로그는 왜 남기는가: 보안에서 '기록'이 하는 일

사고가 난 다음 날, 가장 먼저 찾게 되는 것

보안 사고를 다룬 기사를 읽다 보면 '접속 기록을 분석한 결과'라는 표현이 거의 빠지지 않고 등장합니다. 침해가 언제 시작됐는지, 어떤 경로로 들어왔는지, 어떤 정보가 밖으로 나갔는지 — 이 질문들에 답을 주는 것은 담당자의 기억이 아니라 시스템이 남겨 둔 기록입니다. 이 기록을 통틀어 로그라고 부릅니다.

로그는 사람이 일부러 적는 일지가 아니라, 컴퓨터와 서비스가 동작하면서 스스로 남기는 사건의 기록입니다. 로그인 시도가 있었고 성공했는지 실패했는지, 어떤 파일이 언제 수정됐는지, 어떤 프로그램이 언제 시작되고 멈췄는지 같은 일들이 사람의 손을 거치지 않고 차곡차곡 쌓입니다. 평소에는 눈에 띄지 않지만, 무슨 일이 있었는지 되짚어야 하는 순간이 오면 사실상 유일한 목격자가 됩니다.

그래서 보안을 처음 배우는 사람에게 로그는 생각보다 이른 순서에 만나게 되는 개념입니다. 방화벽이나 암호화처럼 무언가를 막는 장치는 아니지만, 다른 모든 장치가 제대로 일했는지 확인할 수 있게 해 주는 바탕이기 때문입니다. 막는 일과 기록하는 일이 나란히 있어야 보안이 완성된다는 감각을 이 글에서 잡아 보면 좋겠습니다.

로그는 무엇을 적어 두는가: 누가·언제·무엇을·어떻게 됐나

로그 한 줄의 뼈대는 의외로 단순합니다. 언제 일어난 일인지(시각), 누가 한 일인지(계정이나 접속 주소 같은 주체), 무엇을 했는지(로그인·조회·수정·삭제 같은 행위), 그리고 그 결과가 어땠는지(성공·실패·차단)입니다. 이 네 조각이 갖춰진 기록이 모이면, 흩어져 있던 순간들이 하나의 이야기로 이어집니다.

기록을 남기는 주체에 따라 로그의 종류도 나뉩니다. 운영체제가 남기는 시스템 로그, 웹 서비스가 남기는 접속 로그, 로그인과 인증 과정을 적는 인증 로그, 설정이나 데이터가 바뀐 내역을 적는 변경 이력 같은 것들이 대표적입니다. 이름은 달라도 '사건을 시간 순서로 적어 둔다'는 본질은 같아서, 한 종류의 구조를 이해하면 다른 로그도 어렵지 않게 읽을 수 있습니다.

개인의 일상에도 같은 구조가 이미 들어와 있습니다. 포털이나 메신저 계정 설정에서 볼 수 있는 '로그인 기록'과 '내 활동 내역'이 바로 서비스가 나를 위해 남겨 준 로그입니다. 낯선 지역에서의 접속이 있었는지, 모르는 기기가 연결돼 있는지 직접 확인해 보면, 로그가 전문가만의 도구가 아니라 내 계정을 지키는 생활 도구이기도 하다는 것을 실감하게 됩니다.

되짚기·알아채기·가리기: 한 가지 기록이 하는 세 가지 일

로그의 첫 번째 쓸모는 지나간 일을 되짚는 것입니다. 사고가 났을 때 원인과 경로, 영향 범위를 밝히는 조사는 결국 로그를 시간 순서로 이어 붙이는 작업입니다. 기록이 남아 있으면 '어디까지 영향을 받았는가'를 근거를 갖고 좁힐 수 있고, 기록이 없으면 최악의 경우를 가정한 채 대응 범위를 넓게 잡을 수밖에 없습니다. 같은 사고라도 기록의 유무가 수습의 크기를 바꾸는 셈입니다.

두 번째 쓸모는 이상 징후를 알아채는 것입니다. 짧은 시간에 로그인 실패가 반복된다든지, 평소 없던 시간대에 큰 규모의 조회가 일어난다든지 하는 패턴은 로그를 모아 보아야 비로소 보입니다. 관제라고 불리는 일의 상당 부분이 바로 이 기록의 흐름을 지켜보며 평소와 다른 신호를 찾는 일입니다. 여기서 중요한 전제가 '평소 상태를 알고 있어야 다른 것이 보인다'는 점인데, 그 평소 상태를 알려 주는 것 역시 쌓여 있는 로그입니다.

세 번째 쓸모는 행위의 책임을 가리는 것입니다. 여러 사람이 같은 시스템을 쓰는 환경에서 '누가 한 작업인가'를 사후에 답할 수 있는 성질을 책임 추적성이라고 부릅니다. 계정을 사람마다 분리하라는 원칙이 강조되는 이유도 여기에 닿아 있습니다. 공용 계정으로는 로그에 남은 주체가 누구인지 가릴 수 없어서, 기록이 있어도 이야기가 완성되지 않기 때문입니다.

기록이 힘이 되려면: 남기기, 모으기, 지키기

로그를 남기는 것만으로 일이 끝나지 않는다는 점은 입문 단계에서 자주 놓치는 부분입니다. 우선 시각이 맞아야 합니다. 장비마다 시계가 다르면 여러 로그를 이어 붙였을 때 사건의 순서가 뒤엉키기 때문에, 시간을 한 기준에 맞추는 일이 로그 관리의 기본으로 꼽힙니다. 다음은 보관입니다. 필요한 순간은 몇 달 뒤에 올 수도 있는데 기록이 이미 지워져 있다면 없는 것과 같습니다. 법령과 인증 기준이 기록 보관을 요구하는 것도 이런 이유에서인데, 구체적인 보관 기간 기준은 개인정보보호위원회나 KISA 같은 공식 확인처에서 현재 기준을 확인하는 것이 정확합니다.

그리고 로그 자체를 지켜야 합니다. 침입한 쪽의 입장에서 가장 지우고 싶은 것이 바로 자신의 흔적이기 때문에, 로그는 수집되는 시스템과 분리된 곳에 모아 두고 함부로 수정하거나 지울 수 없게 보호하는 것이 원칙입니다. 기록의 무결성이 지켜져야 그 기록을 근거로 삼을 수 있다는 점에서, 로그 보호는 앞서 배운 무결성 개념이 실제로 적용되는 좋은 예이기도 합니다.

개인 차원에서도 같은 원리를 가볍게 실천할 수 있습니다. 주요 계정의 로그인 알림을 켜 두면 새 기기 접속이라는 '로그 한 줄'이 나에게 실시간으로 배달되는 셈이고, 가끔 계정 활동 내역을 훑어보는 습관은 나만의 관제 활동이 됩니다. 거창한 도구 없이도, 이미 서비스가 남겨 주는 기록을 읽는 것만으로 계정 이상을 훨씬 일찍 알아챌 수 있게 됩니다.

정리: 기록을 아는 사람이 갖게 되는 여유

정리하면 로그는 시스템이 스스로 남기는 사건의 기록이고, 되짚기(사고 조사)·알아채기(이상 징후 탐지)·가리기(책임 추적)라는 세 가지 일을 합니다. 그리고 남기는 것에서 멈추지 않고 시각을 맞추고, 모아 두고, 지켜 두어야 필요한 순간에 힘이 됩니다. 이 틀 하나면 보안 뉴스의 '경위 분석' 문단도, 관제라는 직무의 정체도, 내 계정의 로그인 기록 화면도 같은 원리로 읽힙니다.

무엇보다 로그를 이해하면 보안을 대하는 마음이 한결 편안해집니다. 모든 사고를 완전히 막을 수는 없다는 사실이 불안이 아니라, '무슨 일이 있었는지 확인할 수 있는 장치가 이미 돌아가고 있다'는 안심으로 바뀌기 때문입니다. 오늘 자주 쓰는 계정 하나의 로그인 기록을 열어 보는 것으로 시작해 보면, 기록이 주는 든든함을 바로 체감할 수 있을 것입니다.