.255)를 담은 내부망 대역이 함께 만들어집니다. 기본 제공 탐지 시나리오 가운데 실시간 탐지의 미허가 파일공유 포트 접속과 배치 탐지의 내부망 호스트 스캔이 이 네트워크 대역을 기준으로 내부 IP 주소와 외부 IP 주소를 구분합니다. MITRE ATT&CK 화면도 이 네트워크 대역을 GUID로 고정해 쓰며, 탐지 이벤트의 host_ip, src_ip, dst_ip 가운데 내부망 대역에 속한 IP 주소를 호스트로 셉니다. 어느 IP 주소도 내부망 대역에 속하지 않는 이벤트는 그 화면에 집계되지 않습니다.

등록한 네트워크 대역은 실시간 탐지의 시나리오 빌더, 피벗의 네트워크 대역 필터, matchnet 명령어와 matchnet() 함수에서 사용합니다. 배치 탐지에는 시나리오 빌더가 없으므로 배치 탐지 시나리오의 쿼리문에 matchnet 명령어나 함수를 직접 적습니다. 활용 방법은 네트워크 대역 활용을 참고하세요.

정책 > 네트워크 대역 메뉴는 클러스터 관리자, 관리자, 사용자 역할의 계정에 모두 표시되고 세 역할 모두 네트워크 대역과 그룹 안의 네트워크를 조회할 수 있습니다. 네트워크 대역을 추가, 수정, 삭제하고 그룹 안의 네트워크를 등록, 수정, 삭제하는 것은 클러스터 관리자와 관리자 역할만 할 수 있으며, 사용자 역할의 계정에는 추가, 저장, 네트워크 추가와 삭제 도구가 나타나지 않습니다. 역할별 권한은 계정 권한 일람표를 참고하세요.

네트워크 대역 목록 조회/검색

정책 > 네트워크 대역에서 네트워크 대역 목록을 조회하거나 검색할 수 있습니다. 목록에는 정렬 기준이 따로 지정되어 있지 않으며 열 머리글을 클릭해 정렬 기준을 바꿀 수도 없습니다. 한 페이지에 기본 15건을 표시하고, 페이지 크기는 목록 아래쪽 선택 상자에서 바꿀 수 있습니다.

이름: 네트워크 대역 이름
설명: 네트워크 대역 설명
소유자: 네트워크 대역을 만든 계정의 이름. 소유자와 관계없이 같은 회사의 계정은 모든 네트워크 대역을 봅니다.
수정일: 네트워크 대역의 이름이나 설명을 마지막으로 바꾼 날짜와 시각

특정 네트워크 대역을 찾으려면 도구 모음의 검색 상자에 검색어를 입력하고 Enter 키를 누르세요. 검색은 다음과 같이 동작합니다.

공백으로 여러 낱말을 입력하면 낱말마다 이름 또는 설명에 들어 있어야 합니다. 대소문자를 구분하지 않고 부분 일치로 찾습니다.
낱말 가운데 IPv4 주소가 있으면 그 주소를 포함하는 네트워크가 등록된 네트워크 대역도 찾습니다. 이때 나머지 낱말은 모두 이름 또는 설명에 들어 있어야 합니다. 등록한 값이 IP 주소 범위나 CIDR이면 그 안에 드는 주소로도 찾을 수 있습니다.
IPv4 주소를 입력해도 그 문자열이 이름이나 설명에 들어 있는 네트워크 대역은 함께 나타납니다.

다음은 198.51.100.51로 검색한 결과입니다. 이 주소는 사내 자산 대역에 등록된 범위 198.51.100.50 ~ 198.51.100.51 안에 들기 때문에, 이름이나 설명에 그 주소가 없어도 사내 자산 대역이 나타납니다.

목록 다운로드

네트워크 대역 목록을 파일로 내려받으려면 도구 모음에서 를 클릭하세요. 네트워크 대역 목록 다운로드 대화상자가 열립니다.

파일 이름(필수): 내려받을 파일의 이름(기본값 네트워크 대역, 최대 200자)
컬럼(필수): 파일에 넣을 열. 목록에 보이는 네 열에 생성일을 더한 다섯 열이 모두 선택되어 있으며, 체크박스로 열을 빼거나 오른쪽 손잡이를 끌어 순서를 바꿀 수 있습니다.
파일 형식(필수): 내려받을 파일의 형식. CSV(기본값), XML, Microsoft Word, HTML, JSON, PDF 가운데 고릅니다.
인코딩(필수): 파일 인코딩. 파일 형식이 CSV나 JSON일 때만 나타나며, 고를 수 있는 값은 웹 콘솔 언어에 따라 다릅니다. 한국어 웹 콘솔에서는 UTF8, UTF16, MS949 가운데 고를 수 있고, 파일 형식이 CSV이면 MS949, JSON이면 UTF8이 기본값입니다.
범위(필수): 내려받을 구간의 시작 번호와 끝 번호(기본값은 현재 페이지의 첫 행 번호부터 전체 건수까지)

지정을 마치고 다운로드를 클릭하세요. 검색어를 입력해 목록을 걸러 둔 상태라면 걸러진 목록을 내려받습니다. 목록이 비어 있으면 다운로드 아이콘은 비활성 상태입니다.

목록 새로 고침

네트워크 대역 목록을 최신 정보로 다시 조회하려면 도구 모음에서 을 클릭하세요.

네트워크 대역 추가

탐지 시나리오나 쿼리에서 대조할 새 네트워크 대역을 만들려면 다음 절차를 따르세요.

정책 > 네트워크 대역에서 도구 모음의 추가를 클릭하세요.
네트워크 대역 추가 패널에서 그룹 정보를 입력하세요.
- 이름(필수): 네트워크 대역 이름. 최대 50자까지 입력할 수 있습니다.
- 설명: 네트워크 대역 설명. 최대 50자까지 입력할 수 있습니다.
패널 오른쪽 위의 저장을 클릭하세요. 저장하면 패널이 닫히고 목록에 새 네트워크 대역이 나타납니다.

Note

네트워크 대역 이름은 다른 네트워크 대역과 겹칠 수 없습니다. 이미 있는 이름으로 저장하면 중복된 이름이라는 오류 메시지가 나타납니다.

Note

네트워크 대역을 추가하는 패널에는 네트워크 목록이 없습니다. 그룹을 먼저 저장한 다음 목록에서 저장한 그룹을 다시 열어 네트워크를 등록하세요.

네트워크 대역 수정

네트워크 대역의 이름이나 설명을 바꾸려면 다음 절차를 따르세요.

네트워크 대역 목록에서 수정할 네트워크 대역의 행을 클릭하세요. 네트워크 대역 수정 패널이 열립니다.
이름이나 설명을 고친 뒤 패널 오른쪽 위의 저장을 클릭하세요. 저장하면 패널이 닫히고 목록이 새로 고쳐집니다.

패널 아래쪽은 그룹에 등록된 네트워크 목록입니다. 네트워크를 등록, 수정, 삭제하는 작업은 그 자리에서 바로 반영되므로 저장으로 확정할 내용은 이름과 설명뿐입니다.

네트워크 목록 조회/검색

네트워크 대역 수정 패널의 네트워크 목록에서 그룹에 등록된 네트워크를 확인할 수 있습니다. 한 페이지에 기본 15건을 표시하고, 페이지 크기는 목록 아래쪽 선택 상자에서 바꿀 수 있습니다. 정렬 기준은 따로 지정되어 있지 않아 표시 순서가 일정하지 않을 수 있으므로, 특정 네트워크를 확인할 때는 페이지를 넘기며 찾기보다 검색 상자를 쓰세요.

네트워크 대역: 등록된 네트워크. 형식에 따라 다음과 같이 표시합니다.
- IP 주소 범위: 시작 주소와 끝 주소를 물결표로 이어 표시합니다(예: 198.51.100.50 ~ 198.51.100.51).
- 단일 IP 주소: 주소 하나만 표시합니다(예: 198.51.100.52).
- CIDR: 네트워크 주소와 비트 수를 빗금으로 이어 표시합니다(예: 192.0.2.0 / 24).
설명: 네트워크를 등록할 때 적은 설명

특정 네트워크를 찾으려면 네트워크 목록의 검색 상자에 검색어를 입력하고 Enter 키를 누르세요. 낱말은 설명에서만 부분 일치로 찾고, 공백으로 여러 낱말을 입력하면 낱말이 모두 설명에 들어 있어야 합니다. 낱말 가운데 IPv4 주소가 있으면 그 주소를 포함하는 네트워크도 찾으며, 이때 나머지 낱말은 모두 설명에 들어 있어야 합니다. 예를 들어 192.0.2.77을 입력하면 192.0.2.0 / 24 네트워크가 남습니다.

네트워크 목록의 도구 모음은 왼쪽의 검색 상자와 오른쪽의 네트워크 추가, 삭제 아이콘, 새로 고침 아이콘으로 이루어집니다. 네트워크 대역 목록과 달리 다운로드 도구는 없습니다.

네트워크 추가

네트워크 대역에 네트워크를 등록하려면 다음 절차를 따르세요.

네트워크 대역 목록에서 네트워크를 등록할 네트워크 대역의 행을 클릭하세요.
네트워크 목록 도구 모음에서 네트워크 추가를 클릭하세요.
네트워크 추가 대화상자에서 유형을 고르세요. 기본값은 IP 주소 범위이며, 고른 유형에 따라 아래 입력 항목이 바뀝니다.
유형에 맞는 값을 입력하세요.
- IP 주소 범위를 고른 경우
  - 시작(필수): 범위의 첫 IPv4 주소
  - 끝(필수): 범위의 마지막 IPv4 주소. 시작보다 작은 주소를 입력하면 저장할 수 없으며, 시작과 같은 주소는 저장할 수 있습니다.
- 단일 IP 주소를 고른 경우
  - IP 주소(필수): 등록할 IPv4 주소
- CIDR을 고른 경우
  - 네트워크 주소(필수): 대역의 첫 IPv4 주소(예: 192.0.2.0). 대역의 첫 주소가 아닌 값을 넣어도 그대로 저장되며, 이때는 입력한 주소부터 그 블록의 마지막 주소까지만 대역으로 봅니다. 예를 들어 네트워크 주소에 192.0.2.77, 비트에 24를 넣으면 192.0.2.77-192.0.2.255만 대조합니다.
  - 비트(필수): 네트워크 접두사 길이. 1-32 사이의 정수를 입력합니다.
- 설명: 네트워크를 등록하는 이유처럼 나중에 판단하는 데 필요한 내용. 최대 255자까지 입력할 수 있습니다.
저장을 클릭하세요.

네트워크 수정

등록한 네트워크의 값이나 설명을 바꾸려면 다음 절차를 따르세요.

네트워크 대역 목록에서 네트워크를 수정할 네트워크 대역의 행을 클릭하세요.
네트워크 목록에서 수정할 네트워크의 행을 클릭하세요. 네트워크 수정 대화상자가 열립니다.
값을 고친 뒤 저장을 클릭하세요.

네트워크 수정 대화상자는 네트워크 추가 대화상자와 입력 항목이 같습니다. 유형은 등록된 값에 맞춰 정해진 채 열리며, 다른 유형으로 바꿔 저장할 수도 있습니다.

네트워크 삭제

그룹에서 더 이상 관리하지 않을 네트워크를 지우려면 다음 절차를 따르세요.

네트워크 대역 목록에서 네트워크를 삭제할 네트워크 대역의 행을 클릭하세요.
네트워크 목록에서 삭제할 항목의 체크박스를 선택하세요.
도구 모음에서 를 클릭하세요. 항목을 하나도 선택하지 않으면 이 아이콘은 비활성 상태입니다.
네트워크 삭제 대화상자에서 지울 항목을 확인한 뒤 삭제를 클릭하세요.

네트워크 대역 삭제

더 이상 사용하지 않는 네트워크 대역을 정리하려면 다음 절차를 따르세요.

네트워크 대역 목록에서 삭제할 네트워크 대역의 체크박스를 선택하세요. 하나 이상 선택하면 도구 모음 왼쪽이 선택한 항목에 수행할 작업을 묻는 모습으로 바뀝니다.
삭제를 클릭하세요. 선택을 되돌리려면 선택 취소를 클릭하세요.
네트워크 대역 삭제 대화상자에서 지울 네트워크 대역을 확인한 뒤 삭제를 클릭하세요.

Caution

네트워크 대역을 삭제하면 그룹에 등록된 네트워크도 함께 사라집니다. 실시간 탐지 시나리오, 피벗 필터, 쿼리가 그 네트워크 대역을 참조하고 있어도 삭제는 그대로 진행되므로, 삭제하기 전에 사용 여부를 반드시 확인하세요. 참조하던 설정과 쿼리에는 삭제한 네트워크 대역의 GUID가 그대로 남고, 그 탐지 시나리오와 쿼리는 다음에 실행되거나 다시 시작될 때 오류가 나서 동작하지 않습니다. 해당 설정을 열어 네트워크 대역을 다시 지정하세요. 내부망 대역은 삭제하지 않는 것이 좋습니다. 기본 제공 탐지 시나리오인 실시간 탐지의 미허가 파일공유 포트 접속과 배치 탐지의 내부망 호스트 스캔, 그리고 분석 > MITRE ATT&CK 화면이 이 네트워크 대역을 GUID로 참조합니다. 삭제하면 두 시나리오는 켜 두었을 경우 배치 탐지는 다음 실행부터, 실시간 탐지는 다음에 다시 시작될 때부터 실패하고, MITRE ATT&CK 화면에는 탐지 집계가 나타나지 않습니다. 같은 이름으로 다시 만들어도 GUID가 달라 MITRE ATT&CK 화면은 복구되지 않습니다.

네트워크 대역 활용

등록한 네트워크 대역은 다음과 같은 용도로 활용할 수 있습니다.

시나리오 빌더에서 네트워크 대역 대조

실시간 탐지 시나리오의 시나리오 빌더에서는 이벤트의 IP 주소가 특정 네트워크 대역에 드는지를 탐지 조건으로 쓸 수 있습니다. 내부망에서 외부로 나가는 접속만 고르거나, 데이터센터 서버 대역을 향한 접속만 따로 볼 때 사용합니다.

필드에서 IP 유형 필드를 고르고 룰에서 IP 주소가 네트워크 대역에 포함을 고르면 아래에 비교 네트워크 대역 선택 상자가 나타납니다. 대조할 네트워크 대역을 고른 뒤 를 클릭해 규칙을 등록하세요. 선택 상자의 기본값은 목록의 첫 네트워크 대역입니다.

반대로 네트워크 대역에 속하지 않는 IP 주소를 조건으로 삼으려면 규칙 앞의 조건을 NOT으로 바꾸세요. 시나리오 빌더가 만드는 쿼리에는 화면에 보이는 이름이 아니라 네트워크 대역의 GUID가 들어갑니다. 필드 유형별로 쓸 수 있는 룰과 매개변수는 필드 유형별 룰 및 매개변수를 참고하세요.

피벗과 쿼리에서 네트워크 대역 대조

피벗에서는 IP 유형 열의 머리글을 오른쪽 클릭한 뒤 네트워크 대역 필터를 선택해, 특정 네트워크 대역에 속한 IP 주소만 보거나 반대로 그 IP 주소를 제외할 수 있습니다.

출력 필드: 필터를 적용할 열 이름
네트워크 그룹 선택(필수): 대조할 네트워크 대역. 하나 이상 선택해야 하며, 위쪽 검색 상자로 목록을 거르거나 전체 선택으로 모든 네트워크 대역을 한 번에 고를 수 있습니다.
포함 여부: 포함은 선택한 네트워크 대역 가운데 하나에라도 드는 행만 남기고, 포함하지 않음은 그 행을 결과에서 뺍니다.

적용을 클릭하면 피벗 쿼리에 네트워크 대역 대조 조건이 더해집니다.

쿼리에서는 matchnet 명령어와 matchnet() 함수로 필드의 IP 주소가 특정 네트워크 대역에 드는지 판별합니다. matchnet() 함수는 네트워크 대역을 GUID로 지정하며, matchnet 명령어에서 대상을 지정하는 옵션은 matchnet 명령어 문서를 참고하세요. 네트워크 대역의 GUID는 그 네트워크 대역의 수정 패널을 열었을 때 웹 브라우저 주소 표시줄의 /subnet-group/ 뒤에 붙는 값입니다.

다음은 방화벽 로그에서 목적지 IP 주소가 사내 자산 대역에 드는 레코드만 골라내는 예입니다.

table duration=1d *:FW_FLOW | matchnet guid="3f7c58e1-9a24-4b6d-8e05-c1d7420b9a63" field=dst_ip

반대로 네트워크 대역에 들지 않는 레코드만 보려면 invert=t를 지정합니다.

MITRE ATT&CK의 내부 호스트 기준

MITRE ATT&CK 화면은 내부망 대역에 속한 IP 주소만 내부 호스트로 집계합니다. 탐지 이벤트마다 host_ip, src_ip, dst_ip 순서로 확인해 내부망 대역에 속하는 첫 IP 주소 하나를 그 이벤트의 호스트로 세고, 세 IP 주소가 모두 내부망 대역 밖인 이벤트는 집계하지 않습니다. 호스트 이름은 자산 IP에 등록된 정보로 표시하며, 자산 IP에 등록하는 것만으로는 집계 대상이 되지 않습니다.

보호할 자산이 사설 IP 주소 대역 밖에 있다면 내부망 대역에 그 대역을 네트워크로 추가하세요. MITRE ATT&CK 화면은 내부망 대역만 참조하므로, 따로 만든 네트워크 대역에 추가해서는 집계에 반영되지 않습니다.