보안점검 모니터 가이드
secwatch 보안점검 에이전트가 보낸 에스큐엘 인젝션 탐지 판정 결과를 내 조직 범위로 한 화면에서 보는 방법을 안내합니다.
이 페이지는 무엇인가
고객 서버에 설치된 secwatch 수집기가 감사로그·웹방화벽·시엔디엔 로그에서 의심 이벤트를 골라 giip Jev 게이트웨이로 보내면, 게이트웨이가 판정해 결과를 저장합니다. 이 페이지는 그 판정 결과를 로그인한 내 조직(csn) 범위로만 최신순으로 보여줍니다. 로컬 monitor.py 와 같은 데이터를 보되, 별도 설치 없이 giip 웹 콘솔에서 봅니다.
- 접근 권한: 레벨 50 이상(관리자급)만 열람할 수 있습니다.
- 비밀값 노출 없음: 조회는 로그인 토큰으로만 이뤄지며, 수집기 인증키는 화면에 나오지 않습니다.
사용법
- 조회 기간 선택: 최근 1시간 / 6시간 / 24시간 / 7일. 화면은 그 기간의 결과만 최신순으로 보여줍니다(브라우저에 쌓이지 않는 롤링 방식).
- 라우팅 필터: 전체 / 🔴경보(alert) / 🟠검토(review) / ⚪기록(log) 중에서 고릅니다.
- 새로고침: 최신 결과를 다시 불러옵니다.
표 컬럼 읽는 법
| 컬럼 | 의미 |
|---|---|
| 시각 | 판정이 저장된 시각 |
| 수집기(LSsn) | 이벤트를 보낸 수집 에이전트 식별자 |
| 타입 | 이벤트 종류 — secevt_batch_audit(감사로그) · secevt_waf(웹방화벽) · secevt_cf(시엔디엔) · secevt_signal(집계 신호) |
| 라우팅 | 🔴경보=즉시 대응 / 🟠검토=사람 확인 필요 / ⚪기록=정상 판정·기록용 |
| 심각도 | 공격의 위험도 |
| 공격 유형 | Jev가 분류한 공격 유형(값과 뜻은 아래 "공격 유형 값" 표 참조) |
| 플래그 | 인젝션 의심 · 데이터 유출 의심 · 쓰기 시도 여부 |
| 신뢰도 | 판정 확신도(0~100%) |
| 엔진 | jev=2차 Jev 판정 / rule=1차 규칙만 |
| 이유 | 그 라우팅으로 분류된 근거 설명 |
공격 유형(attack type) 값
Jev가 각 사건을 아래 10가지 중 하나로 분류합니다. 심각도(severity)는 0 노이즈 · 1 정찰·탐사 · 2 열거·읽기 시도 · 3 인증정보·개인정보 읽기 · 4 쓰기·파일·권한 조작 으로 매겨집니다.
| 값 | 뜻 | 설명 |
|---|---|---|
recon_probe | 정찰·탐사 | 본격 공격 전에 "여기에 인젝션이 통하나"를 찔러보는 초기 탐색입니다. 작은 변형을 넣어 반응만 떠보는 단계라 그 자체로는 데이터 유출·변조가 없지만, 뒤이어 실제 공격이 올 수 있다는 신호입니다(보통 심각도 1). |
boolean_blind | 참/거짓 블라인드 | 결과가 안 보일 때, 조건의 참/거짓에 따라 응답이 달라지는 것을 이용해 값을 한 글자(비트)씩 알아냅니다. |
time_blind | 시간 블라인드 | 응답 내용이 안 보일 때 SLEEP 같은 지연을 넣어, 응답이 느린지로 참/거짓을 추론합니다. |
union_based | 유니온(UNION) 기반 추출 | UNION SELECT 로 공격자가 원하는 데이터를 정상 결과 뒤에 붙여 한꺼번에 빼냅니다. |
error_based | 오류 기반 | 일부러 DB 오류를 내서, 그 오류 메시지에 데이터가 섞여 나오게 합니다. |
file_write | 파일 쓰기 | INTO OUTFILE/DUMPFILE 로 서버에 파일을 씁니다(웹셸 설치 등 — 매우 위험, 보통 심각도 4). |
file_read | 파일 읽기 | LOAD_FILE 로 서버의 파일을 읽어냅니다. |
schema_enum | 스키마 열거 | information_schema 등으로 어떤 테이블·컬럼이 있는지 구조를 훑습니다(정찰 성격). |
stacked_or_ddl | 스택 쿼리 / DDL | 세미콜론으로 쿼리를 이어 붙이거나 DROP·ALTER 같은 구조 변경을 시도합니다. |
benign | 공격 아님 | 정상 요청으로 판정된 건(근거 기록용). |
즉,
recon_probe는 "아직 데이터를 빼간 건 아니지만, 공격자가 취약점을 떠보는 중"이라는 뜻입니다. 같은 수집기에서recon_probe가 반복되면 본격 공격의 전조로 보고 주의 깊게 지켜보세요.
라우팅(routedTo)의 의미
- 🔴경보(alert): 데이터 유출·쓰기 시도 의심 또는 고신뢰 공격. 즉시 확인하세요.
- 🟠검토(review): 인젝션 가능성이 애매해 사람 판단이 필요한 건.
- ⚪기록(log): 정상으로 판정된 건(근거 보존용). 평상시 대부분이 여기입니다.
데이터가 안 보일 때
- 내 조직에 secwatch 수집기가 아직 없거나, 선택한 기간에 보낸 이벤트가 없으면 비어 있습니다. 보낼 이벤트가 없어도 수집기는 정상 동작 중일 수 있습니다(생존 신호는 로컬
monitor.py에서 확인). - "접근 거부"가 뜨면 계정 레벨이 50 미만입니다.
관련 안내
- 수집기 설치·운영: secwatch 보안점검 에이전트(giip-fde-agent) 운영 가이드.
- 판정·저장·보존 사양:
SPEC_JEV_SQLI_DETECTION.