🎯 목표설정

팀 근두운 인프라의 SIEM 코어인 Wazuh가 각 엔드포인트에 설치된 Agent로부터의 로그, S3 버킷에 저장되어 있는 AWS 시스템(CloudTrail, VPC Flow Logs, ALB Access Logs, WAF Logs, GuardDuty Findings) 이벤트들을 Wazuh Manager가 수집해 다양한 보안 이벤트를 중앙 수집하고, 탐지룰에 매핑된 Alert를 대시보드에서 보여주고 있다.

우리는 대시보드의 Alert를 확인하고, 시스템의 위협상황을 모니터링해야 한다. 하지만, 24시간 대시보드만 보고 있는 것은 사실상 불가능하다.

따라서, 이번 과정에서는 Wazuh에서 Alert가 발생하면 팀 디스코드 채널로 알림을 보내 관리자가 대시보드를 보고 있지 않아도, Alert를 확인할 수 있도록 할 예정이다.

🧑🏻‍🔧 구축과정

구축하기 전, 먼저 웹훅(Webhook) 개념을 짚고 넘어가보자. 웹훅은 특정 이벤트가 발생했을 때 실시간으로 다른 애플리케이션에 데이터를 보내주는 HTTP 기반의 알림 기능이다.

수신 측 웹훅 URL을 송신 측에 등록해 두면, 송신 측에 특정 이벤트가 발생했을 때 HTTP POST 요청으로 이벤트 데이터를 수신 측으로 보내고, 수신 측은 이 데이터를 수신하여 내부적으로 로직을 처리해 알림을 생성하는 것이다.

sequenceDiagram
	participant A as 수신 측
	participant B as 송신 측
	A-->B: 1️⃣ 수신 측 웹훅 URL을 송신 측에 등록
	B->>B: 2️⃣ 특정 이벤트 발생
	B->>A: 3️⃣ HTTP POST 요청(이벤트 데이터)
	A->>A: 4️⃣ 데이터 수신 및 내부 로직 처리<br/>(알림 생성)
	A->>B: 5️⃣ 성공 응답 (HTTP 2XX)

디스코드는 이러한 웹훅 기능을 매우 간편하게 지원해준다.

알림을 받을 텍스트 채널을 선택하고, 설정에서 웹후크 만들기를 통해 웹훅을 생성한다.

그러면 웹후크가 만들어지면서 웹후크 URL(https://discord.com/…)이 같이 생성되어, 디스코드가 웹훅을 통해 알림을 받을 준비를 마친다.

웹후크 URL은 메시지 전송 권한을 가진 토큰값이 포함되기 때문에 노출되지 않도록 주의해야 한다. 노출될 경우, 누구나 내 채널에 메시지를 보낼 수 있게 된다.

이제 수신 측(디스코드)에서 준비사항은 끝났다. 다음으로는 송신 측(Wazuh) 설정을 진행해보자.

Wazuh Manager는 Integrator라는 모듈을 통해 외부 API 및 알림 도구에 연결할 수 있도록 지원해주고 있다. https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html#virustotal

기본적으로 Slack, PagerDuty, VirusTotal, Shuffle, Maltiverse에 대한 연동 스크립트는 제공하고 있지만 디스코드의 경우는 전송 스크립트를 별도로 작성해주어야 한다.

custom- 접두사를 사용하면, 사용자 정의 연동 스크립트를 등록할 수 있다. Wazuh Manager 쉘에 접속해, /var/ossec/integrations/ 경로에 가보면 위에서 언급했던 기본 통합 서비스들의 스크립트 파일이 있는 것을 볼 수 있다.

우리는 디스코드와 연동할 것이기 때문에 해당 경로에 custom-discord라는 이름의 파일을 만들어 스크립트 코드를 작성하였다.(지피티 도움…)

• custom-discord 스크립트 코드