감사 로그
KIOPS에서 시스템 감사 로그를 조회하고 분석하는 방법을 안내합니다.
감사 로그가 왜 필요한가요?
감사 로그는 시스템에서 발생한 모든 활동의 기록입니다. 보안 감사, 문제 해결, 규정 준수에 필수적입니다.
- 보안 침해 발생: 감사 로그 없이는 누가 무엇을 했는지 알 수 없지만, 사용 시 침입 경로와 영향 범위를 파악할 수 있습니다.
- 장애 원인 분석: 감사 로그 없이는 추측에 의존해야 하지만, 사용 시 정확한 변경 이력을 추적할 수 있습니다.
- 규정 감사: 감사 로그 없이는 증빙 자료가 없지만, 사용 시 모든 활동 기록으로 감사를 통과할 수 있습니다.
- 권한 오용 탐지: 감사 로그 없이는 발견이 불가능하지만, 사용 시 비정상적인 활동 패턴을 탐지할 수 있습니다.
많은 보안 규정(ISO 27001, SOC 2, GDPR 등)에서 감사 로그 유지를 요구합니다. 적절한 로그 보관 정책은 규정 준수의 핵심입니다.
감사 로그 카테고리
KIOPS는 시스템 전반의 활동을 16가지 카테고리로 분류하여 기록합니다:
| 카테고리 | 코드 | 주요 기록 대상 |
|---|---|---|
| 장비 | device | 장비 등록/수정/삭제 |
| 인프라 | infra | 런타임 환경 등록, 설정 변경 |
| 서비스 | service | 빌드, 배포, 롤백, 서비스 설정 변경 |
| 인증 | auth | 로그인/로그아웃, 비밀번호 변경, 인증 성공/실패 |
| 백업 | backup | 백업 생성, 복구 실행 |
| 데이터베이스 | database | DB 연결 등록/수정, 동기화 작업 |
| 사용자 | user | 역할 변경, 계정 변경 |
| 기관 | organization | 기관 설정 변경, 멤버십 처리 |
| 감사 | audit | 감사 로그 관련 동작(설정 변경 등) |
| VPN | vpn | VPN 프로파일 등록/수정/삭제, 연결 이력 |
| 시크릿 | secret | 시크릿/토큰 등록/수정/삭제 |
| 도메인 | domain | 도메인 등록/수정/삭제 |
| 모니터링 | monitoring | 모니터링 확장 설치/설정 변경 |
| 시스템 | system | 시스템 설정 변경, 점검성 작업 |
| 웹훅 | webhook | 웹훅 등록/수신/이벤트 처리 |
| DB 백업 | db_backup | 데이터베이스 백업/복원 작업 |
보안 감사를 시작할 때는 auth 카테고리로 비정상 로그인 시도를 먼저 확인하고, 이어서 service / infra / backup 카테고리로 주요 변경 이력을 점검하면 효과적입니다.
감사 로그 조회하기
시스템에서 발생한 활동 기록을 확인하는 방법입니다.
필요 권한: audit 권한
Step 1: 감사 로그 페이지 이동
좌측 메뉴에서 **[감사 로그]**를 클릭합니다.
Step 2: 기본 로그 목록 확인
감사 로그 테이블에서 최근 로그 목록을 확인합니다. 각 로그에는 다음 정보가 표시됩니다:
- 시간: 이벤트가 발생한 시간
- 수행자: 작업을 수행한 사용자
- 유형: 카테고리 (예: auth, service, infra, backup 등 16가지)
- 작업: 수행한 작업 (예: create, update, delete)
- 대상: 작업 대상 리소스
- 결과: done(성공) / failed(실패) / pending(대기) / processing(진행중)
Step 3: 로그 상세 보기
로그 항목을 클릭하면 상세 정보를 확인할 수 있습니다:
- 요청 IP 주소
- 요청 상세 내용 (요청 파라미터)
- 변경 전/후 데이터 비교
- 실패 시 에러 메시지
- 요청 식별자(
request_id) 등 추적 정보
로그 필터링하기
특정 조건의 로그만 조회하는 방법입니다.
Step 1: 필터 패널 열기
필터 버튼을 클릭하여 필터 패널을 엽니다.
Step 2: 기간 필터 설정
조회 기간을 선택합니다:
- 오늘: 오늘 발생한 로그만 표시합니다.
- 최근 7일: 최근 1주일간의 로그를 표시합니다.
- 최근 30일: 최근 1개월간의 로그를 표시합니다.
- 사용자 지정: 시작일과 종료일을 직접 입력합니다.
Step 3: 유형 필터 설정
이벤트 카테고리를 선택합니다. KIOPS는 16가지 카테고리(device, infra, service, auth, backup, database, user, organization, audit, vpn, secret, domain, monitoring, system, webhook, db_backup)를 제공하며, 다중 선택이 가능합니다.
Step 4: 사용자 필터 설정
특정 사용자의 활동만 보려면 사용자를 선택합니다.
Step 5: 결과 필터 설정
결과 상태를 선택합니다. 결과 값은 done(성공) / failed(실패) / pending(대기) / processing(진행중)이며, 비동기 작업은 pending → processing → done/failed 순으로 진행됩니다.
- 전체: 모든 결과를 표시합니다.
- 성공: 성공(done)한 작업만 표시합니다.
- 실패: 실패(failed)한 작업만 표시합니다.
- 작업 종류에 따라 대기(pending) / 진행중(processing) 상태의 로그도 존재할 수 있습니다.
Step 6: 필터 적용
적용 버튼을 클릭합니다. 필터 조건에 맞는 로그만 표시됩니다.
로그 검색하기
특정 키워드로 로그를 검색하는 방법입니다.
Step 1: 검색창 사용
검색창에 검색어를 입력합니다. 입력은 디바운스되어 일정 시간 후 자동으로 적용되므로, 매번 Enter를 누르지 않아도 결과가 갱신됩니다. 다음 항목에서 검색됩니다:
- 사용자 이름/이메일
- 리소스 이름
- IP 주소
- 동작 설명
request_id등 추적용 식별자
Step 2: 검색 결과 활용
목록에서 항목을 클릭하면 상세 정보가 열립니다. 다른 화면(알림, 서비스 상세 등)의 딥링크를 통해 감사 로그로 진입할 경우, 해당 로그 항목이 자동으로 선택/스크롤되어 표시됩니다.
로그 내보내기
감사 로그를 파일로 내보내는 방법입니다.
Step 1: 내보내기 모달 열기
내보내기 버튼을 클릭합니다. 내보내기는 항상 현재 필터(검색) 결과 전체를 대상으로 하며, 모달 상단에 "현재 검색된 총 N건의 데이터를 다운로드합니다"라고 대상 건수가 표시됩니다. 체크박스로 일부 항목만 선택해 내보내거나 필터와 무관한 전체 로그를 내보내는 옵션은 제공되지 않으므로, 내보낼 범위는 먼저 필터/검색으로 좁혀 두세요.
Step 2: 내보내기 형식 선택
형식을 선택합니다. 현재 감사 로그 내보내기는 두 가지 형식만 지원합니다:
- xlsx (기본): 스프레드시트에서 바로 열어 분석할 수 있습니다.
- CSV: 다른 도구로 후처리하거나 대량 데이터 처리에 적합합니다.
Step 3: 내보내기 실행
내보내기 버튼을 클릭합니다. 파일이 다운로드됩니다.
보안 이벤트 모니터링
의심스러운 활동을 모니터링하는 방법입니다.
Step 1: 보안 이벤트 필터 적용
다음 조건으로 필터링합니다:
- 유형: 인증
- 결과: 실패
Step 2: 로그인 실패 패턴 확인
다음 패턴에 주의하세요:
- 동일 IP에서 다수 실패: 무차별 대입 공격 가능성이 있습니다.
- 동일 계정으로 다수 실패: 계정 탈취 시도 가능성이 있습니다.
- 비정상 시간대 접근: 권한 없는 접근 가능성이 있습니다.
Step 3: 권한 변경 이력 확인
유형 필터를 "권한"으로 변경하여 비정상적인 권한 변경이 있는지 확인합니다.
감사 로그 페이지 자체에는 임계치 기반 자동 알림 설정 기능이 제공되지 않습니다. "5분 내 로그인 실패 N회" 등 실시간 룰 기반 경보가 필요하면 감사 로그를 외부 SIEM/로그 분석 도구에 연동하여 운용하는 것을 권장합니다.
로그 보관 정책
감사 로그는 운영 정책에 따라 일정 기간 동안 보관됩니다. 구체적인 보관 일수는 환경 및 운영 정책에 따라 달라질 수 있으며, 일반적으로 다음과 같이 분류됩니다:
- 보안성 카테고리(auth, user, organization 등): 보안 감사 요구사항을 충족하기 위해 비교적 장기간 보관됩니다.
- 운영성 카테고리(service, infra, backup, monitoring 등): 운영 분석에 충분한 기간 동안 보관됩니다.
- 아카이브: 별도 아카이브 정책이 설정된 경우, 보관 기간을 초과한 로그가 장기 스토리지로 이동될 수 있습니다.
개인정보보호법, 정보통신망법 등 관련 법령에 따라 특정 로그는 법정 보관 기간을 준수해야 합니다. 정확한 보관 일수와 정책은 조직의 보안/법무팀과 상의하여 결정하세요.
자주 묻는 질문
특정 사용자의 활동만 보고 싶습니다
다음 방법 중 하나를 사용하세요:
- 사용자 필터: 필터 패널에서 원하는 사용자를 선택합니다.
- 고급 검색: 검색창에
user:이메일주소를 입력하여 검색합니다. - 결과 정렬: 사용자 컬럼을 클릭하여 정렬합니다.
로그가 너무 많아 찾기 어렵습니다
- 기간 좁히기: 문제가 발생한 시간대로 범위 제한
- 유형 선택: 관련 이벤트 유형만 필터링
- 결과 필터: 실패한 작업만 보기
- 고급 검색:
action:delete resource:my-service처럼 조합 검색
오래된 로그가 보이지 않습니다
보관 정책을 확인하세요. 보관 기간이 지난 로그는 자동 삭제되었을 수 있습니다. 아카이브가 설정되어 있다면 아카이브 스토리지에서 확인 가능합니다.
로그 내보내기가 안 됩니다
원인 및 해결 방법:
- 권한 부족:
audit권한이 있는지 확인하세요. - 데이터 크기 초과: 기간을 나누어 여러 번 내보내세요.
- 브라우저 문제: 다른 브라우저로 시도하거나 팝업 차단을 해제하세요.