Python 기반 CLI 구현으로 90만 이벤트당 14초의 빠른 위협 헌팅 성능 달성

Context

단일 로그 파일 분석을 위해 SIEM 인프라를 구축해야 하는 오버헤드와 과도한 리소스 낭비 발생. 기존의 무거운 데이터 인제스션 과정과 쿼리 대기 시간이 분석 효율을 저해하는 병목 지점으로 작용.

Technical Solution

• 하드코딩된 Regex 기반의 초기 구조를 탈피하여 Detection Engine과 Rule Set을 완전히 분리한 Decoupled Architecture 설계
• YAML 및 Sigma Rule 기반의 외부 설정 방식을 도입하여 코어 수정 없는 Rule 확장성 확보
• 단순 이벤트 매칭을 넘어 동일 호스트 내 시간 순서에 따른 이벤트 시퀀스를 추적하는 Correlation Logic 구현을 통한 공격 체인 식별
• JSON, EVTX, Syslog, CEF 등 다양한 입력 포맷을 추상화하여 처리하는 입력 레이어 설계
• --fail-on 옵션을 통한 Exit Code 제어로 CI/CD 파이프라인 내 보안 게이트로 활용 가능한 인터페이스 제공