보안점검 모니터 가이드

secwatch 보안점검 에이전트가 보낸 에스큐엘 인젝션 탐지 판정 결과를 내 조직 범위로 한 화면에서 보는 방법을 안내합니다.

🛡️ 보안점검 모니터 페이지로 이동 →

이 페이지는 무엇인가

고객 서버에 설치된 secwatch 수집기가 감사로그·웹방화벽·시엔디엔 로그에서 의심 이벤트를 골라 giip Jev 게이트웨이로 보내면, 게이트웨이가 판정해 결과를 저장합니다. 이 페이지는 그 판정 결과를 로그인한 내 조직(csn) 범위로만 최신순으로 보여줍니다. 로컬 monitor.py 와 같은 데이터를 보되, 별도 설치 없이 giip 웹 콘솔에서 봅니다.

• 접근 권한: 로그인한 사용자라면 누구나 열람할 수 있고, 자기 조직(csn)의 결과만 보입니다(서버가 소속 기준으로 스코프합니다).
• 비밀값 노출 없음: 조회는 로그인 토큰으로만 이뤄지며, 수집기 인증키는 화면에 나오지 않습니다.

사용법

1. 조회 기간 선택: 최근 1시간 / 6시간 / 24시간 / 7일. 화면은 그 기간의 결과만 최신순으로 보여줍니다(브라우저에 쌓이지 않는 롤링 방식).
2. 라우팅 필터: 전체 / 🔴경보(alert) / 🟠검토(review) / ⚪기록(log) 중에서 고릅니다.
3. 새로고침: 최신 결과를 다시 불러옵니다.

표 컬럼 읽는 법

컬럼	의미
시각	판정이 저장된 시각
수집기(LSsn)	이벤트를 보낸 수집 에이전트 식별자
타입	이벤트 종류 — secevt_batch_audit(감사로그) · secevt_waf(웹방화벽) · secevt_cf(시엔디엔) · secevt_signal(집계 신호)
라우팅	🔴경보=즉시 대응 / 🟠검토=사람 확인 필요 / ⚪기록=정상 판정·기록용
심각도	공격의 위험도 — 0~4(0 노이즈 · 1 정찰 · 2 열거·읽기 · 3 인증정보·개인정보 읽기 · 4 쓰기·권한 조작)
공격일 확률	이 요청이 공격인가에 대한 확신도(0~100%). 성공률이 아닙니다 — 97%는 "공격일 확률 97%"이고, 값이 빠져나갔는지는 아래 플래그로 봅니다
공격 유형	Jev가 분류한 공격 유형(값과 뜻은 아래 "공격 유형 값" 표 참조)
플래그	인젝션 의심 · 데이터 유출 의심 · 쓰기 시도 여부
신뢰도	공격 유형·심각도 판정이 얼마나 확실한지(0~100%). 위 "공격일 확률"과 다른 값입니다 — 공격일 확률에는 별도 신뢰도가 없습니다(확률 자체가 신호)
엔진	jev=2차 Jev 판정 / rule=1차 규칙만
이유	그 라우팅으로 분류된 근거 설명

공격 유형(attack type) 값

Jev가 각 사건을 아래 10가지 중 하나로 분류합니다. 심각도(severity)는 0 노이즈 · 1 정찰·탐사 · 2 열거·읽기 시도 · 3 인증정보·개인정보 읽기 · 4 쓰기·파일·권한 조작 으로 매겨집니다.

값	뜻	설명
recon_probe	정찰·탐사	본격 공격 전에 "여기에 인젝션이 통하나"를 찔러보는 초기 탐색입니다. 작은 변형을 넣어 반응만 떠보는 단계라 그 자체로는 데이터 유출·변조가 없지만, 뒤이어 실제 공격이 올 수 있다는 신호입니다(보통 심각도 1).
boolean_blind	참/거짓 블라인드	결과가 안 보일 때, 조건의 참/거짓에 따라 응답이 달라지는 것을 이용해 값을 한 글자(비트)씩 알아냅니다.
time_blind	시간 블라인드	응답 내용이 안 보일 때 SLEEP 같은 지연을 넣어, 응답이 느린지로 참/거짓을 추론합니다.
union_based	유니온(UNION) 기반 추출	UNION SELECT 로 공격자가 원하는 데이터를 정상 결과 뒤에 붙여 한꺼번에 빼냅니다.
error_based	오류 기반	일부러 DB 오류를 내서, 그 오류 메시지에 데이터가 섞여 나오게 합니다.
file_write	파일 쓰기	INTO OUTFILE/DUMPFILE 로 서버에 파일을 씁니다(웹셸 설치 등 — 매우 위험, 보통 심각도 4).
file_read	파일 읽기	LOAD_FILE 로 서버의 파일을 읽어냅니다.
schema_enum	스키마 열거	information_schema 등으로 어떤 테이블·컬럼이 있는지 구조를 훑습니다(정찰 성격).
stacked_or_ddl	스택 쿼리 / DDL	세미콜론으로 쿼리를 이어 붙이거나 DROP·ALTER 같은 구조 변경을 시도합니다.
benign	공격 아님	정상 요청으로 판정된 건(근거 기록용).

즉, recon_probe 는 "아직 데이터를 빼간 건 아니지만, 공격자가 취약점을 떠보는 중"이라는 뜻입니다. 같은 수집기에서 recon_probe 가 반복되면 본격 공격의 전조로 보고 주의 깊게 지켜보세요.

라우팅(routedTo)의 의미

• 🔴경보(alert): 데이터 유출·쓰기 시도 의심 또는 고신뢰 공격. 즉시 확인하세요.
• 🟠검토(review): 인젝션 가능성이 애매해 사람 판단이 필요한 건.
• ⚪기록(log): 정상으로 판정된 건(근거 보존용). 평상시 대부분이 여기입니다.

데이터가 안 보일 때

• 내 조직에 secwatch 수집기가 아직 없거나, 선택한 기간에 보낸 이벤트가 없으면 비어 있습니다. 보낼 이벤트가 없어도 수집기는 정상 동작 중일 수 있습니다(생존 신호는 로컬 monitor.py 에서 확인).
• "접근 거부"가 뜨면 해당 조직 소속이 아닌 상태입니다(소속 csn 결과만 조회됩니다).

공격일 확률 vs 실제 피해 — 혼동 주의

• 공격일 확률(이전 표기: 인젝션 확률): "이 요청이 공격이냐"에 대한 판정 엔진의 확신도입니다. 97%는 "공격일 확률 97%"이고 성공률이 아닙니다.
• 실제 피해는 플래그와 심각도로 봅니다: 데이터 유출(공격자가 실제로 DB 값을 읽어냈다고 판단) · 쓰기 시도(데이터·파일·권한 쓰기 시도). 둘 다 0.7 이상일 때만 배지가 뜹니다.
• 즉 공격일 확률 97% + 플래그 없음이면 "공격인 건 거의 확실하지만, 값을 빼냈다는 증거는 없다"는 뜻입니다.

시도가 성공했는지 보는 순서

1. 데이터 유출 플래그 — 이게 성공 여부에 가장 가까운 지표입니다(공격자가 실제로 디비 값을 읽어냈다는 판정, 0.7 이상에서만 표시).
2. 쓰기 시도 플래그 — 데이터·파일·권한 쓰기. 이름대로 시도이고 성공 확정은 아닙니다.
3. 심각도 3·4 — 3은 인증정보·개인정보 읽기, 4는 쓰기·파일·권한 조작. 성공했다면 피해의 성격을 뜻합니다.
4. 라우팅 경보 — 유출·쓰기 의심이 0.7 이상이면 경보로 보내고 피해확인 대상이 됩니다.
5. 원본의 응답코드·응답크기 — 1064(구문 오류) 같은 값이면 공격이 실패한 것입니다. 원본은 원본 취득 커맨드로 가져옵니다.

한계: 데이터 유출은 판정 엔진의 추정이며 확정 증거가 아닙니다. 확정하려면 원본 로그의 응답크기·상태코드를 봐야 합니다. giip 자기방어 행(원본 위치가 func:)은 설계상 요청 본문을 저장하지 않으므로 그 행만으로는 확정할 수 없습니다.

보존기간과 표시 범위

• 판정 행 보존: tKVSSecurityCheck 에는 자동 삭제가 없습니다. 보관주기(CleanTable) 대상에 등록돼 있지 않아 판정 행은 삭제 정책이 생길 때까지 계속 남습니다(2026-10-18 확인).
• 표시 범위: 이 페이지는 선택한 기간(1시간·6시간·24시간·7일, 기본 24시간)의 행을 건수 상한 없이 카드로 전부 보여줍니다. 기간을 넘은 행은 화면에서만 빠지고 DB 에는 남습니다.
• 기록(log) 행: 경보·검토와 똑같이 저장되며 통지만 하지 않습니다. 별도 보존·삭제 규칙도 없습니다(근거 보존용).
• 1일 예상 행수: 전단필터를 통과한 의심 건만 전송되므로 평상시 수집기당 0~수 건 수준입니다(정상 트래픽은 전송하지 않음). 검사했지만 보내지 않은 정상 건수는 상단 수집 커버리지 패널에서 확인합니다.

무엇을 수집하고, 무엇을 감시할지 고르는 방법

수집은 이 화면이 하지 않습니다. 고객 서버에 설치한 secwatch 수집기(giip-fde-agent) 가 로그를 읽어 의심 이벤트만 골라 giip 게이트웨이로 보냅니다. 이 페이지는 그 판정 결과만 보여줍니다. 무엇을 감시할지는 수집기 설정에서 소스 종류와 로그 경로를 지정해 고릅니다.

수집할 수 있는 소스

소스 이름	무엇을 보는가	쓰는 로그
aurora_audit (db_audit, batch_audit)	어떤 계정이 어떤 SQL 을 실행했는가	데이터베이스 감사로그
waf	차단·허용된 요청의 경로와 인자	웹방화벽 로그
cloudfront (cf)	요청 경로와 응답 크기	시디엔 액세스 로그
sec_monitor	외부 보안 도구가 보낸 이벤트	그 도구의 출력(JSON)
signal (applog)	애플리케이션이 직접 보낸 신호	앱 로그 / 자체 방어 지점
generic	위 형식에 안 맞는 임의 텍스트 로그	직접 지정한 파일

여러 소스를 함께 켤 수 있습니다. 감시하고 싶은 대상이 위에 없으면 generic 으로 그 로그 파일을 지정하면 됩니다.

보내는 항목

항목	설명
발생 시각	이벤트 시각
데이터베이스 / 데이터베이스 계정	어느 DB 의 어느 계정인가
작업 종류 / 응답 코드	조회·변경 구분과 결과 코드
공격자 주소	실제 아이피. 추적이 되도록 클래스가 아니라 주소를 받습니다
주소 분류 / 접속 도구 분류	사내·외부 구분, 봇·브라우저 구분
에스큐엘 형태	쿼리의 모양만 (아래 참고)
요청 경로 / 요청 인자 형태	어떤 경로에 어떤 모양의 인자가 왔는가
응답 크기	같은 요청에 응답 크기가 둘로 갈리면 값이 빠져나갔다는 신호가 됩니다

원문은 보내지 않습니다. 에스큐엘과 요청 인자는 수집기에서 마스킹해 "형태"만 보냅니다. 실제 값·비밀값·개인정보는 giip 로 전송되지 않습니다. 정상 트래픽도 보내지 않습니다 — 수집기가 전단필터로 의심 건만 골라 보내고, 검사했지만 보내지 않은 건수는 상단 수집 커버리지 패널에 숫자로만 올라옵니다.

관련 안내

• 수집기 설치·운영: secwatch 보안점검 에이전트(giip-fde-agent) 운영 가이드.
• 판정·저장·보존 사양: SPEC_JEV_SQLI_DETECTION.
• 침해 탐지→조사→대응 전체 흐름: GIIP AI Security Operations