로그 기반 암호화 키 유출 탐지: 실전 단계별 가이드

전제조건
- 중앙 로그 수집(ELK, Splunk 등)과 SIEM이 정상 동작 중이어야 합니다.
- 키 관리 시스템(KMS)과 연동해 키 ID를 확보해 두세요.
- 로그 파일에 64자 16진수(예: `a3f5…c1d2`) 형태가 기록되는지 확인합니다.

1️⃣ 키 사용 패턴 정의
- 확정: KMS에서 발급되는 키 ID와 서비스별 사용 포맷을 문서화합니다. 예) `AES-256-ECB`는 32바이트, 64자 16진수.
- 추정: 비공식 스크립트에서 사용하는 키가 동일 포맷인지 검증합니다.

2️⃣ 로그 정규화 및 필터링
- 확정: 로그 파서에 64자 16진수 정규식을 추가합니다. `\b[a-f0-9]{64}\b`.
- 추정: 정상 트래픽에서 이 패턴이 나타나는 빈도를 측정해 baseline을 만듭니다.

3️⃣ 비정상 키 패턴 탐지
- 미확인: baseline 대비 5배 이상 높은 빈도, 혹은 비정상 서비스(예: 내부 테스트 서버)에서 발생하면 알림을 트리거합니다.
- 확정: SIEM 룰에 `IF count > threshold THEN alert`를 설정합니다.

4️⃣ 경보 및 대응
- 확정: 알림이 도착하면 즉시 KMS와 연동해 해당 키를 잠그고, 로그를 포렌식팀에 전달합니다.
- 추정: 이후 재발 방지를 위해 키 롤오버 정책을 검토합니다.

성공 기준
- 로그에 64자 16진수 키가 기록되면 탐지 성공.
- 탐지 후 즉시 키 잠금 및 인시던트 대응이 완료.

실패 기준
- 키가 암호화되어 저장되거나 로그에 전혀 기록되지 않는 경우.

다음 검증 질문
1. 로그에 암호화된 키가 포함된 경우, 이를 식별하기 위한 패턴은 무엇인가?
2. SIEM에서 정규식 기반 탐지를 위한 샘플 룰을 제공해 주실 수 있나요?
3. 비정상 패턴이 발생했을 때, 자동으로 키를 잠그는 스크립트 예시는?