KO
도입 문의

Anomaly Detection

누가 어떤 이상 행위를 했는지 찾아내고 소명까지 받습니다

세 제품의 감사 기록을 사람 단위로 모아 탐지 규칙과 대조합니다. 걸린 행위는 사람별 검토 건이 되고, 당사자의 소명과 검토자의 검토 결과를 거쳐 월간 점검 보고서로 남습니다.

이상 행위 탐지란

이상 행위 탐지는 감사 기록에서 정책을 어긴 행위나 평소와 다른 행위를 찾아 사람별로 묶고, 검토자가 결론을 내게 하는 기능입니다.

Management 가 감사 저장소를 10초마다 읽어 켜진 탐지 규칙과 대조합니다. DAC 의 SQL 문장과 조회 결과, Server Gateway 의 명령과 파일 전송, AI Gateway 의 프롬프트가 모두 같은 사람 이름으로 남아 있으므로, 한 사람이 DB, 서버, AI 서비스에서 한 일을 함께 봅니다.

탐지에서 끝나지 않고 당사자에게 이유를 묻는 소명, 검토자의 검토 결과, 정상 업무로 확인한 행위의 예외, 한 달의 점검을 모은 월간 점검 보고서까지 이어집니다. 별도의 분석 제품을 연결하지 않아도 됩니다.

흐름

기록에서 검토 결과까지

탐지 규칙에 걸린 기록은 같은 규칙, 같은 사람, 같은 목적지, 같은 날 단위의 검토 건으로 묶여 검토를 기다립니다.

DACSQL 문장, 조회 결과AI Gateway프롬프트, 도구 호출Server Gateway명령, 파일 전송감사 저장소사람 이름으로 모인 기록이상 행위 탐지탐지 규칙과 대조차단된 시도민감 정보 대량 조회업무시간 외 접근신규 IP 에서 접속누가 어떤 이상 행위를 했는가사람별 검토 건소명당사자가 에이전트로 답합니다검토 결과위반, 정상 업무, 오탐월간 점검 보고서매월 1일에 지난달 보고서

탐지 규칙

프리셋 아홉 개로 시작합니다

규칙은 프리셋을 복사해 시작하고, 범위(목적지, 사람, 그룹), 횟수, 중요도, 자동 소명 요청을 정합니다. 모든 값은 목록에서 선택하므로 오타 하나로 규칙이 조용히 꺼지지 않습니다.

탐지 규칙제품기본 조건중요도
차단된 SQL 실행 시도DAC한 건마다보통
제한된 서버 명령 실행 시도Server Gateway한 건마다보통
AI 에 민감 정보 전달 시도AI Gateway한 건마다높음
허용되지 않은 접속 시도DACAI GatewayServer Gateway60분 안에 3건 이상보통
게이트웨이에서 막힌 접속 시도공통60분 안에 3건 이상보통
민감 정보 잦은 조회DAC60분 안에 100건 이상보통
민감 정보 대량 조회DAC60분 안에 1,000행 이상높음
업무시간 외 접근DACServer Gateway한 건마다보통
신규 IP 대역에서 접속DACServer Gateway한 건마다(사람마다 14일 학습 뒤)보통

프리셋은 모두 검토 건이 생기면 당사자에게 소명을 자동으로 요청합니다. 규칙은 켠 뒤에 발생한 기록에만 적용하고, 업무시간과 공휴일, 출발지 학습 기간은 탐지 설정에서 정합니다.

검토와 소명

탐지한 행위마다 결론을 남깁니다

검토자는 검출 목록에서 한 사람의 기록을 선택해 소명을 요청하거나 바로 검토합니다. 모든 변경은 이력에 남고 체인으로 봉인됩니다.

  1. 검토 건

    같은 규칙, 같은 사람, 같은 목적지, 같은 날의 탐지 기록을 한 건으로 묶습니다. 감사 원문(SQL, 프롬프트)은 복사하지 않고 요약만 남깁니다.

  2. 소명 요청

    당사자에게 그 행위를 왜 했는지 묻습니다. 당사자에게는 "이상 행위" 라는 말 대신 "소명 요청" 으로 보입니다.

  3. 소명

    당사자는 데스크톱 에이전트에서 자신이 실행한 문장을 보고, 분류(업무 수행, 테스트, 실수, 지시나 승인, 내가 하지 않음 등)와 설명을 적어 답합니다.

  4. 소명 승인

    사용하도록 설정하면 당사자의 소명 승인자가 에이전트에서 소명을 확인합니다. 확인은 근거이고 결론은 검토자가 냅니다.

  5. 검토 결과

    위반, 정상 업무, 오탐(규칙 문제), 오탐(데이터 문제), 판단 불가 중에서 선택하고 의견을 적습니다. 위반이면 취한 조치를 함께 남깁니다.

  6. 예외

    정상 업무로 확인한 행위는 범위와 만료일을 정해 그때까지 다시 탐지하지 않습니다.

월간 점검 보고서

매월 1일에 지난달의 탐지, 검토, 소명, 예외를 모은 보고서를 만듭니다. 「개인정보의 안전성 확보조치 기준」 제8조 제2항이 요구하는 월 1회 이상의 접속기록 점검을 했다는 근거로 남깁니다. 보고서는 고치지 않고, 다시 만들면 새 보고서가 생깁니다.

  • 탐지: 검토 건 수, 사람 수, 규칙별과 중요도별 수
  • 검토: 결과별 수와 위반으로 검토한 건의 조치
  • 소명: 요청, 제출, 늦은 제출, 본인 부인, 미제출
  • 예외: 새로 만든 것, 해제한 것, 적용 중인 것
  • 점검하지 못한 구간: 검증하지 못한 감사 기록과 체인 단절
검토 건 예시소명 대기

kim.dev@corp

행위
민감 정보 대량 조회
조건
60분 안에 1,000행 이상
목적지
orders-db (PostgreSQL)
시각
22:14, 업무시간 외
반환 행 수
1,240행

설명을 위한 예시입니다. 사람 이름과 수치는 실제 기록이 아닙니다.

함께 동작하는 것

2026년 10월 기준

읽는 기록
DAC, AI Gateway, Server Gateway 의 감사 기록(OpenSearch, Elasticsearch, 관계형 DB)
소명 답변
데스크톱 에이전트(macOS, Windows)
SIEM 전달
검토 건의 생성, 소명 제출, 소명 승인, 검토 결과, 다시 열기(syslog, Splunk HEC)
이력
규칙, 검토, 소명, 예외의 모든 변경을 체인으로 봉인하고 하루 한 번 검증합니다
알림
당사자가 "내가 하지 않음" 으로 답하면 검토자에게 바로 메일을 보냅니다

알려진 제약

  • 규칙은 켠 뒤에 발생한 기록에만 적용합니다. 지난 기록을 소급해 탐지하지 않습니다.
  • 원문 조회 기록을 끈 서비스에서는 마스킹하지 않은 민감 필드 조회가 기록되지 않아 탐지되지 않습니다.
  • 업무시간 외 접근과 신규 IP 접속은 계정이 있는 사람의 기록만 봅니다.
  • 에이전트 없이 접속한 기록(발급 주소, 가상 키)은 자동으로 소명을 요청하지 않습니다. 검토자가 직접 요청할 수는 있습니다.
  • 소명은 최근 90일 안에 데스크톱 에이전트로 로그인한 사람에게만 요청할 수 있습니다.

우리 환경에서 BeeHind 를 확인해 보십시오

보호할 DB, 서버, AI 서비스와 망 구성을 알려 주시면 맞는 구성과 도입 순서를 안내해 드립니다. 서버 한 대로 시작할 수 있습니다.

도입 문의하기자주 묻는 질문