Deterministic 분석과 LLM 내러티브를 분리한 2계층 Home SOC 설계

Context

개인 홈랩 환경의 가시성 부족으로 인한 보안 사고 인지 지연 문제 발생. 단순 도구 설치를 넘어 프로덕션 수준의 Logging 및 Alerting 체계를 홈랩에 이식하여 설정 Drift를 조기에 발견하는 구조적 접근 필요.

Technical Solution

• Read-only 기반의 Deterministic Audit Layer를 통해 Socket, Container Posture, Systemd Drift 등을 무상태로 수집하는 구조 설계
• SSH Auth Log 및 UniFi Network Signal을 통합하여 보안 이벤트를 상관 분석하는 SOC Agent 계층 분리
• LLM(Ollama)을 Detection Logic 상단이 아닌 최하단 Narrative Generator로 배치하여 분석 결과의 결정론적 무결성 보장
• 0600/0700 권한 제어 및 Stale Data 탐지 로직을 통한 데이터 신뢰성 확보
• Fixture 파일을 활용한 Offline Replay 메커니즘을 도입하여 새로운 분석 룰의 사전 검증 프로세스 구축
• Obsidian Note와 YAML Frontmatter를 결합하여 검색 가능한 Incident Timeline 아카이브 구축