[Linux] Graylog Alerts 항목 상세 설명

카테고리 없음

tech-record 2026. 7. 27. 21:33

Search within the last (최근 검색 범위)
- 의미: "과거 어느 시점부터 지금까지의 로그를 뒤져볼 것인가?"를 정합니다.
- 예시: 1 hours로 설정하면, 알람이 작동할 때마다 항상 최근 1시간 동안의 로그만 싹 긁어와서 검사합니다.
Execute search every (검사 실행 주기)
- 의미: "위에서 정한 검색 작업을 얼마나 자주 반복할 것인가?"를 정합니다.
- 예시: 1 minutes로 설정하면, 1분마다 쉬지 않고 최근 1시간어치 로그를 계속 뒤져봅니다. (가장 실시간에 가까운 설정입니다.)
Use Cron Scheduling (크론 스케줄링 사용)
- 의미: "매주 금요일 새벽 2시"처럼 아주 복잡하고 특정한 시간에만 알람을 돌리고 싶을 때 사용하는 고급 예약 기능입니다. 평소 실시간 관제에서는 체크하지 않습니다.
Enable (활성화)
- 의미: 이 알람 규칙 전체를 켜고 끄는 메인 전원 스위치입니다. 잠시 알람을 꺼두고 싶을 때 체크를 해제하면 됩니다.

Create Events for Definition if... (알람 발생 조건)
- Filter has results (단순 필터): 내가 검색한 로그가 단 1건이라도 발견되면 즉시 알람을 울립니다. (예: 악성코드 감염 로그, 중요 서버 다운 로그 등 발생 즉시 알아야 하는 치명적 이벤트에 씁니다.)
- Aggregation of results reaches a threshold (임계치 도달): 로그가 1~2건 발생한 건 봐주지만, 내가 정한 횟수(예: 5번)나 용량 이상을 넘기면 알람을 울립니다. (예: 지금 설정하시는 무작위 대입 공격, 과다 트래픽 사용자 탐지 등에 씁니다.)
Filter Preview (필터 미리보기)
- 의미: 현재 적어둔 검색어(예: act:"Failed Log In")로 지금 당장 검색을 돌리면, 결과가 몇 건이나 나오는지 미리 보여주는 테스트 기능입니다.

Aggregation (집계)
- 의미: 찾아낸 로그들을 가지고 수학 계산(합계 sum, 평균 avg, 개수 세기 count 등)을 수행하는 기능입니다.
Group by Field(s) (그룹화 기준 필드) ⭐️ 매우 중요
- 의미: 흩어져 있는 수많은 로그 중에서 "어떤 항목들이 완전히 똑같을 때 한 놈(한 세트)으로 취급할 것인가?"를 정해줍니다.
- 예시: src, src_country, duser 3가지를 넣으셨습니다. 이는 방화벽이 "출발지 IP가 똑같고 + 국가도 똑같고 + 타겟 계정명까지 똑같은" 로그들만 하나의 바구니에 담아서 개수를 샌다는 뜻입니다. 만약 해커가 계정 이름 하나만 바꿔서 공격해도 다른 바구니에 담기게 됩니다.

Grace Period (유예 기간 / 알람 휴식 시간)
- 의미: 동일한 알람이 너무 자주 울려서 슬랙이 도배되는 것을 막아주는 방어막입니다.
- 예시: 60으로 설정하면, 특정 IP(A)가 5번 틀려서 슬랙 알람이 한 번 울린 후에는, 앞으로 60분 동안 A가 100번을 더 틀려도 A에 대한 알람은 무시(음소거)합니다. 단, 새로운 IP(B)가 공격하면 그건 정상적으로 알람이 울립니다.
Message Backlog (메시지 백로그 / 원본 첨부)
- 의미: 슬랙 알람 메시지 하단에 "실제 방화벽 원본 로그를 몇 줄까지 텍스트로 캡처해서 같이 쏴줄 것인가?"를 정하는 숫자입니다.
- 예시: 50으로 설정하면, 알람과 관련된 원본 로그를 최대 50개까지 슬랙 메시지 안에 포함해서 보내줍니다. 이 기능 덕분에 슬랙만 보고도 어떤 포트로, 언제 들어왔는지 바로 파악할 수 있는 것입니다.