Sphere Insight

오늘의 변화

전체 보기

점수	종류	내용	시각

노출 신호

전체 보기

점수	종류	대상	외부 IP

즉시 조치 필요

자산 구성·수집 상태

자산 등급 구성

관리/비관리 비율

장비 유형 분포

제조사 분포

리스크 지수 추이 (최근 90일)

수집 상태

센서	상태	마지막 수신

네트워크 구성도

인터넷 → 네트워크 장비(방화벽/코어 스위치) → VLAN → 자산 순으로 계층형 배치하고, 자산 간 실제 통신도 함께 표시합니다. 수집된 802.1Q 태그가 있는 자산은 실제 VLAN 박스로 묶고, 태그를 못 받은 자산은 서브넷 박스에 "(VLAN 미확인)" 또는 "(태그 없음)" 으로 표시합니다. 여러 VLAN 에서 보인 장비(트렁크/라우터)는 장비 줄에 그대로 둡니다. 장비의 세부 역할까지는 수집 정보가 없어 장비유형으로 근사합니다. 자동 배치, 마우스 휠 확대/축소, 드래그, 미니맵을 지원합니다. 자산을 클릭하면 그 자산의 연결(포트 포함)만 그려지고 오른쪽 패널에 이웃 목록이 뜨며, 더블클릭하거나 패널의 "자산 상세 보기"를 누르면 자산 상세가 열립니다. 빈 곳을 누르거나 Esc 로 선택을 풉니다.

불러오는 중...

전체 자산

삭제된 자산 포함

서브넷

0개 선택됨

	MAC	IP	Hostname	제품(모델)	Vendor	Device Type	OS	Services	최초 발견	최근 활동	위험도	승인상태	담당자	VLAN

중복 자산 관리

같은 물리 장비로 의심되는 자산 쌍입니다(추정). "검토 대기"·"중복 의심" 카드는 사람이 "…을(를) 대표로 병합"을 눌러야 병합되며, 물리 삭제 없이 한쪽을 대표 자산으로 흡수합니다. 근거가 확실해 자동으로 처리된 건(CDP/LLDP 일치 등)은 "처리 완료"에서 확인하고 "되돌리기"로 취소할 수 있습니다.

Raw Data

센서가 보낸 원시 로그를 그대로 조회합니다(저장소를 켠 사이트만).

월	건수	상태	동작

보관은 복사입니다 - 원본은 보존기간이 지나면 저장소가 지웁니다. 이번 달은 아직 쌓이는 중이라 지금 보관하면 그 시점까지만 담기고, 달이 끝나면 자동으로 다시 만듭니다. 불러온 임시 테이블은 24시간 뒤 정리됩니다(압축 보관본은 그대로).

시각	로그	출발	목적	요약

서브넷별 자산 통계

서브넷	자산 수	비관리	위험 자산(중간+높음)	미승인	휴면

VLAN

미러링 트래픽의 802.1Q 태그에서 수집한 VLAN 입니다. VLAN 은 프레임의 L2 속성이라 서브넷과 1:1 이 아닙니다 — 이름·서브넷은 사람이 확정합니다. 최근 7일 안에 3개 이상 VLAN 에서 보인 장비는 트렁크/라우터 등 다중 VLAN 장비로 따로 셉니다.

VLAN ID	이름	서브넷	자산 수	다중 VLAN 장비	센서 / NIC	마지막 관측	상태

센서 관리

Sensor가 데이터를 전송할 때 쓰는 인증 토큰을 센서별로 발급·관리합니다.

이름	설명	상태	마지막 수신	등록일	토큰

등록 코드

설치 프로그램 파일명에 실리는 코드입니다. 발급 응답의 파일명(SphereAgent-Setup-<코드>@<호스트>~<CA 지문>.exe)으로 받은 설치 파일은 별도 설정 없이 이 서버에 연결됩니다.

코드	상태	사용	발급자	발급	만료	메모

에이전트

단말 인증서(mTLS)로 연결된 에이전트입니다. 제거는 여기서 발급한 제거 토큰이 있어야만 가능하고, 폐기하면 즉시 인증이 거부됩니다.

단계(누적 %) · 관찰(분) · 중단 실패율(%). 실패율 초과 또는 하트비트 유실 급증이면 다음 단계를 멈추고 사람이 재개·취소합니다.

Hostname	상태	OS	버전	마지막 수신	NIC · 자산	배치	리소스	정책	인증서	제거 토큰

Agent CA

단말 인증서(mTLS)를 서명하는 CA 입니다. 교체 순서는 새 CA 발급(active) → 옛 CA 는 신뢰만 유지(retiring, 겹침) → 단말 인증서가 새 CA 로 갱신되면 옛 CA 폐기(retired). 옛 CA 인증서를 쓰는 단말이 남아 있으면 폐기가 거부됩니다(강행 시 그 단말은 재등록 필요).

id	상태	라벨	지문	생성	만료	사용 단말

수집 정책

모든 단말이 5분(±20%)마다 받아 서명을 검증한 뒤 원자적으로 적용합니다. 배포 revision 과 단말이 실제 적용한 revision 은 따로 표시됩니다. 값을 고치고 "새 revision 배포"를 누르면 이전 revision 은 이력에 남습니다.

배포 메모 (선택)

규칙 검증 기록

규칙이 구현돼 있다는 것(능력)과 고정 시나리오에서 실제로 사건을 만들었다는 것(검증)을 분리합니다. 규칙별 최신 기록이 현재 상태이고, ATT&CK 매트릭스 API 도 기법마다 이 상태를 함께 냅니다. 기록이 없으면 "미검증" 그대로 보입니다.

규칙	단계	기법	검증 상태	마지막 검증

규칙 예외

단말 규칙(EP-PS-001 지속성 변화, EP-EX-001 의심 부모 실행)의 알려진 정상 패턴입니다. 맞는 관찰은 사건으로 올리지 않고 억제 수만 남깁니다. IOC 는 지표 자체를 중지하세요. 패턴은 대소문자 무시 glob(*, ?).

규칙	필드	패턴	사유	상태	억제	등록

IOC(침해 지표)

해시(SHA-256)·IP·도메인 지표를 등록하면 매시간 단말 이벤트(지속성 파일 해시, 외부 연결 IP)와 대조해 사건으로 올립니다. IOC 일치만으로 ATT&CK 기법을 매핑하지 않습니다. 도메인은 아직 대조할 수집기가 없어 저장만 됩니다.

종류	값	라벨 · 출처	심각도	상태	일치	등록

이벤트 검색

모든 단말의 행위 이벤트를 프로세스·경로·해시·IP·사용자로 찾습니다(ClickHouse). 결과 행의 "타임라인" 으로 그 단말의 전후 맥락을 봅니다.

수신함

에이전트가 보낸 배치의 처리 상태입니다. 영속 수락(durably_received) → 저장 완료(processed) → 처리 실패(processing_failed, 원본 보존·재시도 가능). 무음 폐기는 없습니다. 저장 완료 배치의 원본은 7일 뒤 비우고 영수증은 90일 보존하며, 대기·실패 배치는 시간만으로 지우지 않습니다.

스트림	상태	배치	이벤트

센서 상태

최근 30초 내 데이터를 수신했으면 온라인으로 표시

불러오는 중...

탐지 로그

IP 충돌 · 장비 교체 · MAC 스푸핑 의심 등 이상징후 이벤트 로그입니다.

시각	유형	MAC	상세

클라우드 자산

삭제된 자산 포함

유형	이름	ID	상태	상세	리전	계정	최근 확인	위험도

클라우드 구성도

VPC → 서브넷 → EC2 인스턴스 계층형 배치. 점선은 보안그룹 규칙상 허용된 통신 가능성이며, 온프레미스 토폴로지의 실선 통신 표시와 달리 실제 트래픽 관측이 아닙니다. 연결 가능성 표시

클라우드 계정

등록한 계정의 Access Key 로 EC2 인스턴스/ENI/보안그룹을 주기적으로 폴링합니다. 읽기 전용 IAM 정책(ec2:Describe*, sts:GetCallerIdentity)만 있으면 충분합니다.

프로바이더	별칭	상태	AWS 계정번호	리전	폴링 주기	최근 폴링

Active Directory

도메인 컨트롤러에서 읽기 전용으로 수집한 계정·비밀번호 정책입니다. 연결 시험은 "붙었다"가 아니라 요청했는데 값이 오지 않은 속성을 알려줍니다 — 속성 이름이 틀리거나 권한이 없으면 오류가 아니라 조용히 빈 값이 되기 때문입니다.

–

계정

–

특권 계정

–

비밀번호 무기한

–

점검 위반

–

비밀번호 변경 주기

조직 기준 (일)

AD 자체 정책과 이 기준 중 짧은 쪽을 적용합니다 — AD 가 "만료 없음"이거나 사실상 무한으로 설정된 도메인에서도 조직 기준이 살아 있고, AD 가 더 엄격하면 그쪽이 이깁니다. 세분화 정책(PSO)이 걸린 계정은 PSO 가 우선합니다. 0 이면 AD 정책만 보고 나이는 사실로만 표시합니다(NIST SP 800-63B-4 는 일률적 주기 변경을 요구하지 않습니다 — 다만 국내 ISMS-P 계열 점검은 요구하므로 기본 90일입니다). 비밀번호 만료가 적용되지 않는 계정(만료 없음)은 AD 쪽이 걸리지 않아 이 기준만 받습니다.

변경 주기 초과 계정

계정	종류	표시이름	마지막 변경	경과	적용 기준

점검 결과

계정	종류	점검 항목	심각도	판정	사실	근거

비밀번호 정책

정책	우선순위	최대 사용기간	최소 길이	이력	복잡성	잠금	읽기 상태

계정

특권 계정만 사라진 계정 포함

계정	종류	표시이름	상태	비밀번호 변경	만료	최근 로그온

연결 시험 결과

조회 대상	상태	건수	안 온 속성

외부 시스템

네트워크 장비/보안장비/EDR/SaaS의 API 자격증명을 등록하면, 벤더 자체 API로 가져온 호스트/장비 인벤토리를 MAC 기준으로 기존 자산과 매칭해 능동적으로 검증합니다 (패시브 탐지와 달리 "실제로 있다"를 확인).

이름	유형	공급자	상태	마지막 동기화

Misconfiguration

AWS IAM/EC2/S3/RDS/CloudTrail/GuardDuty/Config/SecurityHub/VPC 설정을 주기적으로 점검해 Misconfiguration을 탐지합니다.

–

심각

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	카테고리	항목	리소스	리전	기법	최근 확인	상태

취약점

자산이 노출한 서비스 배너에서 소프트웨어를 식별해 CVE를 찾고, CVSS(심각도)·EPSS(악용 가능성)· KEV(CISA 실제 악용 확인)를 조합해 우선순위를 매깁니다.

–

심각(KEV)

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	CVE	자산	IP	Hostname	서비스	출처	CVSS	EPSS	최근 확인	상태

미사용 자산

EC2/탄력적 IP/EBS/ENI/보안그룹/VPC 의 연결 관계를 대조해 방치된(연결이 끊기거나 오래 미사용인) 자산을 찾아냅니다.

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	카테고리	항목	리소스	리전	최근 확인	상태

SaaS 탐지

DNS/TLS SNI/HTTP Host 로 도메인을 확인해 레퍼런스 DB와 매칭된 SaaS 사용을 보여줍니다. 세션 수/사용량은 근사치(추정)이며 정밀 트래픽 계측이 아닙니다.

Shadow IT만 보기

이름	벤더	카테고리	사용 자산 수	세션 수(근사치)	최초 사용	최근 사용	Shadow IT

Application 탐지

User-Agent 로 식별된 브라우저/비-브라우저 클라이언트(curl, Python 등)를 보여줍니다. 세션 수는 근사치(추정)입니다.

Shadow IT만 보기

이름	벤더	카테고리	사용 자산 수	세션 수(근사치)	최초 사용	최근 사용	Shadow IT

웹/SNS 탐지

DNS/TLS SNI/HTTP Host 로 식별된 웹사이트·SNS·커뮤니티 접속을 보여줍니다. 세션 수는 근사치(추정)입니다.

Shadow IT만 보기

이름	벤더	카테고리	사용 자산 수	세션 수(근사치)	최초 사용	최근 사용	Shadow IT

원격제어 탐지

TeamViewer/AnyDesk 등 알려진 원격제어 툴 벤더 도메인과의 통신을 보여줍니다. 세션 수는 근사치(추정)입니다. 알려진 벤더 도메인 기준이라 자체 호스팅/미등록 툴은 탐지되지 않을 수 있습니다. 최초 사용 시점에는 승인 여부와 무관하게 알림이 발송됩니다(알림 규칙에서 "원격제어 툴 사용 감지" 설정).

Shadow IT만 보기

이름	벤더	카테고리	사용 자산 수	세션 수(근사치)	최초 사용	최근 사용	Shadow IT

Shadow IT 정책

이름 기준이 벤더/카테고리 기준보다 항상 우선합니다. 아무 항목도 없으면 기본값은 "미승인(Shadow IT 후보)"입니다.

기준	값	동작	메모	등록일

사용자 정의 항목

자산 상세 > Management 탭에 이 순서대로 나타납니다. 항목을 지워도 자산에 이미 입력된 값은 남습니다 (정의가 없어진 키는 자유 항목으로 계속 보입니다).

순서	항목명	키	유형	선택지	필수	사용

CSV 대량 등록

MAC / 자산번호 / 시리얼 번호 중 하나로 자산을 찾아 관리 속성을 채웁니다. 빈 칸은 그대로 둡니다(지우지 않습니다). 미리보기로 무엇이 바뀌는지 확인한 뒤 반영하세요.

SaaS/Application DB

현재 -건

도메인 패턴(domain_pattern) → SaaS/Application 이름 매핑 CSV를 올리면 테이블을 통째로 교체합니다. 헤더는 domain_pattern(또는 domain)/name 이 필수이고 vendor/kind/category 는 선택입니다.

개별 항목 관리

도메인 패턴	이름	벤더	종류	카테고리

설정 오류

별도로 추가 트래픽을 보내지 않고, 이미 수행 중인 능동 확인 결과에서 SNMP community "public" 사용, SMB 서명 비활성화, 약한 TLS 버전 같은 설정 오류만 판별합니다.

–

심각

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	항목	자산	최근 확인	상태

보안 통제 공백

PC/서버/비관리 자산 중 백신·EDR·DLP 트래픽이 관측된 적 있는지 확인합니다. "관측 안 됨"은 미설치를 확정하는 값이 아니라, 패시브 트래픽 관측만으로는 에이전트 통신을 못 볼 수도 있다는 한계를 반영한 결과입니다.

–

대상 자산(PC/서버/비관리)

–

보안 솔루션 관측됨

–

관측 안 됨

MAC	IP	Hostname	장비유형	관리상태	관측된 보안 솔루션

보안 수칙 준수

조치 기한을 넘긴 취약점, 설정·통제 현황, 에이전트 수집 공백, 장기 미관측 자산을 한 화면에서 봅니다. 기한은 조직 정책이라 탐지 정책에서 바꿉니다. 경과일은 취약점이 공개된 뒤가 아니라 탐지 후 경과한 날입니다.

–

조치 기한 초과

–

설정 오류(열림)

–

에이전트 수집 공백

–

장기 미관측 자산

–

비밀번호·계정 수칙

–

AD 계정 수칙 위반

–

조치 기한을 넘긴 취약점

자산	CVE	등급	출처	탐지 후 경과	기한	초과

조치 후 재발

해결됐다 다시 열린 항목입니다 — 패치가 롤백됐거나 옛 이미지가 재배포된 신호라 단순 미조치보다 우선합니다. 현재 미조치는 마지막 재발 이후, 최초 탐지 이후는 처음 발견된 때부터입니다. 자산 단위로 묶어 보여주며, 자산 행을 누르면 건별 목록이 펼쳐집니다.

자산	재발 건수	등급 분포	대표 CVE	현재 미조치	최초 탐지 이후

장기 미갱신 소프트웨어

열린 취약점이 있는 것만 표시합니다 — LTS처럼 버전이 안 바뀌는 게 정상인 제품이 많아 "오래됐다"만으로는 조치 사유가 아닙니다. 근거가 설치일이면 출처가 준 실제 설치 시점이고, 관측이면 우리가 그 버전을 처음 본 날이라 실제 설치는 더 이전일 수 있습니다.

자산	소프트웨어	버전	경과	근거	열린 CVE

레거시 인증 관측

위반 판정이 아니라 관측입니다. 업무 의존성(구형 장비·NAS)과 조직 정책을 함께 봐야 합니다.

자산	장비유형	관측된 신호

설정·통제

점검 항목	해당 자산

에이전트 수집 공백

자산	상태	근거	에이전트 버전	마지막 보고

비밀번호·계정 수칙

자산	계정	점검 항목	판정	사실	근거

AD 도메인 계정·비밀번호 수칙

도메인	계정	종류	점검 항목	판정	탐지 시점	사실	근거

장기 미관측 자산

자산	장비유형	마지막 관측	미관측 일수	열린 취약점

Misconfiguration

이미 수집된 SaaS/Application 사용 이력과 Shadow IT 정책을 대조해 미승인 사용을 탐지합니다. 새 벤더 API 연동 없이 기존 관측 데이터만 사용합니다.

–

심각

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	카테고리	항목	자산 / 앱	최근 확인	상태

개요

요약

자산 현황

장비 유형별 자산

제조사 상위

제조사	자산

OS 상위

OS	자산

대역별 자산

대역	자산

자산 수 추세

외부 노출 현황

노출 신호 (선택한 기간)

신호	건수	미처리	자산	ATT&CK

외부에서 접근이 기록된 자산

Hostname	IP	장비	외부 IP (국가)	포트/프로토콜	마지막 접근	횟수

내부망에서 열린 서비스 (자산 수)

평문·취약 인증 서비스가 열린 자산

서비스	자산	대상

애플리케이션·SaaS 탐지 현황

AI 서비스별 사용 자산

정책 판단이 필요한 범주

범주	자산	서비스 (자산 수)

사용 자산 상위

서비스	종류	범주	자산	세션

취약점 및 위험

제품별 열린 취약점 (서비스 배너 기준)

제품	자산	CVE	최고 CVSS	대표 CVE	대상

위험도 분포

위험 점수 상위 자산

자산	장비	점수	사유

이상징후 이벤트 (선택한 기간)

이벤트	건수	자산

ATT&CK 기법별 탐지 (선택한 기간)

전술	기법	탐지 종류	건수

우선 조치 필요

유형	제목	MAC	IP	애플리케이션	심각도	발생

관측 범위와 한계

증적 자료

기준 개정판 대상 기간 ~ 단말 Hostname 마스킹 A 자동 B 초안 C 불가

A는 "표가 모두 채워진다"는 뜻이지 "제출 가능"이 아닙니다. 생성한 증적은 '검토 필요' 상태에서 시작하고, 사람이 채울 칸은 파일 안에 [입력: …] 노란 칸으로 남습니다.

기준 항목	증적 문서	산출물	자동 작성	생성·충족	이 사이트	최근 생성	제출 상태	동작

생성 이력

증적 ID	생성	대상 기간	실제 덮은 구간	데이터 기준시각	행	입력 칸	상태	동작

패키지(회차 묶음)

산출물마다 최신 생성본을 그대로 묶습니다(새로 만들지 않습니다). 묶음에는 목차·미생성 체크리스트(외부 준비 상태 포함)·수집 가동 이력·manifest(SHA-256)가 같이 들어갑니다.

패키지 ID	생성	대상 기간	증적	미생성	외부 준비	입력 칸	동작

예약 생성

정해진 주기에 산출물을 자동 생성하고(선택) 패키지로 묶습니다. 생성자는 'schedule:이름'으로 기록됩니다.

이름	기준	주기	대상 기간	산출물	다음 실행	마지막 실행	동작

양식 설정

열 이름을 바꾸거나 숨기고, 조직이 채울 칸을 더합니다. 적용 내용은 생성 기록(run)에 남습니다. 출처 주석과 다섯 상태 표기는 바뀌지 않습니다.

추가 입력 칸(쉼표 구분)

서브넷별 자산 수

자산구분별 분포

서브넷별 현황

자산구분별 현황

조직별 현황

담당자의 부서(설정 → 조직 관리)를 기준으로 집계합니다 — 담당자 미지정이거나 부서가 현재 조직도와 일치하지 않는 자산은 "미배정"으로 표시됩니다. 카드 값은 하위 조직 자산까지 합산된 값입니다. 위쪽 최상위 조직을 클릭하면 아래에 그 하위 조직들만 표시됩니다.

하위 조직

개인별 현황

담당자(설정 → 사용자)로 지정된 자산을 기준으로 집계합니다.

이름	부서	서브넷	자산 수	NIC	Exposure	SaaS/App	세션

센서별 자산 통계

자산은 가장 최근에 수신한 센서 기준으로 집계됩니다. 로컬(standalone) 수집 등 센서가 특정되지 않은 자산은 "알 수 없음"으로 표시됩니다.

센서	자산 수	비관리	위험 자산(중간+높음)	미승인	휴면

Manager 성능

Manager 서버의 자원 사용량입니다 - 호스트 전체가 아니라 이 서버가 실제로 쓰는 만큼만 보여줍니다.

Sensor 성능

선택한 Sensor의 자원 사용량입니다 - 호스트 전체가 아니라 이 센서가 실제로 쓰는 만큼만 보여줍니다.

MITRE ATT&CK 매트릭스

도메인 지원 항목만 서브기법 펼치기

Detected Behavior(보조 신호) Exposure(악용 가능 - 탐지 아님) Telemetry Required Unsupported

ATT&CK 탐지 규칙

규칙과 매핑 기법, 이 사이트에서 활성인지(필요한 텔레메트리 보유 여부), 최근 30일 발생 건수입니다. 계획 단계 규칙은 상태에 기여하지 않고 단계만 표시합니다.

규칙	기법	상태	필요 텔레메트리	이 사이트	30일	설명

오늘의 변화

전체 보기(무시 포함)

점수	종류	내용	외부 IP	세부	시각	상태·담당

관측 커버리지

서비스(포트)가 한 번도 관측되지 않은 자산은 미러(SPAN/TAP) 범위 밖이라 행동 분석 대상이 될 수 없습니다 - 그 비율이 분석 결과의 상한입니다.

인터페이스	최근 1시간 캡처 손실(최댓값)

Collector 상태

센서	컴포넌트	인터페이스	마지막 수신	패킷 손실률	수집 현황	상태

센서 로컬 진단

센서 호스트에서 sphere-sensor-status 가 1분마다 남긴 진단 결과입니다(docs/SENSOR_STATUS_CLI.md). 종합이 주의/문제인 행은 해당 항목이 바로 펼쳐지고, "전체"를 누르면 정상 항목까지 봅니다.

센서	호스트	모드	종합	생성	주의·문제 항목

프로브 큐 상태

센서	지금확인 대기	추적중인 대상	백오프중	일시정지	큐 대기(즉시/정기)	큐 진행중	DLQ	마지막 시도

Ingest 큐 상태

워커(consumer)	처리 대기(pending)	마지막 활동으로부터

자산 스테이징 적체

원시 이벤트 저장소

백그라운드 작업 상태

보존기간 정리, 클라우드 수집, 취약점 스캔, 알림 발송 등 주기 작업이 실제로 돌고 있는지 보여줍니다. 문제가 있는 항목이 위로 옵니다.

작업	상태	마지막 성공	주기	실행	실패	마지막 오류

로그

~

센서가 로그 배치를 보낼 때마다 한 줄씩 쌓입니다 - 어느 구성요소가 언제, 얼마나(레코드 수) 보냈는지, 평소 대비 급증/급감·0건 수신 같은 특이사항을 함께 표시합니다.

수신 시각	센서	컴포넌트	NIC	로그 타입	레코드 수	특이사항

OT 능동 프로빙 허용목록

OT(Modbus 등) 능동 프로빙은 전역 스위치(기본 꺼짐, 서버 관리자만 변경 가능), 이 허용목록, 실제 프로토콜 확인을 모두 통과해야 실행됩니다. MAC 기준이 벤더/장비유형 기준보다 항상 우선합니다(예: 벤더 전체 허용 + 특정 MAC만 차단 가능). 아무 항목도 없으면 기본은 차단입니다.

기준	값	동작	메모	등록일

IT 자산 정밀 스캔 대상

여기 등록한 IT 자산은 주기적으로 nmap 정밀 스캔(포트 + 서비스·버전)을 받습니다. 그 결과로 확인된 제품·버전이 취약점 매칭에 그대로 쓰여 더 상세한 취약점이 나옵니다. 등록하지 않아도 평소 TCP 스윕(Tier1~3 20포트)은 계속 돕니다 - 이 목록은 "더 깊게 볼 대상"을 정하는 것입니다. OT/IoT 로 판정된 자산은 등록해도 기존 가드가 계속 막습니다.

기준	값	범위	주기	사용	메모	마지막 실행

IoT(MQTT/CoAP) 능동 프로빙 허용목록

IoT(MQTT/CoAP) 능동 프로빙은 전역 스위치(기본 꺼짐, 서버 관리자만 변경 가능), 이 허용목록, 사전 확인(이 포트가 이미 다른 프로토콜로 확정 판별되지 않았는지)을 모두 통과해야 실행됩니다. MAC 기준이 벤더/장비유형 기준보다 항상 우선합니다 (예: 벤더 전체 허용 + 특정 MAC만 차단 가능). 아무 항목도 없으면 기본은 차단입니다. OT 허용목록과는 별개의 목록입니다.

기준	값	동작	메모	등록일

OUI 제조사 DB

현재 -건 · 마지막 갱신: -

IEEE 공식 OUI 목록 페이지에서 내려받은 CSV를 올리면 벤더 조회 테이블을 교체합니다. 인터넷이 안 되는 폐쇄망이면 인터넷이 되는 다른 PC에서 내려받아 옮겨오세요. CSV 파일

제조사 이름 정리

출처마다 같은 회사를 다르게 적습니다(OUI 등록부의 "Apple, Inc." 와 User-Agent 의 "Apple" 등). 법인 접미사(Inc., Co.,Ltd 등)와 대소문자를 뺀 이름이 같은 표기끼리 묶어 보여줍니다. 흔한 회사는 기본 규칙으로 자동 정리되고, 그 밖의 이름은 아래에서 골라 하나로 묶을 수 있습니다. 규칙은 새로 관측되는 자산에 자동 적용되며(1분 안에), 기존 자산은 "지금 적용"으로 바로 고칩니다. 수동으로 고정한 제조사는 바꾸지 않습니다.

정리 대상만 보기

	저장된 이름	자산 수	정리 후	규칙

Exposure 개요

패시브 트래픽 관측, 능동 프로빙, 클라우드 계정 폴링을 통해 실제로 탐지 가능한 노출 유형만 카드로 모았습니다. 숫자를 클릭하면 해당 화면으로 이동합니다.

Findings - 지금 열려 있는 문제(Open)

Signals - 최근 7일 관측된 신호

Hygiene - 자산의 현재 상태

Coverage - 관측 기반 커버리지(설치 여부 확정 아님)

인터넷 노출 자산

외부(비-사내) IP가 접속한 이력이 있는 자산 목록입니다. SPAN 관측 기반이라 포트포워딩(DNAT)으로 열린 서비스 접속은 잡히지만, 게이트웨이 자신에게 오는 접속(방화벽 관리 UI/VPN 종단)은 포함되지 않습니다. 상태는 마지막 외부 접속 시각 기준입니다 - 활성 24시간 내 / 최근 7일 내 / 오래됨 그 이상. 전체 이력은 증거로 남지만 위험 점수에는 최근 30일 관측만 반영됩니다.

상태	MAC	IP	Hostname	제조사	장비유형	관리	최초 접속	최근 접속	출발지	국가	포트	애플리케이션	누적 접속	서로 다른 IP

공격 경로

외부 접속이 관측된 자산(진입점)에서 실제로 관측된 내부 통신을 따라 몇 홉 안에 닿는 자산을 모아, 그중 가장 위험한 목표를 기준으로 정렬합니다. 관측된 통신 여부일 뿐 공격 방향이 아닙니다 - 통신 기록은 방향 없이 저장되므로 "A가 뚫리면 B도 위험권" 정도로 읽어야 하고, "A에서 B로 침투 가능"을 뜻하지 않습니다. SPAN이 못 본 통신은 그래프에 없으므로 경로가 안 보이는 것이 실제로 못 간다는 뜻은 아닙니다. 익스플로잇 가능성을 검증한 결과도 아닙니다(도달 가능 + 취약점 존재를 겹쳐 본 우선순위 힌트). 행을 클릭하면 그 진입점의 경로 상세가 열립니다.

진입 자산	IP	Hostname	장비유형	최근 외부 접속	출발지 IP 수	도달 자산	취약점 보유	KEV 보유	최고위험 목표	목표 위험도

외부 통신 이상

내부 자산 → 외부 목적지 통신의 접속 간격 규칙성/희귀 목적지/고위험 국가/데이터 비대칭/응답없는 접속 반복을 종합한 점수가 임계치 이상인 (자산, 목적지) 페어입니다. SPAN 관측 기반이며, 정상적으로 주기 통신하는 것으로 알려진 목적지(Windows Update/주요 CDN 등)와 이름이 없어도 연결 유지가 본질인 통신(NTP·STUN·Apple 푸시·ICMP)은 자동으로 제외됩니다. 기본 소스는 1시간마다 계산한 스냅샷입니다(특성 계층이 켜진 사이트는 최근 24시간 rolling, 아니면 누적 프로필). 스냅샷은 하루(UTC) 단위로 쌓이므로 7일 전체는 "누적 프로필(지금 재계산)"로 보세요. 예전에 주기적이었지만 지금은 끊긴 통신은 "오래된 통신 포함"으로 볼 수 있습니다.

MAC	Hostname	IP	목적지	포트/프로토콜	점수	관측	근거

노출 신호

최근 30일에 계산된 Exposure 신호(외부 접근 최초·관리 인터페이스 접근·외부 스캔·새 국가·외부 통신 이상·UPnP·원격제어) 중 아직 처리되지 않은(신규/확인) 항목입니다. 같은 (종류, 자산, 대상)은 가장 최근 것 하나만 보입니다. 확인 = 조사 중, 해결 = 조치 완료(같은 신호가 다시 잡히면 자동으로 재발 표시), 무시 = 정상으로 판단. Insights의 "오늘의 변화"와 같은 항목·같은 상태를 공유합니다.

점수	종류	대상	외부 IP	내용	처음/최근	상태·담당

외부 스캔·fan-out

외부 출발지 하나가 짧은 시간창 안에 내부 자산 여러 개에 접근한 사건입니다(원시 이벤트 특성 계층). 포트 다양성이 크거나 실패(응답 없음/거부) 비율이 높으면 스캔, 같은 포트로 성공 세션이 이어지면 다중 서비스 접근 (NAT/프록시/모니터링 사업자일 수 있음)으로 구분합니다. 시간창 하나에 사건 하나이며 자산마다 복제하지 않습니다. ICMP와, 방향을 믿을 수 없는 기록(연결 시작을 못 보고 중간부터 잡힌 TCP, 서버 포트에서 임시 포트로 향한 응답)은 세지 않습니다. 특성 계층이 꺼진 사이트에서는 비어 있습니다.

판정	외부 출발지	시간창	자산 수	포트 수	연결	실패 비율	대상 예시	포트 예시

의심 이벤트

신규 외부 접근 조합(자산×외부IP×포트가 처음 관측됨) / 국가 변경 / 스캔·횡적 탐색 의심 / 관리 인터페이스 외부 접근 / UPnP 포트 매핑 요청 이벤트의 최근 발생 순 목록입니다.

발생 시각	MAC	Hostname	이벤트	상세

미승인 자산

아직 담당자가 승인하지 않은 자산 목록입니다. 자산을 클릭하면 상세 화면에서 바로 승인 처리할 수 있습니다.

–

전체 미승인

Hostname	MAC	IP	장비유형	제조사	최초 발견	최근 활동	위험도

다중 클라이언트 의심

NAT 공유기/AP 뒤에 여러 실기기가 숨어있을 가능성이 있는 자산입니다 — 서비스 포트 다양성, 서로 다른 TLS 지문(JA3/JA4) 개수, 관측된 OS 계열 등을 근거로 판정합니다. 하위 실기기를 개별 식별할 수 없어 위험도 점수가 실제보다 낮게 보일 수 있습니다.

–

전체 의심 자산

Hostname	MAC	IP	장비유형	관측된 OS 계열	판정 근거	위험도

취약 인증·관리 서비스 개방

평문 인증(Telnet/FTP) 또는 원격 관리·SNMP 포트(RDP/VNC/SNMP)가 열린 자산 목록입니다. 프로빙/관측으로 확인된 "포트 개방" 이며, 실제 자격증명 유출이나 인터넷에서의 접근 관측을 뜻하지 않습니다 - 외부 접근 관측은 "인터넷 노출 자산" 화면에서 확인하세요.

–

전체 노출 자산

Hostname	MAC	IP	장비유형	제조사	노출된 포트/서비스	위험도

웹서버/WAS

HTTP 응답 헤더(Server, X-Powered-By)에서 확인한 웹서버·WAS·런타임(PHP 등)과 버전입니다. 미러 트래픽의 수동 관측과 능동 프로빙 결과를 합쳤고, 버전이 확인된 제품은 취약점(CVE) 매칭과 연결됩니다. 헤더가 버전을 숨기면 버전은 비어 있고, Node.js 같은 런타임은 헤더만으로는 버전을 알 수 없습니다(에이전트가 보고한 설치 목록은 자산 상세의 Software 탭에서 확인하세요). 응답 헤더는 없지만 연결 기록에서 http/https 응답이 관측된 자산은 "미상(응답 헤더 없음)"으로 함께 보입니다 - 제품·버전을 알 수 없어 CVE 는 붙지 않습니다.

–

웹 서비스 자산

–

인터넷 노출

–

미해결 CVE 있음

–

버전 공개(헤더)

인터넷 노출만

Hostname	IP	장비유형	웹 포트	웹서버	WAS/런타임/모듈	인터넷 노출	CVE	출처	관리	위험도

CVE 목록

심각도	CVE	제품	서비스	CVSS	EPSS	KEV	설명

국가 위험도 관리

등록한 국가에서 자산으로 외부 접속이 관측되면 위험도 점수에 반영됩니다(심각/높음만 가산). 등록하지 않은 국가는 위험 평가 없이 중립으로 취급됩니다.

국가 코드	위험도	메모	등록일

외부 통신 이상 허용목록

등록한 도메인(접미사 일치 - 그 도메인과 하위 도메인 전체)으로의 주기적 외부 통신은 외부 통신 이상 위험도 점수에서 제외됩니다. 하위 도메인 전체를 뜻하는 것을 표에서 알아보기 쉽게 *.example.com 형태로도 등록할 수 있습니다. google/apple/microsoft 등 널리 알려진 서비스는 이미 기본 포함돼 있고, 여기서는 그 목록에 없는 사내 SaaS·벤더 관리 콘솔 등 조직별 예외만 추가하면 됩니다.

도메인	메모	등록일

Local Nets (Zeek 로컬 서브넷)

Zeek 의 Site::local_nets 는 "미러링된 세그먼트에 L2 로 붙어 있는 서브넷" 이어야 합니다. 넓히면(라우팅되는 다른 사내 VLAN 포함) 게이트웨이 MAC 이 수많은 원격 IP 로 보여 자산 IP 이력이 오염되므로, 후보는 라우팅 가능 여부가 아니라 L2 관측 (DHCP 응답의 서브넷 마스크, MAC 으로 직접 본 자산의 /24) 으로만 만듭니다. 승인한 후보는 컬렉터의 local_nets.dat 에 합쳐지고 Zeek 가 재시작 없이 반영합니다. 기동값(시드)은 축소하지 않습니다 - 줄이려면 컨테이너 환경변수를 바꾸세요. 참고: 노출·외부 통신 분석의 "인터넷" 판정은 이와 별개로 사설 대역 전체를 내부로 봅니다(INTERNAL_CIDRS 로 추가 가능).

센서	인터페이스	CIDR	근거	호스트 수	최근 관측	상태

GeoIP DB 관리

현재 -건 · 마지막 갱신: - · 데이터 출처: -

별도 업로드 없이도 APNIC/ARIN/RIPE NCC/LACNIC/AFRINIC(5대 지역 인터넷 레지스트리)이 공개하는 국가별 IP 배정 통계로 매일 자동 채워집니다(라이선스 키 불필요, 국가 단위 정확도). MaxMind/IP2Location 등 더 정교한 유료/가입제 데이터를 직접 올리고 싶으면 아래에 CSV를 업로드하세요 — (start_ip,end_ip,country_code) 또는 IP2Location LITE 형식 (ip_from,ip_to,country_code)을 인식하며, 한 번 수동으로 업로드하면 그 이후로는 매일 자동 갱신이 덮어쓰지 않습니다. CSV 파일

식별 교정 이력

관리자가 자산 판정(벤더/장비유형/OS/제품명)을 수동으로 재정의할 때마다 그 교정 내역을 기록합니다. 이 데이터는 향후 자동 판정 정확도를 높이는 데 활용됩니다.

–

제조사 교정

–

장비유형 교정

–

OS 교정

–

제품명 교정

–

전체 교정 건수

최근 교정 이력

MAC	필드	예측값 → 교정값	처리자	교정 시각

사용자 관리

관리자는 전체 기능을 사용할 수 있고, 조회자는 조회만 가능합니다(등록/수정/삭제 등은 차단). 엑셀 업로드 시 부서 칸의 "본사 > 보안팀" 같은 경로는 조직 관리에 자동 등록됩니다.

아이디	이름	이메일	부서	직급	역할	로그인	상태	MFA	마지막 로그인	등록일

역할 관리

"관리자"는 항상 전체 권한(편집 불가), "조회자"는 이름은 고정이지만 권한은 추가로 부여할 수 있습니다. 그 외 역할은 자유롭게 추가/수정/삭제할 수 있습니다(단, 사용자가 배정돼 있으면 삭제 불가).
권한은 변경(생성·수정·삭제·실행)에만 걸립니다. 조회는 로그인한 모든 역할이 할 수 있으며, 예외는 사용자·역할 관리와 증적 다운로드(조회도 권한 필요), 데이터 초기화(관리자 전용)입니다. 각 권한이 여는 범위는 역할 추가/수정 창의 권한 설명을 확인하세요.

이름(값)	표시 이름	구분	권한

조직 관리

드래그해서 다른 조직 위에 놓으면 그 조직의 하위로 이동합니다. 맨 위 "최상위로 이동" 영역에 놓으면 최상위 조직이 됩니다. 같은 계층 안에서는 ▲▼ 버튼으로 순서를 바꿉니다.

최상위로 이동

라이선스

현재 라이선스 상태를 확인하고 새 라이선스 파일을 등록할 수 있습니다.

상태-

고객사 ID-

플랜-

만료일-

자산 사용량-

센서 사용량-

발급 담당자가 서명해 보낸 라이선스 파일(.json)을 올리면 즉시 교체됩니다 — 서명이 안 맞는 파일은 기존 라이선스를 건드리지 않고 거절됩니다. 라이선스 파일

데이터 초기화

자산/수집 이력(방문 이력, IP·Hostname·OS 변경 이력, 취약점/노출 findings, 프로빙 결과 등)과 처리 대기 중인 수집 큐·staging 데이터, 원시 이벤트 이력을 전부 삭제하고, 이 배포가 standalone(zeek가 이 서버에서 직접 도는 배포)이면 zeek 로그 원본 파일도 함께 지운 뒤 새로 수집을 시작합니다. 사용자 계정/역할/알림 규칙/탐지 정책 등 설정값은 그대로 유지됩니다. 되돌릴 수 없는 작업입니다. 확인을 위해 "초기화"를 입력하세요

API

키 보관과 전송 주의

키는 발급 직후 한 번만 보입니다. 서버에는 해시만 저장되어 다시 보여 드릴 수 없습니다(분실하면 새 키를 발급하고 옛 키를 폐기하세요).
API 는 반드시 https 주소로 호출하세요. 평문 http 로 보내면 같은 네트워크의 누구나 키를 볼 수 있습니다. 사내 인증서(내부 CA)를 쓰는 사이트는 호출 PC 에 루트 CA(/ca.crt)를 신뢰 등록하세요. 인증서 검증을 끄고 호출하면 중간자 공격에 키가 노출될 수 있으니, 그럴 수밖에 없다면 허용 IP 를 반드시 지정하세요.
허용 IP 를 비워 두면 키를 아는 누구든 어디서나 호출할 수 있습니다. 호출할 PC 대역을 지정하는 것을 권장합니다.
키가 노출됐다고 의심되면 즉시 폐기하세요(다음 호출부터 거부됩니다). 모든 호출은 호출 이력에 기록됩니다.

이름	키 ID	권한(scope)	상태	만료	허용 IP	마지막 사용	24시간 호출

시각	키	구분	요청	상태	IP	ms	사유

키가 없거나 틀린 요청(미인증)은 같은 출발지 IP 당 분당 한 건, 전체로도 사이트 상한(분당)까지만 기록하고 나머지는 그 분이 끝난 뒤 첫 요청(또는 이 화면을 열 때) "미인증 요약" 한 줄(총수·IP 수·상위 IP·key ID)로 남깁니다 - 호출 이력이 외부 요청으로 부풀지 않게 하기 위함입니다. 한도 초과(429)도 키당 분당 한 건으로 합쳐 기록합니다.

AI 도구(Claude Desktop·Cursor 등)가 이 사이트의 자산·위험 데이터를 읽기 전용으로 조회하는 MCP 서버입니다. REST API 와 같은 API 키(같은 권한 범위)를 씁니다.

안전 안내

이 서버에는 데이터를 바꾸는 도구가 없습니다(조회 11개뿐). 그래도 도구 응답에는 네트워크에서 관측된 문자열(Hostname 등)이 들어 있어, AI 가 그 안의 문장을 지시로 오해할 수 있습니다. AI 가 이 데이터를 웹 호출·메일 등 다른 도구로 내보낼 수 있는 환경이라면 키의 권한(scope)을 필요한 만큼만 좁게 주세요.
키 원문은 이 화면 어디에도 다시 표시되지 않습니다. 아래 예시의 <발급받은 키> 자리에 발급 직후 복사해 둔 키를 넣으세요.
대량 수집은 MCP 가 아니라 REST API 를 쓰세요(MCP 는 한 번에 최대 50건, 응답 20000자 상한).

연결 정보

엔드포인트	`-`
전송	-
인증	`Authorization: Bearer <발급받은 키>`
프로토콜 버전	-

클라이언트 설정 예시

원격(HTTP) MCP 서버를 지원하는 클라이언트의 설정 파일(mcp.json 형식)입니다. 클라이언트마다 키 이름이 조금 다를 수 있습니다.

동작 확인(curl):

내부 인증서(내부 CA)를 쓰는 사이트는 호출하는 PC 에 루트 CA(/ca.crt)를 신뢰 등록해야 합니다.

제공 도구 전부 읽기 전용

도구	설명	필요 scope

외부 시스템이 호출하는 읽기 전용 REST API(/api/v1)입니다. 응답 스키마는 고정되고 필드 추가만 일어납니다(삭제·이름 변경 없음). 모든 시각은 UTC(ISO 8601)입니다.

빠른 시작

인증: Authorization: Bearer <발급받은 키>. 관리자 로그인 토큰(JWT)은 거부됩니다.
목록 응답은 {data, page, page_size, total, next_page, generated_at} 입니다. page_size 기본 50, 최대 200.
증분 조회: updated_since=<ISO 8601>. 자산은 활동 기준(last_seen/first_seen, 삭제는 deleted_at)이라 Hostname 교정 같은 속성 변경은 잡히지 않습니다 - 하루 1회 전체 조회를 권장합니다.
호출 한도: 키마다 분당 한도가 있습니다(키 발급·수정 화면의 "분당 호출 한도"에서 정하고, 비우면 이 사이트의 기본값 - 사이트마다 다릅니다). 초과하면 429 와 Retry-After(초) 헤더. 한 IP 에서 인증 실패가 사이트 상한(분당)을 넘으면 그 IP 에서 틀린 키(없는 key_id·틀린 비밀)를 보낸 요청만 그 분 동안 429 이고, 같은 IP 의 맞는 키는 그대로 통과합니다.
오류 본문: {"error": {"code": "...", "message": "..."}}. 401(키 문제 - 사유를 구분해 알리지 않음), 403(insufficient_scope·ip_not_allowed), 404, 405(GET 외 모든 메서드), 422, 429.

엔드포인트

메서드	경로	설명	필요 scope

자동 조치

탐지가 울리면 해당 단말을 네트워크에서 격리합니다. 새 규칙은 관찰(dry_run) 로 시작하며, 이력 탭에서 오탐이 없는지 확인한 뒤 실행(auto) 으로 올리세요.

이름	트리거	최소 심각도	조치	모드	시간당 상한	활성

시각	규칙	자산(MAC)	판단	사유	근거

알림

이름	타입	상태	등록일

이름	트리거	최소 심각도	채널	쿨다운(분)	활성

–

전체

–

성공

–

실패

~

시각	규칙	채널	트리거	내용	수신자	상태	오류

내 정보

아이디 역할 표시 이름 이메일 부서 직책 MFA 상태

비밀번호 변경

현재 비밀번호 새 비밀번호 새 비밀번호 확인

8자 이상이어야 합니다.

2단계 인증

OTP 앱 등록

백업 코드

오늘의 변화

노출 신호

즉시 조치 필요

자산 구성·수집 상태

자산 등급 구성

관리/비관리 비율

장비 유형 분포

제조사 분포

리스크 지수 추이 (최근 90일)

수집 상태

네트워크 구성도

전체 자산

중복 자산 관리

Raw Data

서브넷별 자산 통계

VLAN

VLAN 편집

센서 관리

등록 코드

에이전트

Agent CA

수집 정책

규칙 검증 기록

규칙 예외

IOC(침해 지표)

이벤트 검색

수신함

센서 상태

탐지 로그

클라우드 자산

클라우드 구성도

클라우드 계정

Active Directory

비밀번호 변경 주기

변경 주기 초과 계정

점검 결과

비밀번호 정책

계정

연결 시험 결과

외부 시스템

Misconfiguration

취약점

미사용 자산

SaaS 탐지

Application 탐지

웹/SNS 탐지

원격제어 탐지

Shadow IT 정책

사용자 정의 항목

CSV 대량 등록

항목 추가

SaaS/Application DB

개별 항목 관리

레퍼런스 항목 추가

설정 오류

설정 오류 상세

보안 통제 공백

보안 수칙 준수

조치 기한을 넘긴 취약점

조치 후 재발

장기 미갱신 소프트웨어

레거시 인증 관측

설정·통제

에이전트 수집 공백

비밀번호·계정 수칙

AD 도메인 계정·비밀번호 수칙

장기 미관측 자산

Misconfiguration

사용 상세

사용 이력

Shadow IT 정책 추가

Misconfiguration 상세

사용자 상세

취약점 상세

미사용 자산 상세

Misconfiguration 상세

개요