Threat Monitoring — 키워드 기반 알림
플랫폼이 수집한 자료를 대상으로 검색어를 반복 적용하는 상시 감시 기능입니다. 대상은 Telegram, WhatsApp, 포럼, 소셜 네트워크, .onion 사이트, 페이스트 사이트, 코드 저장소, IOC 피드, 자격증명 데이터베이스, 인포스틸러 로그입니다. 모니터는 무엇이 중요한지 기술하고, 수집은 모니터마다 정한 일정에 따라 돌며, 조건에 걸린 항목은 분류 처리를 기다리는 경보가 됩니다.
개요
모니터마다 조직 안에서 유일한 이름, 카테고리(위협 탐지부터 임원 보호까지 열두 가지), 담당 팀(SOC, CSIRT, Threat Intelligence, DevSecOps, Compliance, Risk, 사기 대응, 개인정보 보호), 우선순위, 상태를 지정합니다.
주기는 1분에서 30일까지입니다. 실행 제한 시간은 최대 2시간이며, 실패 시 재시도 횟수는 최대 열 번까지 설정할 수 있습니다. 실행은 Airflow가 조율합니다. 수동 실행은 DAG를 대기열에 넣고, 이력에는 실행마다 소요 시간, 결과, 추이가 남습니다.
검색어는 저장 시점에 암호화됩니다. 키워드, 검색어 목록, 검색 명령, 모니터 설명은 암호화된 필드에 기록됩니다. 어떤 조직이 무엇을 감시하는지는 그 자체가 민감한 정보이기 때문입니다. 위험에 놓인 자산과 임원, 브랜드가 그대로 드러납니다.
검색어가 구성되는 방식
검색어는 경보의 네 개 필드, 즉 제목, 설명, 원본 데이터, 출처에 대한 필수 구문 조건이 됩니다. 여기에 연산자가 더해집니다.
- AND는 반드시 포함해야 할 검색어를 추가합니다.
- OR는 그중 최소 하나가 나타나야 하는 그룹을 만듭니다.
- NOT은 해당 검색어 중 하나라도 포함된 문서를 제외합니다.
질의가 끝난 뒤에는 돌아온 결과에 대해 2차 필터링이 한 번 더 이루어집니다. 단독 검색어는 단어 경계를 지켜 처리하고, 공백이 들어간 표현은 부분 문자열로 처리합니다. 그래서 bin이 binário 안에서 걸리는 일은 막으면서 “신용카드” 같은 구문은 구문 그대로 잡아냅니다. 두 단계로 나뉜 이유는, 중첩된 필드에 대한 부정 조건을 질의만으로는 처리할 수 없기 때문입니다.
쏟아붓지 않고 분류합니다
경보는 대기 상태로 생성됩니다. 분석가가 이를 유효 또는 무시로 표시하며, 그 판단은 작성자, 날짜, 부여한 심각도, 오탐 표시와 함께 기록으로 남습니다. 세 개의 대기열은 각각 따로 살펴볼 수 있고, 제목, 심각도, 일치한 단어, 스틸러 계열, 카드 데이터 포함 여부로 필터링됩니다.
한편 정규 표현식 계층이 경보에 열 가지 카테고리를 붙입니다. 자격증명, 사기, 데이터 유출, 브랜드 도용, 피싱, 다크웹, 악성코드, 임원, 인프라, 소셜 네트워크입니다. 이 태그는 대기열을 정리하는 길잡이일 뿐 아무것도 결정하지 않습니다.
모니터는 선언형 분류 설정도 받아들입니다. 범위, 감시 대상 엔터티, 중요도별 키워드 계층, 부정 단어, 검증 패턴과 자동 폐기 패턴, 이미 알려진 정상 출처, 중복 제거 시간 창(시간 단위), 점수 임계값이 여기에 해당합니다. 질의를 다시 쓰지 않고도 “학술적 맥락의 언급은 무시하라”고 지정하는 방법입니다.
주요 기능
- 전용 색인에 매핑된 112개 수집 소스
- 경보별 선택형 AI 요약. 위협 유형은 닫힌 스키마로 제한되며, 요약이 있는 경보와 없는 경보를 나눠 보는 필터 제공
- 유출 보관소(콤보리스트) 및 인포스틸러 묶음과의 교차 대조, 스틸러 계열별 필터 포함
- 경보를 침해 사고 항목이나 보고서 항목으로 전환(개별 또는 일괄)
- 경보 XLSX 내보내기
- 작성자와 날짜가 남는 소프트 삭제, 설정 버전 관리, 여덟 가지 변경 유형 이력
- 열 개 그룹 41개 카테고리로 구성된 조직 자산 사전. 모니터의 검색어를 여기서 가져옵니다
활용 사례
- 포럼과 폐쇄형 채널에서 브랜드와 임원 언급 추적
- 인포스틸러 묶음에서 회사 자격증명 탐지, 계열까지 식별
- 긍정·부정 검색어를 조합해 특정 행위자의 캠페인 감시
- 이미 분류되고 우선순위가 매겨진 경보로 SOC 대기열 채우기
이 모듈이 하지 않는 일
- 알림 채널은 이메일, Slack, 웹훅입니다. Microsoft Teams나 Discord로의 기본 전송은 없습니다. 해당 도구에는 웹훅을 사용하세요.
- AI 요약은 경보의 유효 여부를 결정하지 않습니다. 검증은 분석가의 몫이고, 기록에 남는 것도 그 검증입니다.
- 자동 카테고리 부여는 텍스트 패턴에 기반한 어휘 방식입니다. 학습된 분류기가 아니며 공표된 정확도 수치도 없습니다.
- 모니터에 검색어를 새로 추가해도 과거 이력을 자동으로 재처리하지 않습니다.
연동
- Slack, 이메일, 사용자 정의 웹훅
- Airflow(실행 조율)와 OpenSearch(수집 보관소)
- OODA Leaks, OODA Incident, OODA Reports, 플랫폼 REST API
SLA 및 보증
1분에서 30일까지의 주기 · 검색어 저장 시 암호화 · 모든 경보 검증에 서명