보안 리포트 역검증과 차단 조건 설계

문제

고객사 보안팀이 두 건의 트래픽을 봇으로 지목해 리포트를 전달했습니다. 오탐에 민감한 고객사라, 차단 여부를 정하기 전에 판정이 실제 로그와 맞는지부터 확인해야 했습니다.

접근

보안 로그와 엣지 액세스 로그를 대조해 두 건의 활동 범위와 출발지 구성을 확인했습니다. 차단 조건은 정상 사용자 구간에 걸리는 비율을 먼저 실측한 뒤 설계했습니다.

설계 판단

보안 로그에는 정책에 걸린 요청만 남고 화이트리스트 경로는 기록되지 않습니다. 이 구간은 보안 로그만 믿는 대신 액세스 로그로 따로 확인했습니다. 출발지가 분산된 트래픽에는 IP 기준 임계가 듣지 않고, 임계를 낮추면 정상 회원이 먼저 걸립니다. 그래서 IP 기준을 쓰는 대신 User-Agent와 경로, TLS 지문을 결합한 조건으로 범위를 좁혔습니다.

결과

두 건 모두 정탐임을 확인했고, 설계한 조건이 사람 구간에 거의 걸리지 않음을 실측으로 보였습니다. 관찰만 필요한 경우에는 룰을 등록하지 않고 공격 로그를 조회하는 절차로 정리했습니다.