ELK Stack으로 보안 로그 분석하기

ELK Stack 보안 로그 분석 구축:

1. Logstash — 로그 수집/파싱:

input {
  file {
    path => "/var/log/auth.log"
    type => "auth"
  }
}
filter {
  grok {
    match => { "message" => "%{SYSLOGTIMESTAMP:timestamp} %{HOSTNAME:host} sshd\[%{INT:pid}\]: %{GREEDYDATA:ssh_message}" }
  }
}
output {
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "security-logs"
  }
}

2. Kibana 대시보드:

• SSH 로그인 실패 추이 그래프
• 출발지 IP별 접근 시도 테이블
• 시간대별 비정상 접근 히트맵

3. 알람 설정: ElastAlert으로 임계값 초과 시 알림

중소 규모에서는 Wazuh가 ELK 위에 보안 특화 기능을 제공하므로 더 추천합니다.