NIST SP 800-92

NIST SP 800-92(Guide to Computer Security Log Management)는 미국 국립표준기술연구소(NIST)가 정보시스템의 보안 로그를 생성·전송·저장·분석·폐기하는 전 과정을 체계적으로 관리하기 위해 로그 관리 인프라, 정책 수립 및 운영 절차를 제시한 보안 지침이다.

개요

NIST SP 800-92는 조직의 정보시스템과 네트워크에서 발생하는 로그를 효과적으로 수집·관리·분석하기 위한 지침이다. 로그 관리의 기술적 구성뿐 아니라 조직의 정책, 담당자의 역할, 로그 분석의 우선순위, 장기 보관 및 증거 보존 절차까지 다룬다.

2006년 9월 13일 최초 발행되었으며, 2026년 10월 25일 기준 최신 확정판은 2006년 원본이다. 2023년 10월 11일에는 Revision 1의 최초 공개 초안이 발표되었으나 아직 최종 확정되지 않았다.

항목	내용
문서 번호	NIST SP 800-92
정식 명칭	Guide to Computer Security Log Management
한국어 명칭	컴퓨터 보안 로그 관리 지침
발행기관	미국 국립표준기술연구소(NIST)
저자	Karen Kent, Murugiah Souppaya
최초 발행	2006년 9월 13일
최신 확정판	2006년 원본
개정 초안	Revision 1 (2023년 10월 11일)
주요 분야	보안 로그 관리, 감사 기록, 보안관제, 사고 조사
적용 대상	정보시스템 관리자, 보안 관리자, 사고 대응 조직, 로그 관리 인프라 운영자
관련 통제	NIST SP 800-53의 AU(Audit and Accountability) 통제군
공식 페이지	NIST CSRC
원문	PDF

NIST SP 800-92는 특정 로그 관리 제품의 설치 방법을 설명하는 매뉴얼이 아니다. 조직 전체에서 일관되고 신뢰할 수 있는 로그 관리체계를 구축하기 위한 관리적·기술적 원칙을 제공한다.

제정 목적

정보시스템의 로그는 보안사고 탐지와 조사에 필요한 핵심 자료이다.

그러나 로그가 생성된다는 사실만으로 보안사고를 탐지하거나 조사할 수 있는 것은 아니다. 필요한 사건이 기록되지 않거나, 기록된 로그가 유실되거나, 서로 다른 시스템의 로그를 연관시킬 수 없다면 로그의 활용 가치는 크게 감소한다.

NIST SP 800-92는 이러한 문제를 해결하기 위해 다음 사항을 다룬다.

• 로그 생성 대상과 기록할 사건의 선정.
• 로그 수집 및 중앙 집중식 관리체계 구축.
• 로그 형식과 시간 정보의 일관성 확보.
• 로그 저장 용량과 보존 기간 관리.
• 로그의 기밀성·무결성·가용성 보호.
• 보안사고 탐지를 위한 로그 분석.
• 로그 분석 결과에 따른 대응 절차.
• 사고 조사와 감사에 필요한 원본 로그 보존.
• 로그 관리 담당자의 역할과 책임 정의.
• 로그 관리체계의 지속적인 점검 및 개선.

특히 조직의 제한된 인력과 저장 자원으로 대량의 로그를 처리해야 한다는 현실적인 문제를 중요하게 다룬다.

로그 관리의 기본 개념

로그와 로그 항목

로그(Log)는 정보시스템이나 네트워크에서 발생한 사건을 기록한 자료이다.

로그는 개별 사건에 관한 정보를 담은 로그 항목(Log Entry)으로 구성된다.

일반적인 로그 항목에는 다음과 같은 정보가 포함될 수 있다.

• 사건 발생 시각.
• 사건 유형.
• 사건 발생 시스템.
• 사용자 또는 서비스 계정.
• 출발지 및 목적지 IP 주소.
• 실행된 명령이나 요청.
• 대상 파일 또는 자원.
• 작업의 성공·실패 여부.
• 오류 코드 및 상세 메시지.

모든 로그가 이러한 항목을 전부 포함하는 것은 아니다. 기록되는 정보는 운영체제, 애플리케이션 및 보안장비의 종류와 설정에 따라 달라진다.

로그 관리

로그 관리(Log Management)는 로그 데이터를 생성하고 전송하며 저장·분석·폐기하는 일련의 활동이다.

NIST SP 800-92는 로그 관리를 단순한 로그 파일 저장과 구분한다.

로그를 수집하는 것뿐 아니라 실제로 활용할 수 있도록 처리하고, 필요한 기간 동안 보호하며, 더 이상 필요하지 않은 로그를 적절하게 폐기하는 활동까지 포함한다.

단계	영문	주요 활동
생성	Generation	시스템에서 사건 기록
전송	Transmission	로그를 수집 서버나 관리 시스템으로 전달
저장	Storage	로그의 보관, 회전, 압축 및 아카이빙
분석	Analysis	이상행위 탐지, 사건 연관 분석, 보고
폐기	Disposal	보존 기간이 종료된 로그의 적절한 삭제

로그의 주요 활용 목적

보안사고 탐지

로그는 시스템에서 발생하는 비정상적인 활동을 탐지하는 데 활용된다.

대표적인 탐지 대상은 다음과 같다.

• 반복적인 로그인 실패.
• 비정상적인 관리자 권한 사용.
• 보안 설정 변경.
• 악성코드 실행.
• 허가되지 않은 네트워크 연결.
• 중요 파일의 변경.
• 비인가 사용자 계정 생성.
• 시스템 로그 삭제 시도.

이러한 사건은 개별 로그만으로 확인할 수도 있지만, 여러 시스템의 로그를 연관 분석해야 의미를 파악할 수 있는 경우도 있다.

보안사고 조사

보안사고 발생 이후에는 로그를 통해 공격자의 활동을 재구성할 수 있다.

예를 들어 웹 애플리케이션에서 비정상적인 요청이 발견되었다면 다음 자료를 함께 분석할 수 있다.

• 웹 서버 접근 로그.
• 웹 애플리케이션 오류 로그.
• 운영체제 감사 로그.
• 데이터베이스 접근 로그.
• 방화벽 로그.
• 침입탐지시스템 로그.
• 인증 시스템 로그.

여러 로그의 발생 시각과 관련 정보를 비교하면 공격의 시작 시점, 사용된 계정, 접근한 시스템 및 수행된 작업을 파악하는 데 도움이 된다.

감사 및 규정 준수

로그는 정보시스템에 대한 감사와 내부통제의 근거자료로 활용된다.

주요 활용 사례는 다음과 같다.

• 사용자 접근 이력 확인.
• 관리자 권한 사용 검토.
• 중요 정보의 조회 및 변경 이력 확인.
• 보안 정책 위반 조사.
• 내부통제 절차의 이행 여부 검증.
• 법률 및 규제에서 요구하는 기록 보존.

다만 NIST SP 800-92 자체가 모든 조직에 적용되는 단일 로그 보존 기간을 규정하는 것은 아니다.

보존 대상과 기간은 조직에 적용되는 법률, 규제, 계약 및 내부 정책을 고려하여 결정해야 한다.

운영 문제 분석

로그는 보안 목적 외에도 시스템 운영 상태를 파악하는 데 활용된다.

• 서비스 장애 원인 분석.
• 시스템 재시작 이력 확인.
• 성능 저하 원인 조사.
• 애플리케이션 오류 추적.
• 시스템 설정 변경 확인.
• 장기적인 운영 추세 분석.

NIST는 보안 로그가 운영 문제의 식별과 해결에도 유용하다고 설명한다.

로그의 주요 발생원

NIST SP 800-92는 보안 관련 로그의 주요 발생원을 보안 소프트웨어, 운영체제, 애플리케이션으로 구분한다.

보안 소프트웨어

보안 소프트웨어는 공격이나 정책 위반과 관련된 사건을 기록한다.

발생원	주요 로그
방화벽	연결 허용·차단, 통신 출발지·목적지
침입탐지시스템	공격 징후, 탐지 규칙, 경고
침입방지시스템	공격 탐지 및 차단 결과
악성코드 방어 소프트웨어	악성 파일 탐지, 격리, 삭제
인증 시스템	로그인, 인증 실패, 권한 부여
보안 정책 관리 시스템	정책 변경, 설정 변경, 관리 작업

운영체제

운영체제는 시스템의 동작과 사용자 활동에 관한 다양한 로그를 생성한다.

주요 기록 대상은 다음과 같다.

• 시스템 시작 및 종료.
• 서비스 시작 및 중지.
• 사용자 로그인과 로그아웃.
• 계정 생성 및 삭제.
• 권한 변경.
• 파일 및 디렉터리 접근.
• 보안 정책 변경.
• 감사 기능의 설정 변경.
• 시스템 오류.

운영체제 로그는 특정 호스트에서 발생한 의심스러운 활동을 조사하는 데 중요하다.

애플리케이션

애플리케이션 로그는 개별 서비스의 업무 처리와 보안 관련 사건을 기록한다.

대표적인 예시는 다음과 같다.

• 웹 서버의 HTTP 요청.
• 데이터베이스 접속과 쿼리 실행.
• 이메일 서버의 송수신 기록.
• 업무 애플리케이션의 사용자 활동.
• 파일 서버의 파일 접근.
• 애플리케이션 인증 및 권한 검사.
• 애플리케이션 내부 오류.

일부 애플리케이션은 자체 로그 파일을 생성하고, 다른 애플리케이션은 운영체제의 로깅 기능을 이용한다.

로그 관리의 주요 문제

로그의 대량 생성

조직의 시스템과 네트워크에서는 매우 많은 로그가 지속적으로 생성된다.

로그의 양이 증가하면 다음 문제가 발생할 수 있다.

• 저장 공간 부족.
• 로그 수집 서버의 처리 성능 저하.
• 네트워크 대역폭 사용량 증가.
• 분석에 필요한 인력과 시간 증가.
• 중요 사건이 대량의 일반 로그에 묻히는 문제.

로그를 많이 수집하는 것만으로 보안 수준이 향상되는 것은 아니다.

조직은 중요한 사건을 우선적으로 기록하고 분석할 수 있도록 로그 관리 정책을 수립해야 한다.

로그 형식의 불일치

서로 다른 시스템은 동일한 사건을 서로 다른 형식으로 기록할 수 있다.

예를 들어 같은 로그인 사건이라도 운영체제와 애플리케이션에 따라 사용자 이름, 시간, 사건 유형 및 성공 여부를 표현하는 방식이 다를 수 있다.

이러한 차이는 로그의 검색과 연관 분석을 어렵게 만든다.

로그 정규화(Log Normalization)는 서로 다른 형식의 로그를 일관된 데이터 구조로 변환하여 분석을 용이하게 하는 기술이다.

시간 정보의 불일치

로그 발생원의 시스템 시간이 서로 다르면 사건의 실제 발생 순서를 파악하기 어려워진다.

주요 원인은 다음과 같다.

• 시스템 시계의 오차.
• 서로 다른 시간대 사용.
• 일광절약시간제 적용.
• 잘못된 시간 설정.
• 로그 수집 시각과 실제 사건 발생 시각의 차이.

NIST는 가능한 경우 NTP(Network Time Protocol) 등 시간 동기화 기술을 활용하여 로그 발생원의 시간을 일관되게 유지하도록 권고한다.

로그 분석에서는 사건 발생 시각과 수집 시각을 구분하고, 필요한 경우 시간대 정보를 정규화해야 한다.

로그의 보안 문제

로그에는 보안상 민감한 정보가 포함될 수 있다.

예를 들어 사용자 계정, IP 주소, 이메일 내용 또는 인증 관련 정보가 기록될 수 있다.

로그가 적절하게 보호되지 않으면 다음 문제가 발생할 수 있다.

• 민감한 정보의 유출.
• 로그 항목의 위조 또는 변조.
• 공격 흔적 삭제.
• 감사 기록의 손실.
• 로그 수집 및 분석 기능의 중단.

따라서 로그 관리체계에도 기밀성·무결성·가용성 보호조치를 적용해야 한다.

로그 관리 인프라

NIST SP 800-92의 제3장은 로그 관리 인프라(Log Management Infrastructure)의 구성과 주요 기능을 설명한다.

로그 관리 인프라는 로그의 생성·전송·저장·분석·폐기에 사용되는 하드웨어, 소프트웨어, 네트워크 및 저장매체로 구성된다.

기본 아키텍처

일반적인 중앙 집중식 로그 관리체계는 다음과 같이 구성할 수 있다.

1. 로그 발생원에서 사건 기록.
2. 로그 수집 소프트웨어 또는 에이전트를 통해 로그 전송.
3. 중앙 로그 서버에서 로그 수신.
4. 로그 파싱 및 정규화.
5. 로그 저장소에 기록.
6. 분석 엔진에서 이상행위 탐지 및 상관분석.
7. 분석 결과에 따라 경고 및 보고.
8. 보존 정책에 따라 장기 보관 또는 폐기.

모든 조직이 하나의 중앙 로그 서버만 사용해야 하는 것은 아니다.

시스템의 종류, 조직 구조, 네트워크 환경 및 로그 유형에 따라 여러 로그 관리 인프라를 구축할 수 있다.

주요 구성요소

구성요소	영문	주요 기능
로그 발생원	Log Generator	사건 및 감사 기록 생성
로그 수집기	Log Collector	여러 발생원의 로그 수집
로그 서버	Log Server	로그 수신, 처리 및 관리
로그 저장소	Log Storage	로그 데이터 저장 및 보존
로그 분석 시스템	Log Analysis System	검색, 상관분석 및 경고
관리 인터페이스	Management Interface	설정, 조회, 보고 및 운영 관리

실제 구현에서는 하나의 시스템이 여러 기능을 수행하거나 기능별로 별도 시스템을 구성할 수 있다.

로그 처리 기능

NIST SP 800-92는 로그 관리 인프라의 기능을 일반 처리, 저장, 분석 등의 영역으로 구분한다.

로그 파싱

로그 파싱(Log Parsing)은 로그에서 개별 데이터 필드를 추출하는 과정이다.

예를 들어 다음과 같은 로그가 있다고 가정한다.

2026-10-25T10:30:00Z auth01 login_failed user=admin src=192.0.2.10

파싱 과정에서는 다음 정보를 추출할 수 있다.

• 발생 시각: 2026-10-25T10:30:00Z
• 발생 시스템: auth01
• 사건 유형: login_failed
• 사용자: admin
• 출발지 IP: 192.0.2.10

이 예시는 설명을 위한 임의의 로그 형식이다.

파싱된 정보는 검색, 필터링, 정규화 및 상관분석에 활용할 수 있다.

사건 필터링

사건 필터링(Event Filtering)은 분석이나 보고에 필요하지 않은 로그 항목을 제외하는 기능이다.

예를 들어 반복적인 정상 상태 메시지나 중복된 정보성 사건을 분석 대상에서 제외할 수 있다.

NIST는 일반적으로 필터링이 원본 로그의 생성이나 단기 저장 자체를 변경하지 않는 방식으로 수행된다고 설명한다.

따라서 분석 대상에서 제외한 로그가 추후 조사에 필요할 수 있다는 점을 고려해야 한다.

사건 집계

사건 집계(Event Aggregation)는 유사한 로그 항목을 하나의 집계 결과로 통합하는 기능이다.

예를 들어 동일한 출발지에서 1분 동안 로그인 실패가 1,000회 발생했다면 개별 사건을 모두 표시하는 대신 다음과 같이 요약할 수 있다.

event=login_failed count=1000 window=60s

집계는 분석 대상의 양을 줄이고 반복적인 사건의 발생 빈도를 파악하는 데 도움이 된다.

다만 집계 과정에서 개별 사건의 상세 정보가 손실될 수 있으므로 원본 로그 보존 정책과 함께 설계해야 한다.

로그 회전

로그 회전(Log Rotation)은 일정한 조건에 따라 기존 로그 파일을 닫고 새로운 로그 파일을 생성하는 기능이다.

대표적인 회전 조건은 다음과 같다.

• 일정 시간 경과.
• 로그 파일 크기 초과.
• 특정 사건 또는 운영 조건 발생.

로그 회전은 파일 크기를 관리하고 오래된 로그를 보존하는 데 활용된다.

회전된 로그는 압축하거나 장기 저장소로 이동할 수 있다.

로그 아카이빙

로그 아카이빙(Log Archival)은 로그를 장기간 보관하는 활동이다.

NIST SP 800-92는 로그 아카이빙과 관련하여 다음 두 개념을 구분한다.

• 로그 보존(Log Retention): 일반적인 운영 절차에 따라 로그를 정해진 기간 동안 보관.
• 로그 증거 보존(Log Preservation): 사고 조사 등 특정 목적을 위해 일반적인 폐기 시점을 넘겨 로그를 보존.

사고 조사가 진행 중인 로그는 일반 보존 기간이 종료되더라도 별도의 증거 보존 절차가 필요할 수 있다.

로그 압축

로그 압축(Log Compression)은 로그의 의미를 변경하지 않으면서 저장 공간 사용량을 줄이는 기능이다.

주로 로그 회전이나 아카이빙 과정에서 수행된다.

압축을 적용할 때는 복원 가능성과 분석 도구의 호환성을 확인해야 한다.

로그 축소

로그 축소(Log Reduction)는 필요하지 않은 로그 항목을 제거하여 새로운 로그를 생성하는 기능이다.

사건 축소(Event Reduction)는 개별 로그 항목에서 불필요한 데이터 필드를 제거하는 방식이다.

로그 축소는 저장 공간을 줄일 수 있지만, 삭제된 정보가 이후 사고 조사에 필요할 수 있다는 점을 고려해야 한다.

로그 변환

로그 변환(Log Conversion)은 한 형식의 로그를 다른 형식으로 변환하는 기능이다.

예를 들어 데이터베이스에 저장된 로그를 텍스트 기반 형식으로 내보내거나, 특정 제품의 로그를 다른 분석 시스템이 처리할 수 있는 형식으로 변환할 수 있다.

로그 변환 과정에는 파싱, 필터링, 집계 및 정규화가 함께 수행될 수 있다.

로그 정규화

로그 정규화(Log Normalization)는 서로 다른 로그의 데이터 필드를 일관된 형식과 의미 체계로 표현하는 과정이다.

예를 들어 다음과 같이 서로 다른 필드 이름을 사용할 수 있다.

발생원 A	발생원 B	정규화 필드
src_ip	sourceAddress	source_ip
dst_ip	destinationAddress	destination_ip
user	accountName	username
event_time	timestamp	event_timestamp

정규화를 통해 여러 시스템의 로그를 동일한 검색 조건으로 분석할 수 있다.

그러나 정규화에는 처리 자원이 필요하며, 잘못된 필드 매핑은 분석 결과를 왜곡할 수 있다.

로그 무결성 검사

로그 무결성 검사(Log File Integrity Checking)는 로그가 저장된 이후 변경되었는지 확인하는 기능이다.

대표적인 방법은 로그 파일의 해시값을 계산하고 안전하게 보관한 뒤, 필요할 때 다시 계산한 해시값과 비교하는 것이다.

로그 파일이 변경되면 해시값이 달라질 수 있으므로 변조 여부를 탐지하는 데 활용할 수 있다.

다만 해시값과 로그 파일이 함께 변조될 수 있는 환경에서는 단순한 해시 비교만으로 충분하지 않다.

해시값의 별도 보관, 접근통제, 전자서명 및 변경 불가능한 저장소 등의 보호조치를 고려할 수 있다.

2006년 원문에는 당시 사용되던 MD5와 SHA-1에 관한 설명이 포함되어 있다. 이는 발행 당시의 기술적 배경으로 이해해야 하며, 현재 시스템에 해당 알고리즘을 그대로 적용하라는 의미는 아니다.

사건 상관분석

사건 상관분석(Event Correlation)은 여러 로그 항목 사이의 관계를 찾아 의미 있는 사건을 식별하는 기능이다.

대표적인 분석 기준은 다음과 같다.

• 발생 시각.
• 출발지 및 목적지 IP 주소.
• 사용자 계정.
• 사건 유형.
• 발생 빈도.
• 관련 시스템.
• 이전 사건과의 연관성.

예를 들어 다음 사건이 순차적으로 발생했다고 가정할 수 있다.

1. 특정 IP 주소에서 반복적인 로그인 실패 발생.
2. 동일한 IP 주소에서 로그인 성공.
3. 로그인한 계정에 관리자 권한 부여.
4. 중요 설정 파일 변경.

개별 사건만으로는 정상 활동과 구분하기 어려울 수 있지만, 사건을 연관시키면 계정 침해 가능성을 조사할 근거가 된다.

Syslog 기반 로그 관리

NIST SP 800-92의 제3.3절은 Syslog 기반 중앙 집중식 로그 관리 소프트웨어를 설명한다.

Syslog는 시스템과 네트워크 장비에서 발생하는 사건 메시지를 전송하고 처리하는 데 널리 사용되는 로깅 방식이다.

Syslog 메시지

Syslog 메시지는 일반적으로 사건의 중요도, 발생원, 발생 시각 및 메시지 내용을 전달하는 데 사용된다.

Syslog 메시지의 구체적인 구조는 적용되는 프로토콜 규격과 구현 방식에 따라 달라진다.

2006년 원문은 당시 사용되던 Syslog 형식과 보안 문제를 설명한다.

이후 RFC 5424 등 새로운 Syslog 관련 표준이 발표되었으므로 현재 시스템을 설계할 때는 적용할 프로토콜 규격을 별도로 확인해야 한다.

Syslog의 보안 문제

전통적인 Syslog 구현에서는 다음 문제가 발생할 수 있다.

• 메시지 전송 중 도청.
• 로그 메시지 위조.
• 메시지 변조.
• 전송 중 로그 손실.
• 로그 발생원의 신원 확인 부족.

특히 UDP 기반 전송은 메시지 전달을 보장하지 않는다.

로그 수집의 신뢰성이 중요한 환경에서는 전송 프로토콜의 특성과 암호화·인증 기능을 고려해야 한다.

Syslog 자체를 사용한다고 해서 로그의 기밀성·무결성·가용성이 자동으로 보장되는 것은 아니다.

SIEM과의 관계

NIST SP 800-92는 SIEM(Security Information and Event Management)을 중앙 집중식 로그 관리 기술의 하나로 설명한다.

SIEM은 여러 로그 발생원에서 보안 관련 데이터를 수집하고 분석하여 사건을 탐지하고 조사할 수 있도록 지원하는 시스템이다.

SIEM의 주요 기능

• 다양한 로그 발생원 연계.
• 중앙 집중식 로그 수집.
• 로그 파싱 및 정규화.
• 사건 필터링과 집계.
• 여러 로그 사이의 상관분석.
• 이상행위 탐지 및 경고.
• 로그 검색 및 보고.
• 로그 저장과 보존.

NIST SP 800-92는 SIEM이 단순한 로그 저장 시스템과 달리 여러 발생원의 사건을 연관 분석할 수 있다는 점을 설명한다.

에이전트 기반 수집

에이전트 기반(Agent-Based) 방식은 로그 발생원에 별도의 소프트웨어를 설치하여 로그를 수집하는 방법이다.

에이전트는 다음 기능을 수행할 수 있다.

• 로그 항목 수집.
• 필터링 및 집계.
• 로그 형식 정규화.
• 중앙 로그 서버로 전송.

장점은 발생원에서 로그를 미리 처리할 수 있다는 점이다.

반면 에이전트의 설치·설정·업데이트 및 운영 부담이 발생한다.

에이전트리스 수집

에이전트리스(Agentless) 방식은 로그 발생원에 별도의 전용 수집 에이전트를 설치하지 않고 로그를 수집하는 방법이다.

주요 방식은 다음과 같다.

• 로그 발생원이 중앙 서버로 로그 전송.
• 중앙 서버가 로그 발생원에 접속하여 로그 조회.
• 기존 운영체제나 애플리케이션의 로그 전송 기능 활용.

장점은 별도의 에이전트 설치와 유지관리 부담을 줄일 수 있다는 점이다.

단점으로는 발생원에서 수행할 수 있는 필터링이나 정규화가 제한될 수 있고, 중앙 수집 서버에 접근 자격증명이 필요할 수 있다는 점이 있다.

로그 관리와 SIEM의 차이

구분	로그 관리	SIEM
주요 목적	로그의 수집·저장·보호·보존 및 활용 지원	보안 사건의 탐지·분석·조사 지원
주요 기능	로그 수집, 회전, 보관, 검색, 폐기	로그 정규화, 상관분석, 경고, 조사
주요 관리 대상	시스템 및 애플리케이션 로그 전반	보안 분석에 필요한 사건과 관련 데이터
관계	조직 차원의 로그 관리 프로세스	로그 관리 기능을 포함할 수 있는 보안 분석 기술

SIEM을 도입했다고 해서 로그 관리 정책과 운영 절차가 자동으로 완성되는 것은 아니다.

로그 발생원 설정, 보존 기간, 접근 권한, 원본 보호 및 운영 책임은 별도로 관리해야 한다.

로그 관리 정책 수립

NIST SP 800-92의 제4장은 로그 관리 계획(Log Management Planning)을 설명한다.

로그 관리체계를 구축하기 전에 조직은 필요한 로그의 종류와 관리 목적을 정의해야 한다.

역할과 책임

로그 관리에는 여러 담당자가 참여할 수 있다.

담당자	주요 역할
시스템 관리자	개별 시스템의 로그 생성·보관 설정 및 검토
네트워크 관리자	네트워크 장비의 로깅 설정과 통신 관련 로그 관리
보안 관리자	보안장비 로그 관리, 이상행위 분석, 정책 운영
로그 인프라 관리자	중앙 수집·저장·분석 시스템 운영
사고 대응 조직	사고 조사에 필요한 로그 분석과 증거 확보
애플리케이션 개발자	애플리케이션의 로깅 기능 설계 및 구현
정보보호 책임자	조직 차원의 로그 관리 정책 및 자원 관리

NIST는 개별 시스템 관리자와 중앙 로그 관리 인프라 담당자의 역할을 구분하도록 권고한다.

또한 직무 분리(Separation of Duties)를 고려할 필요가 있다고 설명한다.

예를 들어 특정 시스템의 관리자가 자신의 활동 기록을 자유롭게 변경하거나 삭제할 수 있다면 감사 기록의 신뢰성이 저하될 수 있다.

로그 관리 정책의 주요 항목

로그 관리 정책에는 다음 사항을 포함할 수 있다.

• 로그를 생성해야 하는 시스템.
• 기록해야 하는 사건의 유형.
• 로그에 포함할 데이터 필드.
• 로그 전송 방식.
• 중앙 수집 대상.
• 로그 분석 주기.
• 로그 보존 기간.
• 로그 저장 및 아카이빙 방식.
• 로그 접근 권한.
• 로그 무결성 보호 방법.
• 사고 발생 시 로그 증거 보존 절차.
• 로그 폐기 방법.
• 담당자와 책임.
• 예외 처리 및 정책 변경 절차.

조직은 반드시 수행해야 하는 요구사항과 권고사항을 구분할 수 있다.

모든 시스템에 동일한 로깅 설정을 적용하기보다 시스템의 중요도와 기술적 특성을 고려해야 한다.

로그 수집 대상의 우선순위

로그 관리에는 저장 용량, 네트워크 대역폭 및 분석 인력이 필요하다.

따라서 조직은 로그 수집의 중요도와 비용을 함께 고려해야 한다.

대표적인 우선순위 판단 요소는 다음과 같다.

• 시스템의 업무 중요도.
• 보안사고 발생 가능성.
• 로그의 사고 탐지 및 조사 가치.
• 관련 법률과 규제 요구사항.
• 로그 발생량.
• 저장 및 분석 비용.
• 다른 로그 발생원과의 중복 여부.

중요한 로그는 반드시 수집·분석하도록 정책을 정하고, 상대적으로 중요도가 낮은 로그는 자원 여건에 따라 수집 범위를 조정할 수 있다.

로그 관리 인프라 설계

로그 관리 인프라를 설계할 때는 현재의 로그 발생량뿐 아니라 향후 증가량도 고려해야 한다.

주요 설계 요소는 다음과 같다.

• 초당 로그 발생량.
• 로그 항목의 평균 크기.
• 일일 로그 저장량.
• 네트워크 전송량.
• 실시간 분석에 필요한 처리 성능.
• 단기 및 장기 저장 용량.
• 로그 보존 기간.
• 저장소 장애에 대한 대응.
• 로그 접근 및 검색 성능.
• 인프라 운영 인력과 비용.

로그 관리 정책이 기술적으로 실행 가능한지도 검토해야 한다.

정책에서 과도한 로그 수집이나 분석을 요구하면 실제 운영에서 로그 유실이나 분석 지연이 발생할 수 있다.

로그 관리 운영 절차

NIST SP 800-92의 제5장은 로그 관리 인프라를 구축한 이후 수행해야 하는 운영 절차를 설명한다.

주요 절차는 로그 발생원 설정, 로그 분석, 사건 대응, 장기 저장 관리 및 운영 상태 검증으로 구성된다.

로그 발생원 설정

로그 발생원 설정에서는 다음 사항을 결정한다.

• 로깅 기능을 활성화할 시스템.
• 기록할 사건의 종류.
• 사건별 데이터 필드.
• 로그 저장 위치.
• 중앙 서버 전송 여부.
• 로그 파일 크기 제한.
• 로그 회전 조건.
• 로그 보존 기간.
• 로그 접근 권한.

로그 설정은 시스템의 성능에 영향을 미칠 수 있다.

특히 과도한 로깅은 디스크 공간 부족, 시스템 성능 저하 또는 서비스 거부 상태를 유발할 수 있다.

따라서 중요 시스템에서는 로깅 설정을 운영 환경에 적용하기 전에 시험할 필요가 있다.

로그 분석

로그 분석은 보안상 의미 있는 사건을 식별하는 과정이다.

NIST는 분석 담당자가 먼저 로그의 정상적인 패턴과 사건 유형을 이해해야 한다고 설명한다.

정상적인 운영 활동을 이해하지 못하면 일반적인 사건을 공격으로 오인하거나 실제 공격 징후를 놓칠 수 있다.

로그 분석은 다음과 같은 절차로 수행할 수 있다.

1. 로그 발생원과 사건 유형 파악.
2. 정상적인 로그 패턴 식별.
3. 중요 사건의 우선순위 설정.
4. 필터링 및 상관분석 적용.
5. 의심스러운 사건 조사.
6. 필요한 경우 사고 대응 절차 개시.
7. 분석 결과와 개선사항 기록.

로그 분석 우선순위

NIST SP 800-92는 로그 항목의 우선순위를 판단할 때 다음 요소를 고려하도록 안내한다.

• 사건 유형.
• 이전에 발생하지 않았던 새로운 사건인지 여부.
• 로그 발생원.
• 출발지 및 목적지 IP 주소.
• 사건 발생 시간.
• 사건 발생 빈도.
• 다른 로그와의 연관성.

로그 발생원이 제공하는 심각도 등급을 그대로 사용하기보다 조직의 보안 요구사항에 따라 우선순위를 조정할 수 있다.

예를 들어 동일한 로그인 실패라도 일반 사용자 계정과 핵심 시스템의 관리자 계정에서 발생한 사건은 다르게 평가할 수 있다.

개별 시스템 분석과 중앙 분석

NIST는 로그 분석을 개별 시스템 수준과 중앙 로그 관리 인프라 수준에서 수행할 수 있다고 설명한다.

구분	개별 시스템 분석	중앙 인프라 분석
담당자	시스템 관리자	보안 관리자 및 로그 인프라 관리자
주요 장점	시스템의 운영 상황과 사건의 맥락 파악	여러 시스템의 사건 연관 분석
주요 대상	개별 시스템의 오류와 활동	조직 전체의 보안 사건
분석 방식	시스템별 도구 및 로그 검토	중앙 수집, 검색, 상관분석

개별 시스템 관리자는 시스템 변경이나 유지보수 작업에 관한 맥락을 알고 있을 수 있다.

반면 중앙 로그 관리 담당자는 여러 시스템에서 발생한 사건을 연결하여 조직 전체의 공격 징후를 파악할 수 있다.

따라서 두 방식은 상호 보완적으로 활용할 수 있다.

사건 대응

로그 분석 결과 의심스러운 사건이 발견되면 조직의 사고 대응 절차에 따라 처리해야 한다.

주요 활동은 다음과 같다.

• 사건의 사실관계 확인.
• 관련 로그의 추가 수집.
• 사건의 범위와 영향 분석.
• 시스템 관리자 및 보안 담당자에게 통지.
• 필요한 경우 보안사고 대응 절차 개시.
• 분석 결과 기록.
• 로그 수집 및 탐지 정책 개선.

NIST SP 800-92는 로그 분석과 사건 대응의 연계를 설명하지만, 사고 대응 절차 전체를 상세하게 정의하는 문서는 아니다.

장기 저장 관리

장기 저장 관리에서는 로그의 보존 기간과 저장매체를 관리한다.

주요 고려사항은 다음과 같다.

• 로그의 보존 목적.
• 법률 및 규제 요구사항.
• 저장매체의 신뢰성.
• 장기 보관에 필요한 저장 용량.
• 로그 압축 및 아카이빙.
• 저장매체의 물리적 보호.
• 로그 무결성 확인.
• 보존 기간 종료 후 폐기.
• 사고 조사에 따른 보존 기간 연장.

장기 보관된 로그도 필요할 때 읽고 분석할 수 있어야 한다.

따라서 저장매체의 수명과 로그 형식의 호환성도 고려해야 한다.

운영 상태 점검

로그 관리 인프라는 구축 이후에도 지속적으로 점검해야 한다.

주요 점검 대상은 다음과 같다.

• 로그 수집 기능의 정상 작동 여부.
• 로그 발생원별 전송 상태.
• 로그 회전 및 아카이빙 상태.
• 저장 공간 사용량.
• 로그 수집 및 분석 소프트웨어의 업데이트.
• 시스템 시간 동기화 상태.
• 로그 접근 권한.
• 로그 관리 설정의 변경 이력.
• 로그 분석 및 보고 절차의 이행 여부.

로그 수집이 중단되었는데도 관리자가 이를 인지하지 못하면 해당 기간의 보안 활동을 조사하기 어려울 수 있다.

따라서 로그 관리 인프라 자체의 장애를 탐지하고 대응하는 절차도 필요하다.

로그 보안 및 증거 보존

기밀성 보호

로그에는 계정 정보, 네트워크 구성, 시스템 경로 및 기타 민감한 정보가 포함될 수 있다.

보호조치로는 다음 방법을 고려할 수 있다.

• 역할별 접근 권한 제한.
• 로그 전송 구간 암호화.
• 저장 데이터 암호화.
• 로그 조회 및 다운로드 활동의 감사.
• 불필요한 민감정보 기록 방지.
• 로그 열람 권한의 정기 검토.

무결성 보호

공격자가 로그를 변경하거나 삭제하면 사고 조사 결과가 왜곡될 수 있다.

대표적인 보호조치는 다음과 같다.

• 중앙 로그 서버로 로그 전송.
• 원본 로그와 분석용 로그의 분리.
• 로그 파일의 무결성 검사.
• 로그 변경 및 삭제 권한 제한.
• 변경 불가능한 저장매체 활용.
• 중요 로그의 별도 보관.

로그를 중앙 서버에 전송하더라도 중앙 서버 자체가 침해될 수 있으므로 중앙 로그 관리 인프라의 보안도 중요하다.

가용성 보호

로그의 가용성은 필요한 시점에 로그를 조회하고 분석할 수 있는 상태를 의미한다.

다음과 같은 문제가 발생하면 로그의 가용성이 저하될 수 있다.

• 저장 공간 부족.
• 로그 파일의 자동 덮어쓰기.
• 로그 수집 서버 장애.
• 로그 전송 실패.
• 저장매체 손상.
• 잘못된 로그 회전 및 삭제 설정.

중요 로그의 가용성을 확보하기 위해 저장 용량 관리, 백업 및 장애 대응 절차를 마련할 수 있다.

원본 로그 보존

NIST SP 800-92는 사고 조사나 증거 활용을 위해 원본 로그의 보존이 중요하다고 설명한다.

로그를 정규화하거나 필터링하는 과정에서 일부 정보가 변경되거나 제외될 수 있기 때문이다.

조직은 필요에 따라 다음 자료를 함께 보존할 수 있다.

• 최초 생성된 원본 로그.
• 중앙 서버로 수집된 로그.
• 정규화 및 분석된 로그.
• 로그 수집·변환 과정의 기록.

이러한 자료는 로그의 복사와 변환 과정에서 발생한 문제를 확인하는 데 도움이 된다.

로그 관리 정책의 검증

로그 관리체계가 정책에 따라 정상적으로 작동하는지 정기적으로 검증해야 한다.

대표적인 검증 항목은 다음과 같다.

검증 항목	확인 내용
로그 생성	필요한 사건이 실제로 기록되는가?
로그 전송	중앙 수집 서버에 로그가 정상적으로 도착하는가?
로그 완전성	전송 과정에서 누락되거나 손상된 로그가 없는가?
시간 동기화	로그 발생원 사이의 시각이 일관되는가?
로그 분석	중요 사건을 탐지하고 적절하게 보고하는가?
로그 보존	정책에서 정한 기간 동안 로그가 보존되는가?
로그 보호	비인가 사용자가 로그를 조회·변경·삭제할 수 없는가?
로그 복구	저장된 로그를 필요할 때 정상적으로 조회할 수 있는가?
로그 폐기	보존 기간이 종료된 로그를 정책에 따라 처리하는가?

이러한 검증은 로그 관리 정책과 실제 시스템의 운영 상태 사이의 차이를 발견하는 데 활용된다.

NIST SP 800-53과의 관계

NIST SP 800-53은 정보시스템과 조직을 위한 보안 및 개인정보 보호 통제 카탈로그이다.

이 가운데 감사 및 책임추적(Audit and Accountability, AU) 통제군은 로그 생성, 감사 기록의 보호, 분석 및 보존과 밀접하게 관련된다.

통제	영문 명칭	주요 내용
AU-2	Event Logging	기록해야 하는 사건의 선정 및 로깅
AU-3	Content of Audit Records	감사 기록에 포함할 정보
AU-4	Audit Log Storage Capacity	감사 로그 저장 용량 확보
AU-5	Response to Audit Logging Process Failures	감사 로깅 실패에 대한 대응
AU-6	Audit Record Review, Analysis, and Reporting	감사 기록의 검토·분석·보고
AU-7	Audit Record Reduction and Report Generation	감사 기록 축소 및 보고서 생성
AU-8	Time Stamps	감사 기록의 시간 정보
AU-9	Protection of Audit Information	감사 정보 보호
AU-11	Audit Record Retention	감사 기록 보존
AU-12	Audit Record Generation	감사 기록 생성

두 문서는 역할이 다르다.

• NIST SP 800-53: 조직과 시스템에 적용할 보안 통제의 내용을 정의한다.
• NIST SP 800-92: 로그 관리 정책과 인프라를 어떻게 계획하고 운영할지 설명한다.
• NIST SP 800-53A: 보안 통제의 구현 및 운영 효과를 평가하는 절차를 제공한다.

SP 800-92를 참고하여 로그 관리체계를 구축했다고 해서 SP 800-53의 모든 감사 관련 통제를 자동으로 충족하는 것은 아니다.

실제 통제 충족 여부는 조직에 적용되는 요구사항과 구현 상태를 기준으로 평가해야 한다.

NIST SP 800-61과의 관계

NIST SP 800-61은 사이버보안 사고 대응을 위한 지침이다.

2025년 4월 3일 확정된 Revision 3의 정식 명칭은 Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile이다.

두 문서는 다음과 같이 구분할 수 있다.

구분	NIST SP 800-92	NIST SP 800-61
주요 목적	보안 로그 관리체계 구축 및 운영	사이버보안 사고 대응 역량 확보
주요 대상	로그 발생원, 수집 인프라, 로그 관리 절차	조직의 사고 대응 활동과 위험관리
주요 활동	로그 생성·수집·저장·분석·폐기	사고 대비, 탐지, 대응, 복구 및 개선
관계	사고 탐지와 조사에 필요한 기록 제공	로그를 활용하여 사고를 분석하고 대응

로그 관리체계는 사고 대응에 필요한 정보를 제공하지만, 사고 대응 활동 전체를 대체하지는 않는다.

NIST SP 800-86과의 관계

NIST SP 800-86은 Guide to Integrating Forensic Techniques into Incident Response라는 제목의 디지털 포렌식 지침이다.

로그는 디지털 포렌식 분석에 활용할 수 있는 주요 자료 중 하나이다.

두 문서의 차이는 다음과 같다.

• SP 800-92: 평상시 로그를 생성·관리·보호하고 분석할 수 있는 체계에 초점.
• SP 800-86: 사고 조사에서 디지털 증거를 수집·검사·분석·보고하는 방법에 초점.

로그 관리 과정에서 원본을 보존하고 무결성을 유지하면 이후 디지털 포렌식 조사에 도움이 된다.

Revision 1 개정 초안

2023년 10월 11일 NIST는 SP 800-92 Revision 1의 최초 공개 초안인 Cybersecurity Log Management Planning Guide를 발표하였다.

2026년 10월 25일 기준 NIST CSRC는 해당 문서를 초안(Draft)으로 분류하고 있으며, 확정판은 여전히 2006년 원본이다.

항목	내용
문서 번호	NIST SP 800-92 Revision 1
정식 명칭	Cybersecurity Log Management Planning Guide
한국어 명칭	사이버보안 로그 관리 계획 지침
발행일	2023년 10월 11일
상태	최초 공개 초안
의견 수렴 마감	2023년 11월 29일
주요 목적	조직 차원의 로그 관리 개선 계획 수립
공식 페이지	NIST CSRC
초안 원문	PDF

개정 방향

2006년 원본은 로그 관리 기술과 운영 절차를 폭넓게 설명한다.

반면 Revision 1 초안은 조직 전체의 로그 관리 개선 계획에 초점을 맞춘다.

주요 차이는 다음과 같다.

• 로그 관리 기술의 세부 구현보다 조직 차원의 계획 수립 강조.
• 물리적 시스템뿐 아니라 가상화·클라우드 환경을 고려.
• 로그 관리 현황을 파악하기 위한 목록 관리.
• 현재 상태와 목표 상태의 차이 분석.
• 로그 관리 개선을 위한 실행계획 수립.
• 관련 법률·규제 및 보안 요구사항과의 연계.

Revision 1 초안은 로그 관리 기술의 구현이나 로그 데이터를 실제로 분석하는 방법을 상세히 다루지 않는다.

이러한 점에서 2006년 원본과 문서의 구성 및 초점이 상당히 다르다.

로그 관리 계획 플레이북

Revision 1 초안은 로그 관리 개선을 위한 네 가지 상위 활동을 제시한다.

구분	영문 명칭	주요 내용
INV	Update Logging-Related Inventories	로그 관리 관련 목록 갱신
TS	Define Target State	목표 상태 정의
GRC	Document Gaps and Their Root Causes	격차와 근본 원인 문서화
PMG	Develop a Plan to Mitigate the Gaps	격차 해소 계획 수립

이러한 활동은 조직이 기존 로그 관리체계의 문제를 파악하고 개선 우선순위를 결정하도록 지원한다.

INV: 로그 관리 관련 목록 갱신

INV(Update Logging-Related Inventories)는 조직의 현재 로그 관리 상태를 파악하기 위한 활동이다.

다음 다섯 가지 세부 활동으로 구성된다.

번호	영문 명칭	주요 내용
INV-1	Update the Inventory of Log Source Types	로그 발생원 유형 목록 갱신
INV-2	Update the Logging Infrastructure Inventory	로그 관리 인프라 목록 갱신
INV-3	Update the Logging Use Case Inventory	로그 활용 사례 목록 갱신
INV-4	Update the Requirements Inventory	로그 관련 요구사항 목록 갱신
INV-5	Update the Work Role Inventory	로그 관리 업무 역할 목록 갱신

이 단계는 개선사항을 평가하기보다 현재 상태에 관한 정보를 수집하는 데 초점을 맞춘다.

TS: 목표 상태 정의

TS(Define Target State)는 조직이 달성하려는 로그 관리 수준을 정의하는 활동이다.

다음 다섯 가지 세부 활동으로 구성된다.

번호	영문 명칭	주요 내용
TS-1	Forecast Future Changes to Logging Inventories	로그 관리 관련 목록의 향후 변화 예측
TS-2	Define Target State for Log Generation	로그 생성의 목표 상태 정의
TS-3	Define Target State for Log Storage and Transfer	로그 저장 및 전송의 목표 상태 정의
TS-4	Define Target State for Log Access	로그 접근의 목표 상태 정의
TS-5	Define Target State for Log Disposal	로그 폐기의 목표 상태 정의

목표 상태는 조직의 업무와 보안 요구사항을 충족할 수 있도록 설정해야 한다.

GRC: 격차와 근본 원인 문서화

GRC(Document Gaps and Their Root Causes)는 현재 상태와 목표 상태 사이의 차이를 분석하는 활동이다.

다음 두 가지 세부 활동으로 구성된다.

• GRC-1: Scope and Plan the Assessment — 평가 범위와 계획 수립.
• GRC-2: Conduct the Assessment and Document Findings — 평가 수행 및 결과 문서화.

예를 들어 특정 중요 시스템의 로그가 중앙 수집되지 않는다면 이를 격차로 식별할 수 있다.

이때 단순히 로그 수집 기능이 없다는 사실뿐 아니라 설정 오류, 기술적 제약, 담당자 부재 등 근본 원인을 분석해야 한다.

PMG: 격차 해소 계획 수립

PMG(Develop a Plan to Mitigate the Gaps)는 식별된 격차를 해소하기 위한 계획을 수립하는 활동이다.

다음 세 가지 세부 활동으로 구성된다.

• PMG-1: Draft the Plan — 개선 계획 초안 작성.
• PMG-2: Revise Affected Policies — 관련 정책 개정.
• PMG-3: Address Feedback on Draft Plan and Policies — 계획 및 정책 초안에 대한 의견 반영.

개선 계획에서는 격차의 근본 원인과 조직의 우선순위를 고려해야 한다.

Revision 1 초안은 이러한 플레이북을 조직의 기존 관리체계와 통합하거나 참고자료로 활용할 수 있도록 설계되었다.

개정 이력

시기	판본	주요 내용
2006년 9월 13일	최초 발행	Guide to Computer Security Log Management 확정
2023년 10월 11일	Revision 1 최초 공개 초안	Cybersecurity Log Management Planning Guide 발표
2023년 11월 29일	Revision 1 의견 수렴 종료	공개 초안에 대한 의견 제출 마감
2026년 10월 25일 기준	현행 상태	2006년 원본이 최신 확정판이며 Revision 1은 초안 상태

NIST의 로그 관리 프로젝트 페이지는 Revision 1 초안에 제출된 의견을 검토하고 있다고 안내한다.

따라서 Revision 1 초안의 내용이 최종 확정된 요구사항이라고 해석해서는 안 된다.

문서 구성

2006년 확정판은 본문 5개 장과 부록으로 구성된다.

구분	영문 제목	주요 내용
제1장	Introduction	목적, 범위 및 적용 대상
제2장	Introduction to Computer Security Log Management	로그 관리의 기본 개념과 주요 문제
제3장	Log Management Infrastructure	로그 관리 인프라의 구조와 기능
제4장	Log Management Planning	역할·책임, 정책 및 인프라 설계
제5장	Log Management Operational Processes	로그 관리 운영 절차
부록 A	Glossary	용어 정의
부록 B	Acronyms	약어
부록 C	Tools and Resources	관련 도구 및 자료
부록 D	Index	색인

2023년 Revision 1 초안은 기존 문서와 달리 로그 관리 개선 플레이북을 중심으로 구성된다.

• 제1장: Introduction.
• 제2장: How to Use This Publication.
• 제3장: INV, Update Logging-Related Inventories.
• 제4장: TS, Define Target State.
• 제5장: GRC, Document Gaps and Their Root Causes.
• 제6장: PMG, Develop a Plan to Mitigate the Gaps.
• 부록 A: Glossary.
• 부록 B: Crosswalk to NIST Guidance and Frameworks.
• 부록 C: Change Log.

적용 시 고려사항

NIST SP 800-92를 실제 조직에 적용할 때는 다음 사항을 구분해야 한다.

• 로그 생성과 로그 수집.
• 로그 수집과 로그 분석.
• 로그 저장과 장기 보존.
• 일반적인 로그 보존과 사고 조사를 위한 증거 보존.
• 로그 필터링과 원본 로그 삭제.
• 로그 정규화와 원본 로그의 무결성.
• 개별 시스템 분석과 중앙 집중식 분석.
• 로그 관리 정책과 SIEM 제품의 기능.
• 기술적 로그 수집 능력과 조직의 실제 분석 역량.

로그 관리체계의 효과는 단순히 수집한 로그의 양이나 저장 용량으로 평가할 수 없다.

필요한 사건이 적절한 수준으로 기록되고, 로그가 손실되거나 변조되지 않으며, 분석 담당자가 실제로 활용할 수 있어야 한다.

또한 2006년 원본은 당시의 기술 환경을 기반으로 작성되었으므로 현재의 클라우드, 컨테이너, 분산 애플리케이션 및 대규모 보안관제 환경에 적용할 때는 기술적 특성을 별도로 고려해야 한다.

2023년 Revision 1 초안은 이러한 변화에 대응하여 로그 관리의 조직적 계획과 지속적인 개선을 강조하지만, 아직 확정판이 아니라는 점에 유의해야 한다.