네트워크 이상징후 탐지 시스템 구축 1기

프로젝트 정보

강의레벨: 고급
수행 형태: 2인 팀
교육일수: 20일
이수시간: 56시간
분야: 실시간 추론 및 운영, AI 추천 및 경보 엔진 구축, 데이터 분석, 이상 탐지

프로젝트 소개

네트워크 접속·인증 로그에서 이상징후를 찾아내는 탐지 시스템을 구축한다. 지도학습을 쓸 수 없는 문제다. 공격 사례가 거의 없고, 있어도 라벨이 붙어 있지 않다.

이런 문제를 다루는 방식이 이 프로젝트의 주제다. 정상 행동의 기준선을 세우고 그것에서 벗어난 것을 찾는다. 그런데 "벗어남"의 대부분은 공격이 아니라 정상적인 변화다. 야근하는 사람, 새로 부임한 인원, 점검 작업. 이 잡음 속에서 실제 위협을 골라내는 것이 어려운 부분이다.

규칙 기반 탐지에서 시작해 통계적 이상 탐지, 비지도 학습 모델까지 올라가며 각 방식의 강점과 한계를 측정으로 확인한다. 그리고 탐지 결과를 분석관이 실제로 처리할 수 있는 형태로 만든다. 하루 500건의 경보를 내는 탐지기는 탐지기가 아니다.

3인 1팀. 데이터·모델·운영으로 역할을 나눈다.

미션 여정

미션 8개 · 문제 72개

1. 위협 모델링 — 무엇을 잡으려 하는가 6시간 180 크레딧 문제 8개

2. 로그 수집과 정규화 7시간 190 크레딧 문제 8개

3. 정상 기준선 세우기 — 무엇을 정상이라 할 것인가 7시간 200 크레딧 문제 9개

4. 규칙 기반 탐지 — 먼저 아는 것부터 잡는다 6시간 210 크레딧 문제 9개

5. 비지도 이상 탐지 — 모르는 것을 잡아 보기 7시간 220 크레딧 문제 9개

6. 경보 통합과 우선순위 — 500건을 20건으로 7시간 230 크레딧 문제 10개

7. 분석관 화면 — 설명할 수 있는 탐지 7시간 240 크레딧 문제 9개

8. 운영 설계와 최종 평가 7시간 250 크레딧 문제 10개

수행 조건과 산출물

선수학습: · 선수 : 「장비 정비 수요 예측 모델 개발」 또는 동등한 모델링·검증 경험. SQL 중급.
· 선수 스킬 : 「AI 도구 활용 Level 3」, 「실행 및 검증 Level 3」 진단 통과.
· 네트워크 기초 : IP·포트·인증 로그의 의미를 이해해야 한다.
· 준비물 : 파이썬 3.11+, scikit-learn, 로그 저장소(제공), 시각화 도구.
제약조건: · 제공된 더미 로그와 시나리오 데이터만 사용한다. 실제 부대 네트워크 로그를 가져오지 않는다.
· 공격 도구를 실제로 실행하지 않는다. 시나리오 데이터는 사전 생성된 것을 사용한다.
· 개인 식별 정보(계정명 등)는 가명 처리된 상태로 다룬다.
· 탐지 결과를 근거로 특정 개인을 지목하는 판단은 하지 않는다. 시스템은 검토 대상을 제시하는 데까지다.
· 성능은 반드시 시나리오 데이터셋으로 측정한다. "탐지될 것 같다"는 주장은 인정하지 않는다.
산출물: 1. 탐지 시스템 — 로그 수집·정규화·특성 추출·탐지·경보
2. 정상 기준선 정의서 — 무엇을 정상으로 보는가, 어떻게 산출했는가
3. 탐지 규칙·모델 목록 — 각각의 대상 위협과 한계
4. 성능 리포트 — 시나리오별 탐지율, 일일 경보 건수, 오탐 분석
5. 오탐 사례집 — 정상 행위가 이상으로 잡힌 사례와 원인
6. 분석관용 경보 화면 — 탐지 근거 제시
7. 운영 설계서 — 기준선 갱신, 규칙 관리, 대응 절차
참고자료: · 실습 데이터 : 더미 네트워크 접속·인증 로그 90일치(사용자 500명, 일 200만 건) + 공격 시나리오 8종 주입본
· 참고 : 「이상 탐지 기법 정리」(사내), scikit-learn Outlier detection 문서
· 위협 시나리오 설명서(내부자 이상 접근, 자격증명 도용, 스캐닝, 데이터 대량 유출 등)