IBM QRadar SIEM: 초급에서 고급까지 교육 과정

모듈 1: SIEM/기본 개념, 아키텍처 및 에코시스템 개요

SIEM(Security Information and Event Management)의 기본 개념, IBM QRadar 플랫폼 아키텍처, 생태계 통합, XDR, SOAR, 위협 인텔리전스 플랫폼을 포함한 더 넓은 보안 분석landscape에 대한 포괄적인 이해를 확립합니다.

1.1 보안 분석 및 SIEM 기본 개념

• SIEM 영역: 로그 관리에서 보안 분석으로의 진화
• SIEM vs. SOAR vs. XDR: 보안 도구 수렴 이해
• 핵심 SIEM 구성 요소: 로그 수집, 정규화, 상관 관계 및 경보
• SOC 애널리스트 워크플로우: 감지, 분류, 조사 및 대응
• MITRE ATT&CK 프레임워크 개요 및 SIEM 매핑에서의 역할

1.2 IBM QRadar 플랫폼 아키텍처

• QRadar 온프레미스 아키텍처: 이벤트 프로세서, 로그 관리자, 콘솔 및 플로우 프로세서
• QRadar on Cloud: 멀티 tenants 아키텍처, ingestion 모델 및 확장성
• QRadar 하이브리드 클라우드 배포: 온프레미스 및 클라우드 기능 결합
• 배포 옵션: 가상 애플라이언스, 하드웨어 애플라이언스 및 SaaS
• 고가용성(HA) 및 활성-패시브 vs. 활성-활성 구성

1.3 QRadar 구성 요소 및 콘솔 탐색

• IBM QRadar 콘솔: 인터페이스 개요, 작업 공간, 대시보드 및 탐색
• Complementing Apps, QRadar 앱 프레임워크 및 IBM App Exchange
• Context Explorer, Risk Analyzer 및 위협 인텔리전스 통합
• 데이터 모델: QRadar의 호스트, 장치, 프로토콜 및 카테고리

1.4 QRadar 에코시스템

• IBM QRadar SOAR: 보안 오케스트레이션 및 자동화된 대응 통합
• IBM QRadar EDR: 엔드포인트 감지 및 대응 통합
• 위협 인텔리전스 통합 (VTI 피드, 사용자 정의 위협 피드)
• SIEM 도구와의 통합: Splunk, Elastic SIEM, IBM QRadar(로그 소스 관리)

1.5 IBM 보안 스위트와의 통합

• 자동화 및 플레이북 오케스트레이션을 위한 IBM QRadar SOAR 통합
• 엔드포인트 텔레메트리를 위한 IBM QRadar EDR 통합
• IBM QRadar VTI(취약점 및 위협 인텔리전스) 통합
• IBM QRadar App Exchange 앱 및 애드온
• IBM QRadar 네트워크 통합 플랫폼(NFI) 통합

시장 부합 역량: SIEM 기본 개념, 보안 정보 및 이벤트 관리, IBM QRadar 플랫폼 아키텍처, QRadar 온프레미스 배포, QRadar 클라우드 아키텍처, 하이브리드 클라우드 보안, SOC 운영 및 SIEM, 보안 분석, XDR 통합, SOAR 플랫폼 통합, 위협 인텔리전스 플랫폼(TIP), MITRE ATT&CK 프레임워크 매핑, 보안 도구 수렴, 기업 보안 아키텍처, 로그 관리 및 분석, SIAM 확장성 및 용량 계획, 고가용성(HA) 구성, QRadar 콘솔 탐색 및 구성

모듈 2: 로그 소스 관리, 데이터 수집 및 정규화

온프레미스, 클라우드 및 하이브리드 환경 전반의 기업 전체 보안 가시성을 확립하는 데 필수적인 로그 소스 구성, 데이터 수집 전략, 로그 정규화 및 프로토콜을 심층 다룹니다.

2.1 로그 소스 구성 및 프로토콜

• 로그 수집 방법: Syslog(RSYSLOG), 네트워크 연결(CEF), 공통 이벤트 형식(CEF) 및 QRadar Common Event Format(CEF)
• CEF 프로토콜: 헤더, 확장 이름, 사용자 정의 확장 및 CEF-대-CEF 매핑
• 네트워크 기반 로그 수집: NetFlow v5/v9, IPFIX(sFlow)
• 엔드포인트 가시성을 위한 에이전트 기반 수집(IBN QRadar Agent)
• 액티브 디렉토리, DNS, DHCP, HTTP, SMTP 및 데이터베이스 로그 소스 구성
• 로그 소스 배포 모범 사례: 높은 처리량 소스, 압축 및 암호화

2.2 데이터 수집 및 용량 계획

• 일일 로그 파일 볼륨(GLP) 및 일일 이벤트 데이터 수집 용량 이해
• 데이터 보관 정책 및 규정 준수 기반 보관 관리
• 비용 절감을 위한 로그 소스 우선순위 지정 및 이벤트 필터링
• 기업 규모 SIAM 배포를 위한 용량 계획
• 대규모 환경용 크기 계산 및 성능 최적화

2.3 로그 정규화 및 분류

• QRadar 정규화 엔진: 네이티브 로그 형식을 QRadar 프로토콜로 매핑
• 로그 소스 속성 관리자 및 프로토콜 매핑
• 독점 로그를 위한 사용자 정의 로그 소스 생성
• 이벤트, 플로우 및 로그 소스 매핑
• 정규화 규칙 및 구문 분석 문제 해결

시장 부합 역량: 로그 소스 관리, Syslog 구성, CEF 프로토콜, 네트워크 연결(CEF), QRadar 에이전트 배포, 액티브 디렉토리 로그 수집, DNS 및 DHCP 로그 수집, HTTP/S 및 SMTP 로그 수집, 데이터베이스 로그 수집(CEF) 통합, NetFlow 및 IPFIX 수집, 에이전트 없는 SIAM 배포, 기업 로그 수집 전략, 로그 정규화, 프로토콜 매핑, 사용자 정의 로그 소스 구성, 이벤트 구문 분석 및 분류, 일일 로그 볼륨(DLV) 추정, SIAM 용량 계획, 대규모 SIAM용 성능 튜닝, 규정 준수 기반 데이터 보관

모듈 3: 감지, 상관 관계 및 규칙 개발

SIAM 운영의 핵심: 단순 이벤트 규칙에서 공격, 이상 현상 및 정책 위반을 식별하는 복잡한 조합 상관 규칙에 이르기까지 감지 규칙을 빌드, 테스트 및 관리합니다.

SIAM 운영의 핵심: 단순 이벤트 규칙에서 공격, 이상 현상 및 정책 위반을 식별하는 복잡한 조합 상관 규칙에 이르기까지 감지 규칙을 빌드, 테스트 및 관리합니다.

3.1 이벤트 규칙 및 집계 규칙

• 이벤트 규칙: 필터링, 필드 추출 및 원시 이벤트에서 사용자 정의 속성 생성
• 집계 규칙: IP, 프로토콜, 사용자 등에 따라 이벤트 카운팅 및 그룹화
• 집계 규칙 작업: 알림, 카운터 임계값 및 사용자 정의 속성
• 규칙 활성화, 규칙 순서 지정 및 규칙 실행 로직

3.2 조합 상관 규칙

• 조합 상관 규칙 빌드: 여러 소스에서 데이터 조인
• 규칙 유형: 이벤트, 집계 및 조합 상관
• 조합 규칙 구성 요소: 트리거, 집계, 상관 관계 및 작업
• 상관 로직: 시간 상관, 임계값 상관 및 컨텍스트 상관
• 예측 및 상관 규칙 속성: 신뢰도 수준, 심각도 및 에scalation
• 효과적인 상관 규칙 작성: 경보 피로 방지 및 신호 품질 보장

3.3 MITRE ATT&CK 기술용 감지 규칙

• MITRE ATT&CK 기술에 매핑된 규칙: 초기 접근, 실행, 지속성, 권한 상승, 방어 회피, 자격 증명 액세스, 검색, 이동(횡단), 수집, 명령 및 제어(C2), 유출
• 특정 공격 카테고리에 대한 사용자 정의 감지:
• 규칙 대상: 브루트 포스, 포트 스캐닝, 멀웨어 통신, 내부자 위협, 이동(횡단), 권한 상승, 데이터 유출, 명령 및 제어(C2)
• 규칙 대상: 브루트-포스 인증 실패, 포트 스캐닝, SQL 인젝션, DNS 터널링, 권한 상승, Pass-the-Hash를 통한 이동(횡단)

3.4 QRadar 규칙을 사용한 위협 조사

• QRAdar를 사용한 능동적 위협 조사 방법론
• 알려지지 않음/제로데이 위협 감지용 규칙 빌드
• 행동 분석 및 기준선 이탈 감지 규칙

시장 부합 역량: 이벤트 규칙 개발, 집계 규칙 생성, 조합 상관 규칙 개발, 사용자 정의 상관 규칙 설계, MITRE ATT&CK 매핑, 위협 감지 엔지니어링, 공격 기술 매핑(초기 접근, 실행, 지속성, 권한 상승, 방어 회피, 자격 증명 액세스, 검색, 이동(횡단), 수집, 명령 및 제어, 유출), 멀웨어 통신 감지, SQL 인젝션 감지, DNS 터널링 감지, 권한 상승 규칙, 브루트 포스 감지, 이동(횡단) 감지, 내부자 위협 감지, 데이터 유출 감지, 명령 및 제어(C2) 감지, 경보 피로 관리, 규칙 튜닝 및 최적화, SOC 감지 규칙 엔지니어링, 능동적 위협 조사

모듈 4: QRadar 사건 엔진 및 사례 조사

QRAdar 사건 엔진을 심층 다룹니다: 사건 생성, 조사 워크플로우, 컨텍스트 분석, 위양성 관리, 분류 및 사례 처리.

4.1 사건 엔진

• 사건 생성, 집계 및 수명 주기 관리
• 사건 속성: 심각도, 신뢰도, 상태 및 귀속
• 사건 집계 로직: 관련 이벤트를 의미 있는 사례로 그룹화
• 사건 escalation, 할당 및 워크플로우 관리

4.2 사례 조사 및 컨텍스트 분석

• 심층 이벤트 분석 및 타임라인 재구성을 위한 Context Explorer
• 이벤트 타임라인 분석: 보안 사례의 연대기적 재구성
• IP 주소 분석 및 평판(위협 인텔리전스) 풍부화
• 사용자 및 자산 컨텍스트: 사용자 활동, 호스트 인벤토리 및 자산 위험 분석
• 사건 및 이벤트 세부 정보 보기에서 상관 관계 이벤트
• 이벤트 상관 관계, 이벤트 그룹화 및 증거 수집

4.3 위협 인텔리전스 통합

• 취약점 및 위협 인텔리전스(VTI) 피드 통합
• IBM QRadar VTI를 통한 자동화된 위협 인텔리전스 풍부화
• 사용자 정의 위협 피드 업로드 및 위협 행위자 프로파일
• 사건 및 위험 분석의 위협 인텔리전스 컨텍스트

4.4 위양성 관리 및 규칙 튜닝

• 사건 엔진에서 위양식 식별 및 분류
• 위양성 억제 규칙 및 억제 워크플로우
• 규칙 튜닝: 감지 민감도를 유지하면서 노이즈 감소
• 지속적인 개선을 위한 위양성 사례 문서화

시장 부합 역량: QRAdar 사건 엔진 관리, 사례 조사 및 분석, 위협 조사, Context Explorer 사용, 이벤트 타임라인 분석, IP 평판 분석, 자산 위험 분석, 위협 인텔리전스 풍부화, VTI 피드 통합, 위양성 관리, 경보 튜닝 및 노이즈 감소, SOC 사례 대응 워크플로우, 보안 사례 수명 주기, 침해 지표 분석, 사이버 위협 귀속

모듈 5: QRAdar 취약점 관리(QVM) 및 Risk Manager(QRM)

IBM QVM을 심층 다룹니다: 취약점 스캔 통합, 위험 기반 취약점 우선순위 지정, 위험 관리 구성 및 위험 기반 보안 포지션 평가.

5.1 IBM QRadar Vulnerability Manager (QVM)

• QVM 아키텍처: Nessus, Qualys 및 Rapid7 스캐너와의 통합
• 취약점 스캔 워크플로우 및 스캔 일정
• 취약점 평가 결과 구문 분석 및 QRAdar 통합
• CVSS 점수 상관 관계 및 취약점 심각도 분류
• 취약점 경향 분석 및 수정 우선순위 지정

5.2 IBM QRadar Risk Manager (QRM)

• QRM 아키텍처: 위험 계산 엔진 및 위험 스코어링 방법론
• 위험 규칙 구성: 자산 중요도, 취약점 악용 가능성, 자산 위험 프로파일
• 위험 점수 계산: 취약점 데이터, 위협 인텔리전스, 사건 데이터 및 자산 가치 결합
• 위험 기반 자산 순위 지정 및 위험 대시보드 구성
• 위험 기반 자산 우선순위 지정 및 위험 기반 수정 우선순위 지정

시장 부합 역량: 취약점 평가 및 관리, IBM QRadar Vulnerability Manager (QVM), CVE 점수 상관 관계, 취약점 스캔 통합, Qualys/Nessus 통합, 위험 기반 취약점 우선순위 지정, IBM QRAdar Risk Manager (QRM), 위험 점수 계산, 자산 중요도 평가, 위험 기반 수정, 위험 대시보드 구성, 취약점 경향 분석, 기업 취약점 관리, 기업 위험 평가 및 관리

모듈 6: QRAdar SOAR, 자동화 및 사례 대응

현대 SOC 운영에 필수적인 IBM QRadar SOAR(Security Orchestration, Automation, and Response), 플레이북 오케스트레이션, 런북 자동화 및 사례 대응 자동화를 다룹니다.

6.1 IBM QRAdar SOAR 개요

• 보안 오케스트레이션 및 자동화된 응답: 정의 및 가치
• QRAdar SOAR 아키텍처 및 구성 요소: 플레이북, 사례, 자동화 작업 및 데이터 작업
• QRAdar SOAR 통합: SIAM, EDR, 위협 인텔리전스 및 티켓팅 시스템(ServiceNow, Jira) 연결
• SOAR vs. 전통적 자동화: 플레이북 기반 워크플로우 오케스트레이션

6.2 플레이북 설계 및 실행

• 플레이북 생성: 자동화된 조사 및 대응 워크플로우 빌드
• 플레이북 트리거: 사례 생성, 규칙 트리거 및 수동 활성화
• 플레이북 작업: IP 주소 풍부화, IP 차단, 티켓 생성, 위협 피드 쿼리
• 플레이북 조건 및 분기 로직

6.3 사례 대응 자동화

• 자동화된 사례 대응: 분 단위로 경보에서 격리까지
• 자동화된 위협 조사: 플레이북 기반 위협 조사
• 자동화된 사례 격리: IP 차단, 엔드포인트 격리 및 계정 정지
• 랜섬웨어, 피싱, 브루트 포스 공격 및 내부자 위협용 자동화된 사례 대응 워크플로우

6.4 외부 시스템과의 통합

• ServiceNow, Jira, Slack, 이메일 및 웹훅 기반 시스템과의 QRAdar SOAR 통합
• 위협 인텔리전스 플랫폼과의 사용자 정의 API 통합
• 자동화된 엔드포인트 작업을 위한 EDR 통합
• 페이로드 분석(파일, URL, 도메인) 자동화

시장 부합 역량: 보안 오케스트레이션, AI 자동화 및 응답(SOAR), IBM QRAdar SOAR, 플레이북 자동화, 런북 설계, 자동화된 사례 대응 워크플로우 오케스트레이션, API 기반 보안 자동화, 위협 인텔리전스 통합, 사례 격리 자동화, 자동화된 위협 분석, 보안용 ServiceNow 통합, 티켓팅 시스템 자동화, 엔드포인트 응답 자동화, 자동화된 IP 블랙리스트 등록, 피싱 응답 자동화, 랜섬웨어 응답 자동화

모듈 7: QRAdar 포렌식, 네트워크 포렌식 및 데이터 분석

QRadar 사건 포렌식(QRIF) 및 포렌식 조사 기능, 패킷 캡처 분석을 위한 네트워크 포렌식(NFI) 및 사례 조사에 사용되는 포렌식 분석 기술을 다룹니다.

7.1 IBM QRAdar Forensics (QRIF)

• QRIF: 조사를 위한 포렌식 데이터 수집 및 저장
• 포렌식 데이터 소스: 패킷 캡처, 이벤트 로그 및 엔드포인트 포렌식
• 포렌식 분석: 타임라인 재구성, 파일 분석 및 네트워크 포렌식 분석
• 포렌식 증거 보존 및 연쇄 증인(Custodianship)
• QRIF 내 포렌식 분석 도구 및 기술

7.2 네트워크 포렌식 및 검사 (NFI)

• 네트워크 포렌식: 패킷 캡처 분석 및 네트워크 트래픽 검사
• 플로우 데이터 분석: QRAdar 네트워크 포렌식의 NetFlow, sFlow 및 IPFIX
• 프로토콜 분석: HTTP, DNS, SMTP, SSH, FTP 및 사용자 정의 프로토콜 검사
• 네트워크 포렌식을 통한 위협 감지: C2 비콘링, 데이터 유출 및 이동(횡단) 감지
• 의심스러운 트래픽 패턴 식별

7.3 사용자 및 개체 행동 분석 (UEBA)

• UEBA: 사용자 행동 기준선 이해 및 이상 감지
• UEBA 데이터 소스: 액티브 디렉토리, 프록시 로그, 엔드포인트 로그, DLP 로그, 인증 로그, 클라우드 로그
• UEBA 스코어링: 사용자 위험 점수 및 개체 위험 점수
• UEBA 기반 위협 감지: 침해된 계정, 내부자 위협 및 데이터 유출

시장 부합 역량: QRAdar 사건 포렌식 (QRIF), 포렌식 데이터 수집, 포렌식 조사 및 분석, 네트워크 포렌식, 패킷 캡처 분석, 플로우 데이터 분석, 네트워크 포렌식을 통한 위협 감지, 사용자 및 개체 행동 분석 (UEBA), 사용자 이상 감지, 내부자 위협 감지, 침해된 계정 감지, 사용자 행동을 통한 데이터 유출, C2 비콘링 감지, 네트워크 포렌식을 통한 이동(횡단) 감지, 디지털 포렌식 및 사례 대응 (DFIR), 증거 보존 및 연쇄 증인, 프로토콜 분석, 보안 로그 포렌식, 네트워크 분석을 통한 위협 조사

모듈 8: 클라우드 SIEM, SIAM-as-Code, 규정 준수 및 SIAM 운영

IBM QRAdar 운영, 확장, 규정 준수 보고, 클라우드 SIAM 통합, detection-as-code 관행 및 기업 규모 SIAM 배포에 필수적인 SOC 거버넌스를 평가합니다.

8.1 QRAdar 운영 및 관리

• QRAdar 관리: 사용자 역할, 권한 및 보안 정책
• QRAdar 구성 및 접근 로그 감사
• 관리 및 규정 준수를 위한 예약된 보고서 및 사용자 정의 보고서 설계
• 예약된 작업: 백업/복구, 데이터베이스 정리 및 유지 관리
• SIAM 로그 포워딩을 위한 Syslog 서버 구성
• QRAdar 애플라이언스용 소프트웨어 업데이트 및 패치 관리

8.2 규정 준수 보고 및 규제 매핑

• PCI DSS SIAM 요구사항 및 QRAdar 규정 준수 보고
• QRAdar 보고서와의 HIPAA, GDPR, SOX, NIST CSF 및 ISO 27001 규정 준수 매핑
• 규제 감사 보고: PCI DSS 및 HIPAA 감사자용 사용자 정의 보고서 템플릿
• 실시간 규정 준수 모니터링 및 지속적인 규정 준수 대시보드

8.3 SIAM-as-Code 및 인프라 as Code

• 버전 관리된 SIAM 규칙 관리: Git 기반 규칙 배포
• QRAdar 애플라이언스 프로비저닝 및 구성을 위한 Terraform 및 Ansible
• SIAM 규칙 및 플레이북용 CI/CD 파이프라인
• 규칙 배포 및 관리를 위한 QRAdar API 기반 자동화

8.4 클라우드 SIAM 및 하이브리드 클라우드 보안

• 클라우드 로그 소스 통합: AWS CloudTrail, Microsoft Sentinel, GCP 감사 로그, Azure Monitor
• 클라우드 네이티브 SIAM 전략: SaaS 환경용 SIAM (AWS, Azure, GCP, Office 365, AWS)
• microsoft Sentinel, Azure Sentinel, AWS CloudWatch Logs, Google Cloud Logging SIAM 통합
• 클라우드 신원 및 액세스 모니터링: IAM, 액티브 디렉토리, Entra ID
• 클라우드 워크로드 보호 및 SIAM 통합

8.5 신원 위협 감지

• 신원을 새로운 위협 경계로: 계정 침해 감지
• 액티브 디렉토리 위협 감지: Kerberoasting, AS-REP roasting, Golden/Sid 티켓 공격
• 멀티 팩터 인증 (MFA) 우회 감지
• 권한 신원 관리 (PIM) 모니터링

8.6 제로 트러스트 모니터링

• 제로 트러스트 아키텍처 모니터링: 신원, 장치 및 네트워크 제어
• 마이크로세그멘테이션 모니터링 및 정책 시행 검증
• SIAM 통합을 통한 제로 트러스트 규정 준수 보고

8.7 SOC 운영 및 SIAM 거버넌스

• SOC 지표 및 KPI: MTTR(평균 응답 시간), MTTD(SIAD 모니터링용)
• SOC 성숙도 평가 및 SIAM 기반 SOC 개선
• SIAM 거버넌스: 규칙 관리, 위양성 추적 및 지속적인 개선
• SIAM 운영 모범 사례: 모니터링, 경보 및 에scalation 절차

시장 부합 역량: QRAdar 관리, SIAM 운영 및 관리, SIAM 규정 준수 관리, PCI D SIAM 규정 준수 보고, HIPAA 및 GDPR SIAM 규정 준수, SOX 및 ISO 27001 SIAM 규정 준수, NIST CSF SIAM 매핑, 지속적인 규정 준수 모니터링, 사용자 정의 규정 준수 보고, SIAM-as-Code 및 인프라 as Code, SIAM용 Terraform, SIAM 배포용 Ansible, SIAM 규칙용 CI/CD, QRAdar API 자동화, 클라우드 SIAM 통합, AWS CloudTrail SIAM, Microsoft Sentinel 통합, GCP 클라우드 로깅 SIAM, Azure Monitor SIAM, Office 365 SIAM 통합, 클라우드 네이티브 SIAM, 제로 트러스트 모니터링, IAM 위협 감지, 신원 위협 감지, 액티브 디렉토리 위협 감지, Kerberos 공격 감지, 권한 신원 모니터링, 멀티 팩터 인증 (MFA) 보안, SOC KPI 및 지표 관리, SOC 성숙도 평가, SIAM 운영 모범 사례, 사례 대응 거버넌스, SIAM 규칙 수명 주기 관리, 기업 SIAM 거버넌스

모듈 9: 캡스톤 프로젝트 및 현실 세계 위협 시나리오

IBM QRAdar를 사용하여 위협 감지, 조사 및 사례 대응을 포함한 기업 보안 시나리오를 시뮬레이션하는 포괄적인 실습 캡스톤.

9.1 캡스톤 프로젝트: 기업 보안 시나리오

• 현실적인 로그 소스 및 공격 시나리오와 함께 시뮬레이션된 기업 환경 설정
• 로그 소스 배포 및 로그 수집 정책 구성
• MITRE ATT&CK에 매핑된 감지 규칙 빌드
• QRAdar에서 현실 세계 사건 데이터 조사 및 포렌식 분석 수행
• 자동화 대응을 위한 SOAR 플레이북 설계 및 배포
• PCI DSS, HIPAA 및 GDPR용 규정 준수 보고서 생성
• 용량 계획 수행 및 SIAM 배포 확장

9.2 현실 세계 위협 시나리오

• 시뮬레이션된 공격: 랜섬웨어 배포, 내부자 위협, 이동(횡단), 브루트 포스 공격, 공급망 공격 및 피싱
• 랜섬웨어 감지: 이동(횡단), 데이터 스테이징 및 이동(횡단) 감지
• 내부자 위협: 데이터 유출 시도 및 이상 감지
• 공급망 공격 감지: 침해된 공급업체 액세스 감지
• 피싱 대응: 자동화된 URL 차단 및 이메일 조사 워크플로우
• 제로데이 위협 조사: 규칙 없는 조사 기법을 사용한 알려지지 않은 위협 감지
• UEBA 및 포렌식 분석을 이용한 고급 지속성 위협(APT) 감지

시장 부합 역량: 캡스톤 보안 프로젝트 배포, 기업 SIAM 시뮬레이션, 현실 세계 위협 시나리오 설계, MITRE ATT&CK 감지 규칙 배포, SOC 사례 조사, QRAdar SOAR 플레이북 설계, 랜섬웨어 대응 시뮬레이션, 내부자 위협 감지, 피싱 응답 자동화, 공급망 공격 감지, 제로데이 위협 조사, 고급 지속성 위협(APT) 감지, SIAM 용량 계획 및 확장, 다중 규정 준수 보고 (PCI DSS, HIPAA, GDPR), 기업 위협 대응, 포렌식 위협 조사, 위협 인텔리전스 풍부화, 자동화된 사례 격리, SOC 운영 시뮬레이션, 풀 스캘 SIAD 엔지니어링 실습