2018년 초에 보안관제센터에 들어갔다.
남의 회사 네트워크에서 올라오는 경보를 대신 들여다보는 자리였다.
그 자리에 3년을 있었다.
다루는 장비가 20종을 넘었다.
웹방화벽과 침입방지장비, 통합위협관리장비, 로그를 한곳에 모아 보는 관제 플랫폼이 섞여 있었다.
관제 대상 고객사는 50곳이 넘었고 올라오는 이벤트는 월 1,000건을 넘겼다.
세 수치는 재직 3년 전체를 기준으로 한 값이다.
회사 전체 규모가 아니라 내가 맡은 관제 범위 안의 값이다.
경보의 대부분은 오탐이었다.
정탐 하나를 놓치면 사고가 된다.
오탐을 그대로 다 올리면 고객사가 경보를 믿지 않게 된다.
둘 다 관제의 실패다.
그래서 분류 기준을 다시 짰다. 어떤 조건이 겹칠 때 사람이 봐야 하는지를 유형별로 갈랐다.
분류 정확도는 기준을 바꾸기 전보다 50% 이상 올라갔다. 같은 이벤트 유형에서 전후를 비교한 상대 개선폭이지 절대 정확도가 아니다.
관제는 탐지에서 끝나지 않았다.
분석하고 차단하고 정책을 고치고 보고까지 하는 것이 한 덩어리였다.
그중 되돌리기 어려운 쪽은 차단이었다.
넣기는 한 줄이지만 정상 트래픽까지 걸리면 고객사 서비스가 그 자리에서 선다.
막을지 더 볼지를 몇 분 안에 정해야 했다.
그 몇 분이 쌓여서 기준 하나가 생겼다.
뚫리는 것보다 멈추는 것이 무섭다.
공격은 흔적이 남고 복구 절차라도 있지만 내가 넣은 정책 때문에 선 서비스는 변명할 자리가 없다.
조치는 좁게 넣고 관찰 구간을 길게 뒀다.
되돌릴 수 있는 순서로 손대는 습관이 이때 붙었다.
접근통제를 보는 눈도 같은 자리에서 생겼다.
사고가 났을 때 제일 먼저 필요한 것은 누가 어디까지 닿을 수 있었는지였다.
그 그림이 없으면 피해 범위를 못 잡는다.
범위를 모르면 복구도 못 한다.
권한 목록은 사고가 난 다음에 만들면 늦다.
보고서도 내 몫이었다.
한 건에 30분이 걸리던 것을 5분으로 줄였다.
같은 양식의 리포트 한 건을 손으로 쓸 때와 자동화한 뒤를 잰 값이다.
반복되는 자리를 걷어내고 사람이 판단한 문장만 남겼다.
그때는 이게 대단한 자동화인 줄 알았다.
3년 동안 본 사고는 정상 경로에서 나지 않았다.
규칙에서 빠진 자리와 아무도 담당이 아닌 구간에서 났다.
정상 경로는 이미 여러 사람이 보고 있어서 거기서는 잘 터지지 않는다.
남는 자리는 언제나 예외였다.
그래서 무엇을 만들든 예외부터 세어보는 버릇이 생겼다.
3년을 채우고 그 자리에서 나왔다.
장비 이름은 대부분 잊었다. 남은 것은 일하는 순서다.
예외를 먼저 보고, 멈추지 않게 두고, 권한부터 그린다.
다음 장은 가게를 열고 그 가게를 데이터로 굴리다가 접은 이야기다.