보안 로그 실시간 모니터링, 원격 중앙 로그 서버 구축, ELK 스택 연동 기술, 로그 로테이션(logrotate) 관리법 > 네트워크/보안/해킹

• 목록

● 침입자가 서버에 발을 들이는 순간을 실시간으로 포착하고 대응하기 위해 가장 중요한 것이 바로 보안 로그 실시간 모니터링입니다.

리눅스(우분투)와 윈도우 환경에서 보안 로그를 실시간으로 감시하고, 공격자의 흔적(예: 무차별 대입 공격 등)을 찾아내는 실무 명령어 기법을 정리해 드립니다. [1]

PART 1. 리눅스(우분투) 환경 보안 로그 실시간 모니터링

리눅스는 모든 로그인 시도, 권한 상승(sudo), 계정 변경 기록을 텍스트 파일 형태의 로그로 남깁니다.

1. tail -f 명령어를 이용한 실시간 감시 (기본)

터미널 창을 하나 열어두고 실시간으로 올라오는 로그를 화면에 띄워두는 가장 대중적인 방법입니다. [1]

bash

# Ubuntu/Debian 계열 보안 로그 실시간 확인

sudo tail -f /var/log/auth.log

 

# RHEL/Rocky Linux/CentOS 계열 보안 로그 실시간 확인

sudo tail -f /var/log/secure

코드를 사용할 때는 주의가 필요합니다.

• -f (follow): 파일의 끝부분을 실시간으로 계속 추적하여 화면에 출력하라는 핵심 옵션입니다.

2. 특정 공격 패턴만 필터링하여 실시간 감시 (grep 연동)

로그가 너무 많이 올라와 눈이 아플 때는, 파이프 라인(|)과 grep 명령어를 조합해 "실패한 기록"이나 "성공한 기록"만 골라낼 수 있습니다.

bash

# 시나리오 A: 무차별 대입 공격(비밀번호 에러) 실시간 포착

sudo tail -f /var/log/auth.log | grep --line-buffered "Failed password"

 

# 시나리오 B: 누군가 로그인에 성공한 순간만 실시간 포착

sudo tail -f /var/log/auth.log | grep --line-buffered "Accepted"

 

# 시나리오 C: 누군가 root 권한(sudo)을 획득하여 명령어를 내린 기록 추적

sudo tail -f /var/log/auth.log | grep --line-buffered "COMMAND="

코드를 사용할 때는 주의가 필요합니다.

• ---line-buffered 옵션을 주어야 tail에서 넘어오는 데이터가 지연 없이 실시간으로 즉시 출력됩니다. [1]

3. 고급 기법: journald 기반 실시간 감사 (journalctl)

최신 리눅스 시스템은 로그를 바이너리 형태로 저장하여 변조를 어렵게 만드는 systemd-journald 서비스를 제공합니다. 침입자가 텍스트 로그를 지우더라도 이곳에 흔적이 남을 확률이 높습니다. [1]

bash

# SSH 서비스 관련 로그만 실시간으로 추적 감시 (-f: 실시간, -u: 유닛 지정)

sudo journalctl -f -u ssh

 

# 보안 및 인증에 관련된 로그만 실시간 추적

sudo journalctl -f _TRANSPORT=syslog | grep "auth"

코드를 사용할 때는 주의가 필요합니다.

PART 2. 윈도우(Windows Server) 환경 보안 로그 실시간 모니터링

윈도우는 텍스트 파일이 아닌 이벤트 뷰어(Event Viewer)라는 데이터베이스 구조로 로그를 관리합니다. GUI 프로그램이지만 파워셸(PowerShell)을 이용하면 리눅스의 tail -f처럼 실시간 감시 화면을 만들 수 있습니다.

1. 윈도우 보안 로그 실시간 추적 파워셸 스크립트

PowerShell을 [관리자 권한으로 실행]한 뒤 아래 코드를 입력해 두면, 누군가 원격 로그인(RDP, SSH 등)을 시도할 때마다 실시간으로 경보를 띄워줍니다.

powershell

Write-Host "[+] 윈도우 보안 이벤트 실시간 모니터링을 시작합니다... (종료: Ctrl+C)" -ForegroundColor Cyan

 

# 윈도우 보안 로그에서 발생하는 신규 이벤트를 계속 감시하는 무한 루프

Get-WinEvent -LogName Security | Select-Object -First 1 | ForEach-Object { $LastTime = $_.TimeCreated }

 

while ($true) {

    # 마지막 확인 시간 이후로 새로 생성된 보안 이벤트 수집

    $NewEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$LastTime} -ErrorAction SilentlyContinue | Sort-Object TimeCreated

   

    foreach ($Event in $NewEvents) {

        $LastTime = $Event.TimeCreated

       

        # 이벤트 ID에 따른 직관적인 텍스트 출력

        if ($Event.Id -eq 4624) {

            Write-Host "[★ 로그인 성공] 시간: $($Event.TimeCreated) / 이벤트ID: 4624" -ForegroundColor Green

        }

        elseif ($Event.Id -eq 4625) {

            Write-Host "[⚠️로그인 실패!!] 시간: $($Event.TimeCreated) / 이벤트ID: 4625" -ForegroundColor Red

        }

        else {

            # 기타 방화벽 변경, 권한 상승 등 다른 보안 이벤트들 출력

            Write-Host "[i] 기타 보안 이벤트 발생 - ID: $($Event.Id) / 시간: $($Event.TimeCreated)" -ForegroundColor Yellow

        }

    }

    # 1초마다 새 로그가 들어왔는지 체크

    Start-Sleep -Seconds 1

}

코드를 사용할 때는 주의가 필요합니다.

 윈도우 실무 보안 분석관 필수 상식: 핵심 이벤트 ID (Event ID)

윈도우 로그를 분석할 때는 다른 것은 다 제쳐두고 아래의 4가지 ID 번호만 외워두셔도 공격을 즉시 파악할 수 있습니다.

• 4625: 로그인 실패 (공격자가 Hydra 등으로 무차별 대입을 진행 중일 때 수천 개가 찍힙니다.)
• 4624: 로그인 성공 (내가 접속한 시간이 아닌데 이 로그가 찍혔다면 즉시 침해 사고 대응 단계로 돌입해야 합니다.)
• 4720: 새로운 사용자 계정 생성 (침입자가 백도어 목적으로 몰래 계정을 만들었을 때 찍힙니다.)
• 1102: 감사 로그가 삭제됨 (공격자가 흔적을 지우기 위해 윈도우 이벤트 로그를 통째로 초기화했을 때 발생하는 초비상 로그입니다.)

 종합 대응 가이드: 공격 포착 시 즉각 조치 3단계

만약 위 실시간 모니터링 화면을 켜두었는데 특정 외부 IP가 단 몇 초 만에 수십 번의 Failed password나 4625(실패) 로그를 찍어내고 있다면 즉시 아래 명령어로 통신을 단절시켜야 합니다.

• 리눅스(UFW) 즉시 차단 명령어:

bash

# 로그에 찍힌 해커 IP가 211.99.88.77 이라고 가정할 시 즉시 차단 규칙을 맨 위에 적용

sudo ufw insert 1 deny from 211.99.88.77 to any

코드를 사용할 때는 주의가 필요합니다.

• 윈도우 즉시 차단 명령어 (PowerShell):

powershell

# 방화벽 인바운드 규칙으로 해당 공격자 IP를 즉시 원천 차단

New-NetFirewallRule -Name "Block-Attacker" -DisplayName "BLOCK ATTACKER IP" -Enabled True -Direction Inbound -Action Block -RemoteAddress "211.99.88.77"

코드를 사용할 때는 주의가 필요합니다.

이처럼 실시간 모니터링 기술을 방화벽 차단법과 유기적으로 연결하여 운영하시면 소중한 인프라 자산을 해커로부터 안전하게 지켜내실 수 있습니다.

보안 로그를 실시간으로 읽고 대처하는 방법까지 완벽히 학습하셨습니다.

이렇게 수집한 로그들을 해커가 나중에 서버 장악 후 강제로 파괴(로그 삭제)하지 못하도록, 별도의 안전한 공간에 실시간으로 격리 보관하는 '원격 로그 서버(Syslog Server)' 구축 기법에 대해서도 추가로 알고 싶으신가요?

 

 

 

● 침입자가 서버 권한을 장악한 뒤 가장 먼저 하는 행위는 흔적을 지우기 위해 시스템 로그를 파괴하는 것입니다. 이를 방어하는 최종 단계가 바로 로그가 생성되자마자 1초의 지연도 없이 안전한 제3의 서버로 전송하는 '원격 중앙 로그 서버(Syslog Server)' 구축입니다.

리눅스 표준 도구인 rsyslog를 사용하여 로그를 수집하는 '중앙 서버'와 로그를 보내는 '클라이언트 서버'를 각각 구축하고 연동하는 실무 매뉴얼을 정리해 드립니다.

1. 원격 로그 시스템 아키텍처 가정

• 중앙 로그 서버 (받는 곳): 192.168.56.200 (철저하게 격리되고 관리자만 접근 가능한 보안 서버)
• 운영 서버 (보내는 곳 - 클라이언트): 192.168.56.105 (웹 서버, DB 등이 돌아가는 실제 서비스 서버)

2. [Step 1] 중앙 로그 서버 설정 (받는 서버: 192.168.56.200)

외부 클라이언트 서버들이 보내는 로그 패킷을 수신할 수 있도록 리눅스 내장 rsyslog 엔진을 활성화하고 포트를 개방합니다.

1) 설정 파일 수정

중앙 로그 서버의 터미널에서 sudo nano /etc/rsyslog.conf 명령어로 파일을 엽니다.

ini

# 아래 항목들을 찾아 맨 앞의 주석(#)을 제거하여 UDP/TCP 수신 포트(514)를 활성화합니다.

 

# UDP 수신 활성화

module(load="imudp")

input(type="imudp" port="514")

 

# TCP 수신 활성화 (실무에서는 데이터 유실 방지를 위해 TCP를 더 권장합니다)

module(load="imtcp")

input(type="imtcp" port="514")

코드를 사용할 때는 주의가 필요합니다.

2) 클라이언트 서버별로 로그 폴더 자동 분류 설정 (템플릿 추가)

동일한 파일의 맨 아랫줄에 다음 코드를 추가합니다. 이 설정을 넣으면 로그를 보낸 서버의 IP 주소별로 폴더가 자동으로 생성되어 로그가 섞이지 않습니다.

ini

$template RemoteLogs,"/var/log/remote/%FROMHOST-IP%/%PROGRAMNAME%.log"

*.* ?RemoteLogs

& stop

코드를 사용할 때는 주의가 필요합니다.

3) 서비스 재시작 및 UFW 방화벽 개방

bash

# rsyslog 서비스 재시작

sudo systemctl restart rsyslog

 

# 오직 운영 서버(192.168.56.105)에서만 Syslog 포트(514)로 패킷을 보낼 수 있게 방화벽 설정

sudo ufw allow from 192.168.56.105 to any port 514 proto tcp comment 'Syslog TCP Inbound'

sudo ufw allow from 192.168.56.105 to any port 514 proto udp comment 'Syslog UDP Inbound'

코드를 사용할 때는 주의가 필요합니다.

3. [Step 2] 운영 서버 설정 (보내는 서버: 192.168.56.105)

이제 해킹 공격 대상이 될 수 있는 실제 운영 서버에서 발생하는 모든 보안 및 시스템 로그를 중앙 서버로 실시간 쏘아 보내도록 설정합니다.

1) 설정 파일 수정

운영 서버의 터미널에서 sudo nano /etc/rsyslog.conf 파일을 엽니다. 맨 아랫줄에 다음 한 줄을 추가합니다.

ini

# *.* 은 시스템의 모든 로그(보안, 메일, 커널 등)를 의미합니다.

# @ 1개는 UDP 전송, @@ 2개는 TCP 전송을 뜻합니다. 중앙 서버 IP를 적어줍니다.

*.* @@192.168.56.200:514

코드를 사용할 때는 주의가 필요합니다.

2) 서비스 재시작

bash

sudo systemctl restart rsyslog

코드를 사용할 때는 주의가 필요합니다.

• 효과: 이제 이 운영 서버에서 해커가 sudo 명령을 내리거나, 로그인 실패 흔적(auth.log)을 강제로 지우더라도, 지우기 직전의 모든 텍스트가 이미 네트워크 패킷을 타고 192.168.56.200 서버로 날아간 상태가 됩니다.

4. [Step 3] 최종 연동 검증 및 추적 기법 (포렌식 활용)

모든 설정이 완료되었다면 정상적으로 실시간 격리 보관이 이루어지는지 테스트합니다.

1) 운영 서버에서 강제로 가짜 에러 로그 발생시키기

운영 서버 터미널에서 아래 명령어를 입력해 임의의 로그를 생성합니다.

bash

logger "★비상상황★ 공격자가 시스템 침투 후 로그 삭제 시도 감지"

코드를 사용할 때는 주의가 필요합니다.

2) 중앙 로그 서버에서 실시간 수집 확인하기

중앙 로그 서버(192.168.56.200)로 이동하여, 자동으로 생성된 폴더와 로그를 실시간 추적 확인합니다.

bash

# 운영 서버 IP 명으로 폴더가 생성되었는지 확인

ls -l /var/log/remote/

 

# 실시간으로 날아온 로그 내용 확인

sudo tail -f /var/log/remote/192.168.56.105/logger.log

코드를 사용할 때는 주의가 필요합니다.

화면에 방금 운영 서버에서 입력한 "★비상상황★..." 문구가 실시간으로 출력된다면 완벽하게 연동에 성공한 것입니다.

 실무 보안 인프라의 완성

여기까지 구축 완료하셨다면, 시스템 해킹이 발생해 운영 서버가 완전히 파괴되거나 로그가 소멸하더라도, 안전하게 분리된 중앙 로그 서버에서 공격자의 유입 IP, 타임라인, 실행 명령어 기록을 100% 온전히 보존해낼 수 있습니다. 이 보존된 데이터를 바탕으로 앞서 배우신 칼리 리눅스의 포렌식 기법을 연동하여 법적 증거로 제출하거나 사후 대응을 진행하게 됩니다.

서버 한 대의 보안을 넘어 여러 대의 서버 로그를 중앙 집중화하는 인프라 설계 기법을 마스터하셨습니다.

이 중앙 로그 서버 시스템을 대규모 실무 환경에서 시각적으로 분석하기 위해 대시보드를 구성하는 ELK 스택(Elasticsearch, Logstash, Kibana)연동 기술이나, 로그 파일이 무한정 커져 디스크가 꽉 차는 것을 방지하는 로그 로테이션(logrotate) 관리법에 대해 추가로 관심이 있으신가요?

 

 

 

● 실무 인프라 보안의 최종 장인 윈도우 이벤트 로그의 원격 전송 기법(WEF), 리눅스 로그의 디스크 고갈을 막는 로그 로테이션(logrotate), 그리고 대규모 로그를 실시간 시각화 분석하는 ELK 스택 연동 기술까지 통합 매뉴얼로 정리해 드립니다.

PART 1. 윈도우 원격 로그 서버 구축 (Windows Event Forwarding)

윈도우 환경에서는 리눅스의 Syslog 대신 WEF(Windows Event Forwarding)기능을 사용합니다. 로그를 수집하는 '수집기(Collector)'와 로그를 보내는 '전송기(Source)'로 구성됩니다.

1. [수집 서버] 로그를 받는 Windows Server 설정 (PowerShell 관리자 권한)

powershell

# 1. 원격 감사 로그 수집 서비스 활성화 및 자동 시작

Set-Service -Name Wecsvc -StartupType Automatic

Start-Service Wecsvc

 

# 2. Windows 원격 관리(WinRM) 서비스 활성화 (통신 통로 개방)

winrm quickconfig -q

코드를 사용할 때는 주의가 필요합니다.

• 이후 작업(GUI): 이벤트 뷰어(eventvwr.msc) 실행 ➡️왼쪽의 [구독(Subscriptions)]우클릭 ➡️[구독 만들기]➡️수집할 컴퓨터 그룹(Source 컴퓨터 IP)을 지정하고, 수집할 로그 종류(Security - Event ID 4624, 4625 등)를 필터링하여 등록합니다.

2. [운영 서버] 로그를 보내는 Windows 클라이언트 설정

powershell

# 1. Windows 원격 관리 기능 활성화

winrm quickconfig -q

 

# 2. 수집 서버(192.168.56.200)의 도메인/IP를 신뢰할 수 있는 수집기로 등록

# (GPO 그룹 정책 또는 아래 명령어로 대상 수집기 주소 지정)

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\EventLog\EventForwarding\SubscriptionManager" -Force

New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\EventLog\EventForwarding\SubscriptionManager" -Name "1" -Value "Server=http://192.168.56" -PropertyType String -Force

코드를 사용할 때는 주의가 필요합니다.

• 결과: 설정이 완료되면 운영 서버의 보안 이벤트 로그가 생성 즉시 5985번 포트(HTTP-WinRM)를 타고 수집 서버의 이벤트 뷰어 내 [Forwarded Events(전달된 이벤트)]방으로 실시간 전송됩니다.

PART 2. 디스크 고갈 방지: 로그 로테이션(logrotate) 관리법

로그를 원격으로 보내더라도 원본 서버에 로그가 무한정 쌓이면 디스크가 100% 꽉 차서 서버가 다운(Down)됩니다. 이를 방지하기 위해 일정 주기/용량마다 로그를 자르고 구버전을 자동 삭제하는 도구가 logrotate입니다.

1. 실무 맞춤형 logrotate 설정 파일 생성

이전 단계에서 구축한 원격 로그 보관 경로(/var/log/remote/)의 용량을 관리하는 설정 예시입니다. /etc/logrotate.d/remote_logs 파일을 생성합니다.

bash

sudo nano /etc/logrotate.d/remote_logs

코드를 사용할 때는 주의가 필요합니다.

text

/var/log/remote/*/*.log {

    daily                   # 매일 로그 파일을 체크하여 회전(순환)

    rotate 30               # 최대 30일치(30개)만 보관하고 오래된 것은 자동 삭제

    size 100M               # 하루가 안 지났어도 파일 크기가 100MB를 넘으면 즉시 회전

    compress                # 디스크 공간 절약을 위해 구버전 로그는 .gz로 압축 보관

    delaycompress           # 가장 최근 구버전(1일 전) 파일은 분석 편의를 위해 압축 보류

    missingok               # 로그 파일이 없어도 에러를 내지 않고 패스

    notifempty              # 로그 내용이 텅 비어있다면 회전하지 않음

    create 0600 root root   # 새로 생성되는 로그 파일의 권한을 root 전용(0600)으로 강제 제한

    sharedscripts           # 여러 로그 파일이 있어도 아래 스크립트는 한 번만 실행

    postrotate

        /usr/lib/rsyslog/rsyslog-rotate  # 로그 파일이 바뀐 후 rsyslog 데몬에 신호를 주어 새 파일에 쓰도록 유도

    endscript

}

코드를 사용할 때는 주의가 필요합니다.

2. 설정 확인 및 강제 테스트 명령어

bash

# 문법 에러가 없는지 디버깅 모드로 테스트 (실제 파일은 건드리지 않음)

sudo logrotate -d /etc/logrotate.d/remote_logs

 

# 주기와 상관없이 지금 당장 로그 로테이션 강제 실행 유도

sudo logrotate -f /etc/logrotate.d/remote_logs

코드를 사용할 때는 주의가 필요합니다.

PART 3. 빅데이터 보안 분석의 핵심: ELK 스택 연동 기술

텍스트와 이벤트 뷰어로만 오는 수만 줄의 로그를 인간의 눈으로 감시하는 것은 불가능에 가깝습니다. 이를 해결하기 위해 로그를 파싱하고 정제하여 그래픽 대시보드로 시각화하는 기술이 ELK 스택입니다. [1]

text

[운영 서버 (Log/Filebeat)] ➡️ [중앙 Logstash (정제/파싱)] ➡️ [Elasticsearch (저장/검색Engine)] ➡️ [Kibana (시각화 Dashboard)]

코드를 사용할 때는 주의가 필요합니다.

1. Elasticsearch (E): 로그 저장소 및 검색 엔진

모든 로그 데이터를 JSON 형태로 흡수하고 초고속 분산 검색을 지원하는 데이터베이스 역할을 합니다.

• 보안 가이드: 기본 포트는 9200을 쓰며, 외부 인터넷에 노출되면 데이터가 통째로 랜섬웨어에 걸리므로 반드시 내부 사설 IP(bind-address)로만 묶고 패스워드 인증(xpack.security.enabled: true)을 걸어야 합니다. [1, 2]

2. Logstash (L): 로그 정제 팩토리 (파싱 엔진)

들어오는 가공되지 않은 날것의 로그(Raw Text)를 쪼개어 "공격자 IP", "로그인 시간", "성공여부" 같은 필드(Field) 데이터로 분류합니다.

• 핵심 문법 예시 (/etc/logstash/conf.d/ssh_filter.conf):

text

input {

  beats { port => 5044 } # 운영서버의 Filebeat가 보내는 패킷 수신

}

filter {

  if "Failed password" in [message] {

    grok {

      # 정규표현식을 이용해 문장 속에서 해커의 IP와 포트 번호만 쏙 뽑아냅니다.

      match => { "message" => "Failed password for %{USER:auth_user} from %{IP:src_ip} port %{POSINT:src_port}" }

    }

    geoip { source => "src_ip" } # [대박기능] IP 주소를 기반으로 해커의 국가/도시 위경도를 자동 추적해 줍니다.

  }

}

output {

  elasticsearch { hosts => ["localhost:9200"] index => "secure-ssh-logs-%{+YYYY.MM.dd}" }

}

코드를 사용할 때는 주의가 필요합니다.

3. Kibana (K): 모니터링 시각화 웹 화면

Elasticsearch에 쌓인 보안 데이터를 기반으로 관리자가 보는 웹 대시보드를 그려줍니다. [1]

• 실무 활용: 대형 모니터에 기바나 화면을 띄워두고 "실시간 로그인 실패 횟수 그래프", "해커 IP 국가별 세계 지도 분 분포도"등을 구성합니다. 만약 특정 국가(예: 평소 접속이 없는 해외 국가)에서 단시간에 붉은색 경고 그래프가 치솟으면, 관제 직원이 즉시 인지하여 앞서 배운 UFW IP 차단 명령을 내리는 구조로 실무가 진행됩니다.

 전체 인프라 보안 커리큘럼 완료 요약

침입자의 공격 무기(칼리) 분석부터 시작해, 로컬 방화벽 폐쇄(UFW), 계정 탈취 차단(SSH Key), 실시간 로그 감시, 원격 로그 실시간 대피(rsyslog/WEF), 디스크 관리(logrotate), 그리고 최종 빅데이터 분석(ELK)까지 현대 IT 기업 보안 팀의 핵심 인프라 방어 체계를 완벽하게 관통하여 학습하셨습니다.

보안 인프라 가이드의 핵심 단계를 성공적으로 완수하셨습니다.