Splunk Enterprise Security (ES)는 Splunk 플랫폼 위에서 동작하는 프리미어 SIEM 솔루션입니다. 실시간 위협 탐지, 사고 대응, 위험 기반 분석을 통합하며, 머신러닝 기반 이상 징후 탐지와 자동화된 플레이북을 지원합니다.
상관관계 규칙, 위협 인텔리전스, 이상 징후 탐지로 알려진/미지의 위협을 실시간 식별.
케이스 관리, 위험 점수, 자동화된 대응 (어댑티브 플레이북) 으로 대응 시간 단축.
에셋, 인증, 위협 데이터를 결합한 위험 점수로 우선순위 기반 알림.
기존 SIEM 대비 Splunk ES의 차별점은 데이터 온보딩 유연성, 고급 분석, 확장성입니다. 아래 비교표를 참고하세요.
| 기능 | Splunk ES | ELK (Elastic Security) | QRadar |
|---|---|---|---|
| 데이터 소스 | 500+ 애드온, 모든 형식 | Beats, 제한적 | 주로 로그/플로우 |
| ML 기반 탐지 | 내장 (MLTK, 이상탐지) | 플러그인 필요 | 제한적 |
| 위험 점수 | 기본 내장 | 커스텀 필요 | 부분 지원 |
| 자동화 (SOAR) | 네이티브 통합 | 별도 구성 | IBM Resilient |
| 쿼리 언어 | SPL (강력, 직관적) | EQL / KQL | AQL |
Splunk ES는 데이터 수집 → 인덱싱 → 상관관계 → 위험 점수 → 대시보드 흐름으로 동작합니다. 아래 아키텍처 다이어그램을 참고하세요.
# 1. Splunk Enterprise 설치 (예: /opt/splunk)
wget -O splunk-9.2.1.tar.gz 'https://download.splunk.com/...'
tar -xzf splunk-9.2.1.tar.gz -C /opt/
/opt/splunk/bin/splunk start --accept-license
# 2. ES 앱 설치 (Passport 또는 크레딧 필요)
/opt/splunk/bin/splunk install app splunk-enterprise-security_910.spl -auth admin:changeme# CLI로 데이터 입력 추가 (예: syslog)
/opt/splunk/bin/splunk add udp 514 -sourcetype syslog -index main
# 위협 인텔리전스 피드 활성화 (ES 설정 UI 또는 REST)
curl -k -u admin:changeme https://localhost:8089/servicesNS/admin/splunk_essentials/...
-d '{"threat_intel_feed":"https://feeds.example.com/taxtii"}'| tstats `summariesonly` count from datamodel=Risk.All_Risk
where nodename=All_Risk risk_score>=80
by _time, risk_object, risk_score, source
| `drop_dm_object_name("Risk")`
| sort - _time
| table _time, risk_object, risk_score, source| 설정 항목 | 위치 (UI / 파일) | 설명 |
|---|---|---|
| 상관관계 규칙 | 설정 > 상관관계 검색 | SPL 기반, 위험 점수, 라벨, 알림 액션 |
| 위험 점수 할당 | 설정 > 위험 점수 | 에셋/인증 기반 기본값 0~100 |
| 위협 인텔리전스 | 설정 > 위협 인텔리전스 | TAXII, STIX, CSV 피드 |
| 적응형 대응 (플레이북) | 설정 > 적응형 대응 | Python, 스크립트, 웹훅 |
| 데이터 모델 가속 | 설정 > 데이터 모델 | Risk, Alerts, Malware 등 가속화 |
import requests; requests.post('https://hooks.slack.com/...', json={'text': f'위험 점수 {risk_score}'})
해결: 데이터 모델 가속 상태 확인 (| datamodel), 요약 인덱싱 활성화. SPL에 summariesonly 사용.
해결: 위험 점수 임계값 조정, 에셋 중요도 재평가, 중복 제거 로직 추가.
해결: 인덱서 클러스터링, 데이터 모델 가속 스케줄, dispatch 디렉토리 정리.
splunk show datamodel-risk-acceleration · splunk search "index=_internal sourcetype=splunkd" · tail -f $SPLUNK_HOME/var/log/splunk/splunkd.log