LogLens는 로그를 분석해 지금 바로 실행할 수 있는 업계 모범 사례 보안 유스케이스가 무엇인지, 가시성을 높이려면 무엇을 추가해야 하는지, 어떤 로그는 더 이상 수집 비용을 내지 않아도 되는지 알려 줍니다. 그런 다음 새 탐지 규칙은 SIEM에, 대응 플레이북은 SOAR에 배포합니다. 인터넷 연결이 필요 없고 AI를 사용하지 않으며, 민감 데이터는 읽는 즉시 비식별 처리됩니다.
이미 운영 중인 SIEM과 함께 작동합니다
Microsoft Sentinel
Elastic
OpenSearch
Graylog
QRadar
Google SecOps
대부분의 보안팀이 SIEM만으로는 얻지 못하는 답을 드립니다.
LogLens는 로그를 읽고 50개 이상의 업계 모범 사례 유스케이스 중 지금 실행할 수 있는 것을 보여 줍니다. 각 유스케이스는 MITRE ATT&CK 및 ISO 27001, NIST CSF, PCI DSS 같은 프레임워크에 매핑되어 있습니다.
누락된 로그 소스를 각각이 확보해 주는 탐지 커버리지 순으로 정렬하므로, 다음 온보딩 결정을 추측이 아닌 숫자로 내릴 수 있습니다.
필요한 유스케이스를 선택하면 LogLens가 해당 유스케이스에 필요한 로그, 추가해야 할 로그 소스, 그리고 어떤 탐지 규칙도 사용하지 않는 데이터를 보여 주므로, 그 데이터는 더 이상 수집 비용을 내지 않아도 됩니다.
실제 공격을 바탕으로 만든 공격 스토리를 포함한 탐지 규칙은 SIEM에, 각 유스케이스의 대응 플레이북은 SOAR에, 생성될 내용을 정확히 검토한 뒤 몇 번의 클릭으로 배포합니다.
샘플 데이터로 본 LogLens 개요: 지금 로그로 탐지할 수 있는 것, 소스별 하루 전송량과 처리 방법, 다음에 추가할 소스를 보여 줍니다.
LogLens는 전용 가상 머신에서 SIEM 옆에 자리합니다. 연결하는 즉시 첫 평가가 시작됩니다.
SIEM에 LogLens용 읽기 전용 계정을 만들어 주세요. 정확한 수집량은 플랫폼 자체 집계에서 가져오며, 샘플링한 각 이벤트는 읽는 즉시 비식별 처리됩니다.
결정론적 핑거프린트로 모든 소스와 이벤트 유형을 식별합니다: Windows, Sysmon, Entra ID, Microsoft 365, AWS CloudTrail, Okta, 방화벽, Linux 등.
50개 이상의 유스케이스를 로그 소스, 그리고 LogLens에 내장된 Sigma 규칙 라이브러리 및 MITRE ATT&CK와 대조해 실행 가능, 부분, 누락으로 판정하고, 각 유스케이스를 실행하려면 무엇이 필요한지 함께 보여 줍니다.
가장 많은 커버리지를 확보해 주는 소스를 추가하고, 아무것도 사용하지 않는 수집량은 바로 쓸 수 있는 필터로 줄이며, 하나씩 검토한 뒤 탐지 규칙은 SIEM에, 대응 플레이북은 SOAR에 배포합니다.
LogLens가 평가하는 모든 기법을 모든 ATT&CK 전술에 걸쳐, 지금 수집하는 로그로 실행 가능한 탐지 규칙이 있는지에 따라 색으로 표시합니다.
샘플 데이터로 본 전체 ATT&CK 커버리지 맵입니다. 초록색은 실행 가능한 탐지 규칙이 있음, 주황색은 부분(예: Sysmon 없이 Windows 프로세스 로그만 있는 경우), 빨간색은 누락을 뜻합니다. 이미지 위에 마우스를 올리면 확대되고, 휴대폰에서는 탭하면 원본 크기로 열립니다.
LogLens는 모든 이벤트 유형을 그것을 사용할 수 있는 모든 탐지 규칙과 대조한 뒤, 무엇을 유지·라우팅·폐기·튜닝할지 각각의 이유와 함께 알려 줍니다.
각 입자는 SIEM으로 흘러가는 로그 수집량의 일부입니다. 색이 칠해진 갈래는 LogLens가 SIEM에서 덜어낼 수 있는 양으로, 폐기하거나, 더 저렴한 스토리지로 라우팅하거나, SIEM에 도달하기 전에 소스에서 튜닝으로 걸러 내는 부분입니다.
탐지 규칙이 사용하는 데이터는 지금처럼 SIEM으로 전달됩니다.
보존은 해야 하지만 거의 검색하지 않는 데이터는 더 저렴한 스토리지로 옮기며, 조사가 필요할 때는 여전히 사용할 수 있습니다.
디버그 출력이나 상태 점검처럼 어떤 탐지 규칙도 읽지 않는 데이터에는 더 이상 비용이 들지 않습니다.
노이즈가 많은 소스는 발생 지점에서 줄이며, 수집기에 바로 쓸 수 있는 필터를 제공합니다.
인증, 권한, 감사 로그는 절대 폐기를 권장하지 않으며, 권장하더라도 더 저렴한 스토리지로 라우팅하는 데 그칩니다. 필터는 Wazuh 에이전트, Splunk, Sentinel DCR, Cribl, rsyslog, FortiGate, Windows 감사 정책용으로 바로 쓸 수 있게 제공됩니다.
실제 공격은 여러 단계로 진행됩니다. 공격 스토리는 같은 호스트나 사용자에서 일어난 이 단계들을 하나의 상관 분석 규칙으로 묶어, 노이즈 많은 알림 여러 건 대신 신뢰도 높은 알림 한 건을 제공합니다. 몇 번의 클릭으로 SIEM에 추가할 수 있습니다.
예시: 섀도 AI — AI 서비스로 전송되는 민감 데이터
Windows, Sysmon, Microsoft 365 감사 로그 또는 데이터베이스 로그에서 확인됩니다.
ChatGPT, Claude, Gemini, Copilot 또는 Perplexity 접속이 프록시, DNS, Zeek 또는 방화벽 로그에서 확인됩니다.
해당 서비스로의 대용량 또는 반복 업로드가 프록시, Zeek 또는 방화벽 로그에서 확인됩니다.
같은 호스트에서 2시간 이내에 이 중 두 가지가 발생하면 알림 한 건이 생성됩니다. LogLens는 현재 로그로 이미 확인할 수 있는 단계와, 스토리를 완성하는 데 필요한 소스를 보여 줍니다.
각 스토리는 하나의 상관 분석 규칙으로 컴파일됩니다. 검토 후 몇 번의 클릭으로 Splunk, Microsoft Sentinel, Elastic, CrowdStrike 또는 Sumo Logic에 배포할 수 있으며, 그 밖의 SIEM에는 직접 구현할 수 있도록 규칙 로직을 제공합니다.
탐지 규칙은 무슨 일이 일어났는지 알려 줍니다. LogLens의 모든 유스케이스에는 다음에 할 일을 알려 주는 대응 플레이북도 함께 제공되며, MITRE ATT&CK에 맞춰져 있어 SOAR에서 바로 사용할 수 있습니다.
자동무인 실행 승인분석가 승인 대기 수동사람이 직접 수행
검색, 정보 보강, 케이스 생성은 무인 실행해도 안전한 단계로 표시됩니다. 계정 비활성화, 호스트 격리, 트래픽 차단처럼 업무에 지장을 줄 수 있는 조치는 분석가의 승인을 기다립니다. 포렌식, 법무, 시스템 재구축은 사람이 직접 수행합니다.
플레이북을 Cortex XSOAR, Splunk SOAR, Microsoft Sentinel Logic Apps, Google SecOps SOAR 형식으로, Tines, Torq 및 기타 SOAR용 벤더 중립 워크플로 JSON으로, 또는 Markdown 런북으로 내보낼 수 있습니다.
관리자가 플레이북 내용을 정확히 검토한 뒤에야 LogLens가 Cortex XSOAR, Splunk SOAR, Tines, Torq 또는 Google SecOps SOAR로 전송하며, 이때 쓰는 SOAR 전용 자격 증명은 읽기 전용 로그 연결과 분리되어 있습니다. 일정에 따라 자동으로 전송되는 것은 없습니다.
플레이북은 ATT&CK에 맞춘 출발점일 뿐, 사고 대응 계획을 대체하지 않습니다. 봉쇄 단계는 자체 EDR, ID 공급자, 방화벽에 바로 연결할 수 있는 형태로 제공되며, LogLens는 전체 유스케이스의 권장 대응 중 SOAR로 실행할 수 있는 비율을 보여 줍니다.
Sigma 규칙 라이브러리와 MITRE ATT&CK가 내장된 가상 머신 한 대를 네트워크 안에 둡니다. LogLens는 읽기 전용 계정으로 SIEM 자체 API를 통해 읽기 때문에 데이터 경로는 전혀 바뀌지 않으며, LogLens를 꺼도 어떤 시스템도 영향을 받지 않습니다.
옆으로 밀어 전체 다이어그램을 확인하세요.
옆으로 밀어 전체 다이어그램을 확인하세요.
로그는 지금과 똑같이 소스에서 SIEM으로 흐릅니다. LogLens는 읽기만 합니다.
에이전트 설치도, 수집기나 로그 전달 설정 변경도 없습니다. SIEM의 읽기 전용 계정 하나면 충분합니다.
탐지 규칙을 SIEM에, 플레이북을 SOAR에 반영하는 작업은 관리자가 계획을 검토한 뒤 별도의 배포용 자격 증명을 통해서만 이루어집니다. 배포한 탐지 규칙은 롤백할 수 있습니다.
LogLens는 보안 로그를 노출하지 않고 이해하도록 만들어졌습니다. 인터넷 연결이 필요 없고, AI를 사용하지 않으며, 민감 데이터를 읽는 즉시 비식별 처리합니다.
LogLens는 SIEM하고만 통신하며, Sigma 규칙 라이브러리와 MITRE ATT&CK가 내장되어 있습니다. 온프레미스 SIEM 환경에서는 완전한 폐쇄망에서 실행됩니다. SaaS SIEM 환경에서는 해당 SIEM API로 아웃바운드 읽기 전용 호출만 하며, 그 밖의 통신은 없습니다. 텔레메트리도, 라이선스 확인 통신도, 벤더 클라우드도 없습니다.
언어 모델이나 머신러닝 모델이 로그를 읽지 않으며, AI 서비스로 전송되는 것도 없습니다. 분류, 커버리지, 권장 사항은 결정론적 규칙으로 산출되므로 모든 결과를 추적하고 재현할 수 있습니다.
LogLens가 각 이벤트를 읽을 때 카드 번호, 비밀번호, 토큰과 API 키, 국가 신분증 번호와 세금 번호, IBAN, 생년월일은 마스킹하고, 이메일 주소와 사용자 이름은 가명으로 바꿉니다. 이 처리는 디스크에 기록하거나 화면에 표시하기 전에 이루어집니다. 분석에 필요한 것은 값이 아니라 필드 이름과 형태입니다.
검색만 할 수 있는 최소 권한 계정을 사용합니다. TLS는 CA 또는 고정(pinned) 인증서로 검증하며, 검증을 끄는 옵션은 없습니다.
비식별 처리된 샘플은 직접 설정한 보존 일정에 따라 삭제되며, 연결을 제거하면 해당 결과도 삭제됩니다.
기본 비밀번호가 없습니다. 초기 설정에는 어플라이언스 콘솔에 표시되는 일회용 코드를 사용합니다. SSO(OpenID Connect) 또는 인증 앱 MFA를 적용한 로컬 계정으로 로그인합니다.
플랫폼 자격 증명은 어플라이언스에 암호화되어 저장되며, 어플라이언스 API로 반환되는 일이 없습니다.
로그인, 설정 변경, 연결, 보고서 다운로드, 배포가 모두 기록되며, SIEM으로 바로 전달할 수 있습니다.
저희가 호스팅하는 것은 없으며, 고객 간에 공유되는 것도 없습니다. MSP는 고객사마다 별도의 데이터베이스를 사용합니다.
많은 신규 보안 도구는 로그를 해석하기 위해 AI 서비스로 보냅니다. LogLens는 설계상 어떤 종류의 AI도 사용하지 않으므로, 가장 민감한 데이터가 통제 범위를 벗어나지 않습니다.
OpenAI, Anthropic, Google 또는 다른 어떤 모델 공급자에게도 아무것도 전송되지 않으므로, 데이터가 새어 나갈 제3자 API가 없습니다.
이곳에서든 다른 어디에서든 로그로 학습하는 모델은 없으며, 서비스 개선을 위해 사본을 보관하는 공급자도 없습니다.
AI 벤더가 공급망에 추가되지 않으므로, 개인정보 영향평가, 벤더 위험 검토, 데이터 상주 규정에서 추가로 검토할 것이 없습니다.
결정론적 규칙은 매번 같은 답을 내며, 모든 답에는 근거가 되는 탐지 규칙이나 문서화된 이유가 있습니다. 추측하지도, 지어내지도 않습니다.
어플라이언스에는 모델도, 모델 다운로드도, AI 라이브러리도 없습니다. 읽을 수 있는 규칙만 있습니다.
금융, 의료, 정부, 핵심 기반시설 팀도 AI 서비스로 로그를 보낼 수 없는 환경에서 로그를 평가할 수 있습니다.
고객사가 어떤 SIEM을 쓰든 LogLens 어플라이언스 한 대로 모든 고객사를 운영하며, 고객사별 데이터는 각각 별도의 데이터베이스에 보관합니다.
새 고객사의 SIEM을 연결하면 첫 평가가 자동으로 실행됩니다. 무엇을 탐지할 수 있는지, 무엇을 추가해야 하는지, 어디에 과다 지출하고 있는지를 몇 주간의 수작업 범위 산정 없이 파악할 수 있습니다.
포트폴리오 뷰에서 고객사별 실행 가능한 유스케이스, 미해결 알림, 일일 수집량, SIEM에서 덜어낼 수 있는 수집량을 보여 줍니다.
온보딩 목록은 각 고객사의 공백을 메울 로그 소스를 보여 주어, 더 많은 로그 소스와 유스케이스 온보딩을 제안할 근거 있는 자료를 제공합니다.
수집량 권장 사항과 바로 쓸 수 있는 필터로 각 고객사가 더 이상 수집 비용을 내지 않아도 되는 데이터를 보여 주며, 정기 검토 때 공유할 가치 보고서도 제공합니다.
검토를 거쳐 동일한 유스케이스와 공격 스토리를 Splunk, Sentinel, Elastic, Wazuh 등에 배포하고, 대응 플레이북은 각 고객사의 SOAR로 전송하며, 고객사의 탐지 규칙이 잠잠해지면 알림을 받습니다.
고객사별 데이터베이스, 고객사별 보존 및 배포 설정, 그리고 해당 고객사의 데이터만 볼 수 있는 고객사 로그인.
LogLens는 첫 보고서 이후에도 계속 모니터링하므로, 소스가 바뀌어도 커버리지가 정확하게 유지됩니다.
Splunk, Microsoft Sentinel, Elastic 및 OpenSearch, Wazuh, Graylog, IBM QRadar, Google SecOps, CrowdStrike Falcon Next-Gen SIEM, Sumo Logic, Exabeam, Devo, 그리고 내보낸 로그 파일.
Splunk, Microsoft Sentinel, Elastic, OpenSearch, Wazuh, Graylog, Google SecOps, Microsoft Defender XDR, CrowdStrike, Sumo Logic.
Cortex XSOAR, Splunk SOAR, Microsoft Sentinel Logic Apps, Google SecOps SOAR, Tines, Torq, 그리고 그 밖의 모든 SOAR용 벤더 중립 워크플로 JSON.
Entra ID, Microsoft Defender, CrowdStrike, Active Directory(LDAP), Tenable, Qualys, Rapid7, ServiceNow, NetBox, Snipe-IT, Fleet, Zabbix, Nmap 및 CSV 인벤토리.
Slack, Microsoft Teams, 이메일, 웹훅: 연결이 끊기거나, 소스가 로그 전송을 멈추거나, 탐지 규칙이 잠잠해질 때 알립니다.
커버리지, SIEM에서 덜어낼 수 있는 수집량, 입증된 탐지 규칙, 컴플라이언스를 다룬 경영진용 가치 보고서를 바로 다운로드할 수 있습니다.
아니요. LogLens는 SIEM하고만 통신하며, Sigma 규칙 라이브러리와 MITRE ATT&CK가 내장되어 있습니다. 온프레미스 SIEM 환경에서는 완전한 폐쇄망에서 실행할 수 있습니다. SaaS SIEM 환경에서는 해당 SIEM API로의 아웃바운드 HTTPS만 필요하며, 그 밖의 통신은 필요하지 않습니다. 텔레메트리도, 라이선스 확인 통신도 없습니다.
아니요, 전혀 사용하지 않습니다. 언어 모델이나 머신러닝 모델이 로그를 읽지 않으며 AI 서비스로 전송되는 것도 없으므로, 로그가 프롬프트나 학습 데이터가 되는 일은 없습니다. 분류, 커버리지, 권장 사항은 결정론적 규칙으로 산출되므로, 모든 권장 사항은 탐지 규칙이나 문서화된 이유로 거슬러 올라가 확인할 수 있습니다.
LogLens가 각 이벤트를 읽는 즉시 비식별 처리됩니다. 카드 번호, 비밀번호, 토큰과 API 키, 국가 신분증 번호와 세금 번호, IBAN, 생년월일은 마스킹되고, 이메일 주소와 사용자 이름은 가명으로 바뀌며, 이 처리는 디스크에 기록하거나 화면에 표시하기 전에 이루어집니다. 저장된 샘플은 직접 설정한 보존 일정에 따라 삭제됩니다.
네. 원하는 유스케이스와 공격 스토리를 계획에 추가하면, LogLens가 그중 현재 로그로 이미 지원되는 것, 추가해야 할 로그 소스, 그리고 어떤 탐지 규칙도 사용하지 않아 더 이상 수집 비용을 내지 않아도 되는 데이터를 보여 줍니다.
랜섬웨어, MFA 피로 공격, AI 서비스로의 민감 데이터 전송처럼 실제 공격이 전개되는 방식을 바탕으로 만든 탐지 규칙입니다. 각 스토리는 같은 호스트나 사용자에서 일어난 여러 단계를 하나의 상관 분석 규칙으로 묶어, 노이즈 많은 알림 여러 건 대신 신뢰도 높은 알림 한 건을 제공합니다.
네. 모든 유스케이스에는 MITRE ATT&CK에 맞춘 대응 플레이북이 함께 제공되며, 각 단계는 자동화해도 안전함, 분석가 승인 필요, 수동 중 하나로 표시됩니다. Cortex XSOAR, Splunk SOAR, Microsoft Sentinel Logic Apps, Google SecOps SOAR용으로 또는 벤더 중립 워크플로 JSON으로 내보낼 수 있으며, 관리자가 검토한 뒤 Cortex XSOAR, Splunk SOAR, Tines, Torq 또는 Google SecOps SOAR로 전송할 수 있습니다.
아니요. 읽기 전용 계정으로 연결해 검색만 합니다. SIEM에 탐지 규칙을 배포하는 것은 전용 자격 증명을 쓰는 별도의 선택 단계이며, 관리자가 추가될 내용을 정확히 검토하기 전에는 아무것도 생성되지 않습니다.
Splunk, Microsoft Sentinel, Elastic 및 OpenSearch, Wazuh, Graylog, IBM QRadar, Google SecOps, CrowdStrike Falcon Next-Gen SIEM, Sumo Logic, Exabeam, Devo, 그리고 내보낸 로그 파일에서 로그를 읽습니다. 탐지 규칙은 Splunk, Sentinel, Elastic, OpenSearch, Wazuh, Graylog, Google SecOps, Microsoft Defender XDR, CrowdStrike, Sumo Logic에 배포할 수 있습니다.
인증, 권한, 감사 로그는 절대 폐기를 권장하지 않으며, 권장하더라도 더 저렴한 스토리지로 라우팅하는 데 그칩니다. 모든 권장 사항에는 수집량, 해당 이벤트 유형을 사용하는 탐지 규칙, 그리고 이유가 함께 표시되므로 근거 없이 잘라내는 것은 없습니다.
네. 어플라이언스 한 대에 모든 고객사를 담을 수 있으며, 각 고객사는 별도의 데이터베이스와 자체 보존 및 배포 설정을 갖습니다. 포트폴리오 뷰에서 모든 고객사를 한눈에 볼 수 있고, 고객사 로그인으로는 해당 고객사의 데이터만 볼 수 있습니다.