Awesome SOC

SOC(CSIRT 포함)를 구축하고 운영하며 성숙시켜 나가기 위한 운영 핸드북이자 지식 베이스입니다. 다음을 다룹니다:

• SOC 기초
• 탐지 엔지니어링
• 위협 인텔리전스
• SOC 지표/KPI
• SOC 자동화
• AI 활용 사례와 모범 사례
• SOP(SOC 플레이북)

이 내용들은 SOC/CSIRT 분석가이자 팀 관리자로서의 제 경험과 잘 알려진 논문들에 기반한 제 관점입니다. CERT/CSIRT보다는 SOC에 더 초점을 맞추고 있습니다.

제 좌우명은 이것입니다: 대응(reaction)이 없으면 탐지는 무용지물이다.

참고: 일반적으로 여기서 SOC는 탐지 활동을, CERT/CSIRT는 사고 대응 활동을 의미합니다. CERT는 CERT-CC가 관리하는 (과거) 미국의 잘 알려진 상표이지만, 저는 사고 대응을 정확히 지칭하는 CSIRT라는 용어를 선호합니다.

목차

• 필독 자료
• 기본 개념
• 핵심 수단(도구/센서)
• SOC 내부 구조/핵심
• AI (ML, LLM, GenAI, Agentic AI)
• IT/보안 모니터링
• SOAR
• 탐지 엔지니어링
• 위협 인텔리전스
• 플레이북/SOP
• SOC 지표 (KPI/SLA)
• SOC 관리
• 인사 및 교육
• IT 아키텍처
• 더 나아가기(다음 단계)
• 부록

필독 자료

SOC를 위한 자료

• SOC 구축:
  • MITRE, 11 strategies for a world-class SOC (또는 로컬 파일 사용): 파트 0(기초).
  • FIRST, Building a SOC
  • NCSC, Building a SOC
  • Gartner, SOC model guide
  • Splunk, State of Security 2025
  • Microsoft, Secure your business with 365
• 면접 대비 SOC 교육:
  • LetsDefend SOC analyst interview questions
• SOC 관리:
  • FIRST, ISO 27035 Practical value for CSIRT and SOCs
  • SANS, 2025 SOC survey
  • SOC CMM, SOC Metrics
  • Gartner, Market Guide for Managed Detection and Response
• SOC 평가:
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Continous purple teaming

CERT/CSIRT를 위한 자료

• 전체 개요:
  • SANS, Incident Response
  • FlexibleIR, IR phases
• CSIRT 구축:
  • FIRST, CERT-in-a-box
  • FIRST, CSIRT Services Framework
• 보안 사고 대응 관리:
  • ENISA, Good practice for incident management
  • EE-ISAC Incident Response whitepaper
  • LinkedIn Pulse, Security incident management according to ISO 27035
  • Microsoft/EY/Edelman, Incident response reference guide
  • Microsoft, IR lessons on cloud ID compromise
• 포렌식:
  • NIST, SP800-86, integration forensics techniques into IR
  • ForensicsArtefacts
  • ForensicsWiki
• 사고 대응 플레이북 및 방법론:
  • Kaspersky, Incident Response Playbook: Dark Web Breaches
  • CISA, Incident Response playbooks
  • CERT-SG, Incident Response Methodology