고객 명은 동의를 받지 못해서 오픈하기는 어렵습니다만, 국내에서 보안 usecase 로는 8~10TB/day 가량됩니다.
GDPR은 특정제품 도입으로 충족된다기보다는 조직 전반의 보안 프랙티스이기 때문에 약간 다른 측면에서 바라보아야 할 것 같습니다. GDPR 위반에 대한 탐지용으로 사용할 수 있느냐는 질문이시라면, GDPR에서 정의한 일부 항목에 대해 부분적으로 그럴 수 있을 것 같습니다.
초과 하더라도 수집을 제한하지 않습니다. 모두 인덱싱 됩니다.
백업은 필요하면 구축하실 수 있으나, 보통 데이터량이 많기 때문에 백업 보다는 clustering 기술을 통해서 장애 대응을 하는 경우가 많습니다.
네 맞습니다.
UBA는 제품이 동작하기 위해서 필수로 필요한 데이터 종류 리스트가 있고, 추가로 분석에 도움이되는 데이터 종류 리스트가 있습니다.
ES는 Enterprise Security 라고 SIEM 솔루션입니다. UBA는 User Behavior Analysis 입니다.
원하시면 Splunk에 있는 데이터를 api로 받아서 사용하실 수도 있습니다. 스플렁크에 자체 대시보드가 있기 때문에 SPL을 이용하면 더 간단히 조회 하실 수 있습니다.
전통적으로 스플렁크 라이센스는 하루에 수집하는 데이터 총량 기준으로 책정됩니다. 최근에 vCPU 기반으로 라이센스를 측정하는 방법도 추가 되었습니다.
아닙니다. Splunk 텍스트로 된 데이터를 저장 분석하는 엔진입니다.
Splunk에서 사용할 수 있는 머신러닝은 Machine Learning Toolkit과 Deep Learning Toolit 을 통해서 제공되는 알고리즘들을 이용할 수 있습니다. 그 외에 ES, UBA를 통해서 built in 되어있는 머신러닝 기능을 업무에 활용하는 방법이 있습니다. 강화학습은 아직 제품내에 적용되어 있지 않습니다.
알고계신것처럼 유연하게 원하는 대시보드를 마음대로 만들수있는 장점과 더불어서 Enterprise Security라는 프리미엄 앱을 이용하면 빌트인되어있는 보안 업무 플로우를 활용할 수 있습니다. ES Contents Update를 이용해서 최근 유행하는 공격에 대한 Analytic Story를 피드 받아서 우리 환경에 적용하는 것도 가능합니다.
timestamp를 가지는 시계열 이벤트 데이터라면, 데이터의 형식과 수집 프로토콜에 제약없이 수집하고 모니터링할 수 있습니다.
데이터를 가지고 인사이트를 얻어내고 엑션을 해야 하는 모든 영역에 활용할 수 있습니다. ML Toolkit 으로 제공되는 머신러닝 기능을 활용하실 수도 있구요.
반갑습니다
안녕하세요. 스플렁크 장경운입니다. 오늘 진행중에 기술적인 질문이 있으시면 제가 도와드리도록 하겠습니다.
스플렁크는 "시계열 이벤트 데이터"를 수집/저장/분석할 수 있는 플랫폼입니다. timestamp가 있는 텍스트 형태의 이벤트/로그 등이 주 대상이고, 센서나 시스템의 성능 메트릭, 개발자가 만들어 놓은 임의의 로그 파일, db connect를 통해 수집한 DB table의 데이터, stream app을 통해 수집한 네트워크 패킷, 보안 장비가 보내는 탐지 로그 등등이 그 예가 되겠습니다. 사람이 작성해 놓은 일반 "문서"등은 Splunk가 수집하고자 하는 대상 데이터는 아닙니다.
https://conf.splunk.com/watch/conf-online.html?#/ 여기에 보시면 저희 글로벌 사례들이 많이 소개되어 있습니다. 참고하시기 바랍니다.
안녕하세요. 조만간 토크아이티 홈페이지의 "발표자료&다시보기" 링크에서 다시 보실 수 있습니다.
Splunk 도커 이미지 https://hub.docker.com/r/splunk/splunk/ Splunk로 Kubernetes환경 모니터링 하기 예제 https://splunkbase.splunk.com/app/3743/
