SIEM base
Sentivex는 탐지 엔진이 아닙니다. XDR, 클라우드, 인증 로그가 만든 알림과 인시던트를 수집·정규화·중복제거·상관한 뒤 SOC가 읽을 수 있는 사건 맥락으로 만듭니다.
Sentivex Solutions Family
Sentivex Solutions
SIEM 기반 SOC으로 보안 인시던트의
분석과 대응을 다시 설계합니다
다벤더 XDR, 클라우드, 인증 로그가 남긴 인시던트들의 맥락을 바탕으로 분석 깊이와 SOC 처리량 사이를 완화합니다.
SEE(Sentivex Evolution Engine)는 근거를 신뢰할 수 있는 판정으로 인시던트를 정리하고, 자동 처리하기 어려운 사건은
SIT(Sentivex Incident Ticket) 오케스트레이션이 MDR·SOC가 승인하고 실행할 Ticket으로 전환하는 방식으로 자율 운영합니다.
Deterministic grounding
IOC·CVE·MITRE·APT는 벡터 유사도가 아니라 SQL exact-match로 먼저 확정합니다. unknown은 unknown으로 남겨 RAG식 환각이 판단을 덮지 못하게 합니다.
Agentic operations
SEE는 그라운딩된 사건 번들을 multi-lens로 분석하고, SIT는 사람이 판단해야 할 사건을 담당자·SLA·승인·처리 기록을 가진 Agentic Ticket으로 운영합니다.
Next-generation SOC · Agentic
Sentivex Operations Architecture
SIEM 상관·결정적 grounding·multi-lens 분석·Agentic Ticket 운영을 하나의 관찰과 판단 체계로 연결합니다. Next-generation SOC를 위해 설계된 Sentivex만의 proprietary core orchestration — Autonomous Operations와 Self-Evolving Intelligence가 사건 맥락과 대응 흐름을 스스로 정렬하고 발전시킵니다.
Intake Fan-out
단일 수집 · 팬아웃
다벤더 XDR·클라우드·인증 관측을 단일 OCSF 흐름으로 받아 분기하는 수집의 관문.
Pattern 01 · Sentivex Orchestration
Sentivex 오케스트레이션
XDR 벤더와 클라우드·SaaS·네트워크·외부 TI 데이터를 함께 수집해 상관관계로 사건을 만들고, 병렬 분석·TI 자율운영·자율학습·HITL·티켓 처리·운영 채널 연동까지 조율합니다.
Intake
Collect
근거, 분석, 학습, 운영 채널을 사건 단위로 조율합니다.
XDR vendors
Cortex · CS · S1
Cloud / SaaS
AWS · O365
OCSF finding
OpenSearch
Network / SIEM
logs · flow
External TI
IOC · intel
Collab / ITSM
Teams · Jira
normalize
OCSF · evidence
correlate
entity graph
sentivex core
ground · hunt
parallel lens
21+ specialists
TI autonomy
learn · enrich
HITL / route
auto · human
ticket / channel
ITSM · Teams
integration loop
ServiceNow · Jira · Ocean
Multi-source collect
XDR 벤더, 클라우드, SaaS, 네트워크, 외부 TI, 협업 이벤트를 사건 후보로 받아들입니다.
Normalize & preserve
OCSF와 내부 incident 형태로 정리하고 원본 근거는 OpenSearch/PostgreSQL에 보존합니다.
Correlation graph
알럿, 인시던트, IOC, 사용자, 호스트, 자산, 정책 신호를 같은 사건 맥락으로 묶습니다.
Evidence archive
분석 중 생성된 근거와 원본 링크를 나중에 재검증 가능한 단위로 남깁니다.
Parallel lens fan-out
Grounding, TI hunting, IOC context, specialist lens를 동시에 병렬 호출합니다.
Reconcile & critic
lens 결과를 결합하고 A/B 판단, mediator 토론, critic 검증으로 결론을 보정합니다.
Autonomous TI ops
TI 인텔리전스 운영 결과를 재관측, 보강, 정책 힌트, 자율학습 피드백으로 되돌립니다.
Hunt expansion
새 IOC와 행위 패턴을 내부 관측 데이터에 다시 대입해 추가 흔적을 찾습니다.
HITL / auto route
자동 처리 가능한 흐름과 사람 승인·협의가 필요한 흐름을 정책에 따라 분리합니다.
Report drafting
검증된 결론, 근거, 조치 제안을 운영 보고서와 티켓 본문으로 정리합니다.
Incident ticketing
메인 인시던트 티켓, 후속 sub-ticket, 품질·증거 공백 티켓을 처리 시스템으로 넘깁니다.
Integrations
Teams, Zoom, Slack, ServiceNow, Jira, Ocean 등 운영 채널과 양방향으로 연결합니다.
Collaboration sync
채팅, 회의, 승인 코멘트, 운영자 질의를 사건 타임라인에 연결합니다.
Ticket lifecycle
담당자 배정, SLA, 보류, 재분석, 종료 조건을 사건 상태와 함께 추적합니다.
Audit trail
자동 판단, 사람 승인, 외부 전송, 정책 변경 이력을 감사 가능한 로그로 남깁니다.
Learning feedback
처리 결과를 TI 품질, lens 선택, 정책 힌트, 자율학습 루프로 되돌립니다.
Identity Fan-out
인증 · 테넌트 팬아웃
하나의 SSO 신원에서 조직·테넌트·역할·벤더 스코프로 권한을 펼칩니다.
Pattern 11 · Identity Fan-out
IdP 토큰 fan-out
사용자가 inbridge-auth에서 단일 인증을 받고 제품군 앱으로 토큰을 전달받는 구조 예시입니다.
사용자
inbridge-auth
IdP · SSO · OIDC
token
token
token
token
sentivex-web
token
see
token
ti-app
token
index-pm
token
Pipeline Rail
파이프라인 상태 레일
수집→정규화→보강→적재의 상태를 하나의 레일로 관측합니다.
Pattern 08 · Pipeline State Rail
수집 파이프라인 상태 레일
수집·정규화·보강·판정·운영 반영이 같은 선 위에서 진행되는 상태판 패턴입니다.
Collect
feed ingest
Normalize
IOC schema
Enrich
reputation
Classify
policy
Operate
queue/link
queued
schema ok
lookup
policy
handoff
Lens Orbital
멀티-lens 오비탈 분석
n-lens 병렬 분석이 사건을 여러 관점의 궤도로 동시에 돌며 상관합니다.
Pattern 02 · Parallel Lens Orbital
21+ lens 병렬 분석
인시던트나 알럿이 전처리·후처리·TI hunting을 거친 뒤 필요한 specialist lens만 선택되어 병렬로 작동합니다. 사건에 따라 2개, 3개, 6개, 18개, 22개처럼 가동 범위가 달라지고, 포커스는 완료 순서의 마지막 lens를 가리킵니다.
3 lens
parallel run
parallel run
process chain
credential
network comms
defense
evasion
persistence
lateral
movement
IOC forensic
MITRE mapping
classification
data
exfiltration
scheduled
task
user behavior
cloud
identity
vulnerability
DNS
exfiltration
endpoint
hardening
timeline
correlation
kill
chain stage
insider risk
container
security
email
phishing
asset
exposure
process chain
프로세스 부모·자식 관계와 실행 순서를 따라 초기 실행점과 의심 커맨드를 찾습니다.
credential
계정, 토큰, 인증 실패·성공 이벤트를 묶어 credential access 가능성을 확인합니다.
network comms
외부 통신, C2 후보, 비정상 포트·도메인 접속을 네트워크 관점으로 재구성합니다.
defense evasion
로그 삭제, 정책 우회, 보안 도구 회피 신호가 있는지 회피 전술 기준으로 검토합니다.
persistence
예약 작업, 서비스 등록, 시작 프로그램 등 재실행 지속성을 만드는 흔적을 찾습니다.
lateral movement
호스트 간 이동, 원격 실행, 인증 재사용 흐름을 따라 확산 가능성을 판단합니다.
IOC forensic
해시, IP, 도메인, 파일 경로를 추출해 외부 평판과 내부 재관측 근거로 검증합니다.
MITRE mapping
관측된 행위를 MITRE tactic/technique 후보로 매핑해 보고와 헌팅 기준을 만듭니다.
classification
전체 근거를 사건 유형으로 묶고 후속 판정·합의 단계에 넘길 분류 축을 만듭니다.
data exfiltration
대량 전송, 압축, 외부 업로드, 비정상 egress 패턴으로 유출 가능성을 봅니다.
scheduled task
예약 작업 생성·변경과 반복 실행 흔적을 확인해 지속성 또는 자동 실행을 판별합니다.
user behavior
사용자 평소 행위와 다른 로그인, 실행, 접근 패턴을 비교해 이상 행동을 찾습니다.
cloud identity
클라우드 계정, 권한 상승, 세션 토큰 사용 흐름을 ID 중심으로 확인합니다.
vulnerability
취약 서비스, 익스플로잇 흔적, 패치 공백이 사건의 진입점인지 검토합니다.
DNS exfiltration
긴 쿼리, 반복 서브도메인, 터널링 의심 패턴으로 DNS 기반 유출을 점검합니다.
endpoint hardening
차단 정책, EDR 상태, 보호 기능 비활성화 여부로 엔드포인트 방어 상태를 봅니다.
timeline correlation
알럿·프로세스·네트워크·사용자 이벤트를 시간축으로 정렬해 인과관계를 만듭니다.
kill chain stage
정찰부터 실행, 지속, C2, 영향 단계까지 현재 사건이 어디에 있는지 표시합니다.
insider risk
내부자 오남용 가능성을 권한, 접근 대상, 반복 행동 변화 관점으로 분리합니다.
container security
컨테이너 이미지, 런타임, 권한, 네트워크 격리 위반 가능성을 확인합니다.
email phishing
메일 유입, 링크 클릭, 첨부 실행, 계정 탈취 흐름을 피싱 관점으로 재구성합니다.
asset exposure
노출 자산, 취약 서비스, 외부 접근면이 사건 확산 조건인지 확인합니다.
IOC Verification
결정적 IOC 검증
낯선 지표를 다중 소스로 검증해 결정적 grounding의 근거로 축적합니다.
Pattern 03 · IOC Verification
IOC 추출과 외부 검증
lens 결과에서 IOC를 추출하고 VirusTotal, AbuseIPDB, 내부 TI로 검증하는 2레인 파이프라인입니다.
lens findings
9 specialists IOC
extract IOC
hash · IP · domain
verify
enrich API
summary_md
reconciler input
VirusTotal
community signal
AbuseIPDB
IP reputation
internal TI
IOC index
Dual Reconciler
이중 조정자
상반된 판단을 두 축으로 대조해 합의 가능한 결론으로 정렬합니다.
Pattern 04 · Dual Reconciler
A/B 합의와 mediator 토론
Reconciler A, Reconciler B, Discussion mediator를 트렁크 분기 구조로 보여줍니다.
lens findings
근거 결합 결과
consensus lead
판정 조율
Reconciler A
독립 판정 A
Reconciler B
독립 판정 B
Mediator
충돌 토론
case memory
사건 맥락
team memory
합의 근거
Split Decision
분기 결정 라우팅
확신과 불확실을 갈라 자동 처리와 사람 게이트로 라우팅합니다.
Pattern 07 · Split Decision
근거 결합 후 판정 분기
IOC·해시·평판·내부 관측 근거를 합친 뒤 benign, threat, unknown hold로 갈라지는 의사결정 패턴입니다.
artifact
raw evidence
해시, IP, URL, 내부 관측 이벤트를 판정 가능한 근거 단위로 묶습니다.
evidence join
correlate
평판, 관측, 정책 근거를 결합해 세 가지 판정 후보로 분기합니다.
benign
allow path
화이트리스트, NSRL, 내부 정상 관측이 동시에 맞을 때만 낮춥니다.
threat
investigate
악성 평판과 내부 관측이 결합되면 헌팅 또는 대응 후보로 보냅니다.
unknown
evidence gap
근거가 비거나 충돌하면 보류하고 추가 관측 큐로 연결합니다.
NSRL/benign 근거
외부 평판 충돌
내부 관측 부재
정상
화이트리스트·NSRL·내부 benign 근거가 충분할 때만 낮춥니다.
위험
악성 평판과 내부 관측이 만나면 조사 또는 차단 후보로 보냅니다.
보류
근거가 비면 unknown으로 남기고 헌팅 큐에 연결합니다.
근거
각 분기는 원천 근거·평판·관측 이벤트로 드릴다운합니다.
Review Loop
순환 검토 루프
판단이 근거로, 근거가 다시 판단으로 순환하며 품질을 끌어올립니다.
Pattern 13 · Circular Review Loop
원형 검토 루프
수집·검토·승인·기록이 반복되는 작은 원형 프로세스 패턴입니다.
collect
review
approve
record
Decision Report
grounding 결정 리포트
지어낸 숫자 없이, 라이브 데이터에 grounding된 결정으로 마무리합니다.
Pattern 05 · Decision Report
Critic, HITL, Reporter, ITSM
검증 결과가 사람 게이트와 보고서 생성을 거쳐 운영 티켓으로 나가는 4열 트리입니다.
Consensus
판정 합의
A/B 판정과 mediator 토론 결과를 검증·운영 단계로 넘깁니다.
Critic
근거 검증
근거 누락, 환각, 충돌, 정책 위반을 보고서 전 단계에서 걸러냅니다.
HITL gate
사람 승인
고위험, 불확실, 승인 필요 판단은 사람 협의나 보류로 분기합니다.
Reporter
보고서 생성
검증된 결론과 근거만 운영 보고서와 티켓 본문으로 정리합니다.
Incident ticket
메인 티켓
index-pm/ITSM에서 담당자, SLA, 상태, 감사 이력을 관리합니다.
Sub-ticket
후속 처리
HITL, 품질, 증거 공백, 합의 충돌을 하위 작업으로 분해합니다.
Incident Autonomy
자율 대응 · HITL 게이트
자율 대응은 사람 승인 게이트 뒤에서만 실행되며 모든 결정이 감사됩니다.
Pattern 14 · Incident Autonomy
벤더 이벤트 기반 Sentivex 자율 분석
벤더 인시던트와 알럿 발생이 사건 단위로 Sentivex Core에 들어오고, 결정적 grounding·TI hunting·AI agent 분석을 거쳐 판정과 합의 이후 처리 경로로 분기됩니다.
vendor event intake
벤더 인시던트
발생 · Cortex · Critical
벤더 알럿
발생 · CrowdStrike · High
OCSF finding
발생 · Symantec · Medium
TI match
재관측 · SentinelOne · Low
Sentivex Core
사건 단위 분석
Grounding
결정적 전·후처리
TI hunting
IOC · context
AI Agent 분석
에이전트 추론
판정
route
합의
A/B
이중협의
bot + human
분기 조율
orchestrate
triage
orchestr.
core
ground
TI
agent
triage
decide
agree
orch
dual
orchestrate
보고서 생성
summary draft
사람 협의
HITL discuss
티켓 발행
ITSM handoff
SIT Lifecycle
Agentic Ticket 생애주기
분석 결과가 인시던트 전용 티켓으로 태어나 SLA·대응 생애주기를 돕니다.
Pattern 15 · SIT Triage Lifecycle
Agentic Ticket, Role Triage, SLA, Response
ITSM으로 발행된 인시던트가 SIT 안에서 역할·스킬 기반 담당자 배정, SLA 일정, 사람 승인, 협업 호출, 대응 기록으로 이어지는 4열 운영 트리입니다.
Incident ticket
SEE handoff
SEE verdict, 보고서, evidence trace, HITL flag를 보존해 Agentic Ticket으로 전환합니다.
Role pool
역할·스킬 매칭
L1, L2, IR, 포렌식, 헌터, 인프라 전문가 풀에서 역할과 스킬을 기준으로 담당자를 제안합니다.
SLA schedule
일정 자동 배치
심각도, 처리 티어, 담당자 부하를 보고 보드·타임라인·캘린더에 처리 구간을 배치합니다.
Approval gate
HITL interrupt
차단, 격리, 계정 조치처럼 실행성 대응은 사람 승인 전까지 멈춥니다.
Collaboration
즉시 소집
Teams, Zoom, Google Meet, Slack으로 전화·회의·대화 요청을 열고 티켓 대화로 남깁니다.
Response
대응 실행
담당자가 근거와 제안 조치를 확인한 뒤 필요한 조치와 처리를 신속하게 실행합니다.
Audit trail
SoR 기록
담당자 변경, 승인, 협업, 실행 결과, 보류 사유를 모두 Ticket 기록으로 닫습니다.
Agentic Ticket intake
SEE가 넘긴 사건을 원본 근거와 함께 티켓 SoR에 멱등 저장합니다.
Role-skill triage
역할, 스킬, 경험, 담당 티어, 현재 부하를 기준으로 MDR/SOC 담당자를 자동 제안합니다.
SLA timeline
긴급도와 처리 경로에 맞춰 보드, 목록, 타임라인, 캘린더에 일정이 잡힙니다.
Human gate
자동 처리하기 어려운 사건은 승인 대기 상태에서 MDR/SOC 판단을 요구합니다.
Communication trigger
즉시 대응이 필요하면 Teams, Zoom, Google Meet, Slack 호출을 티켓 안에서 시작합니다.
Response & record
담당자는 판단 뒤 조치를 실행하고 모든 결정과 결과를 감사 가능한 기록으로 남깁니다.
Spawned Tickets
하위 티켓 팬아웃
하나의 사건이 필요한 하위 작업으로 규칙 기반 팬아웃됩니다.
Pattern 06 · Spawned Tickets
결함별 sub-ticket 분해
하나의 분석 결과에서 HITL, 품질, 증거 공백, 합의 충돌 티켓을 분기 생성하는 fork 패턴입니다.
01function spawnTickets(result) {
02 const spawned = []
03 if (result.needsHumanSignoff) {
04 spawn("hitl_signoff", "P0", "soc-l3-lead")
05 }
06
07 if (result.qualityDrift) {
08 spawn("analysis_quality", "P2")
09 }
10 if (result.evidenceGap) {
11 spawn("evidence_gap", "P2")
12 }
13 if (result.decisionConflict) {
14 spawn("decision_conflict", "P2")
15 }
16
17 return sendToItsm(spawned)
18}
spawn engine
hitl
hitl_signoff
analysis_quality
evidence_gap
decision_conflict
TI Intelligence
자율 진화 위협 인텔
400만 인텔이 낯선 지표를 스스로 찾아 채우며 오비탈로 자랍니다.
Pattern 09 · TI Intelligence Overview
TI 위협 인텔리전스 지도와 오비탈
랜딩에서 쓰는 실측 위협 지도와 글로벌 TI 오비탈을 한 섹션의 2칸 레이아웃으로 묶은 패턴입니다.
TI 위협 인텔리전스 지도
ti_geo_points 실측 데이터를 글로벌 지도 위에 올려 핫존, 의심 지역, 관측 밀도를 확인합니다.
LIVE / ti_geo_pointsloading
출처 분류
Critical · 핫존
High · 의심
Observed · 관찰
접속 위치
2,000 km
실데이터를 불러오는 중입니다.
TI 오비탈 · 글로벌 위협 인텔리전스
MISP, OTX, VT, CVE, RaaS, DNS, APT, Dark Web 피드가 TI HUB로 동시에 유입되는 오비탈 패턴입니다.
◎TI 오비탈 · 글로벌 위협 인텔리전스
12 피드 · 실시간 수집·정규화·매칭
1,249
IoC 처리/분
306
악성코드 갱신/시
43
APT 관측 중
17
Dark Web 신호
Ops Matrix
운영 신선도 매트릭스
소스별 신선도·수집 상태를 하나의 매트릭스로 관측합니다.
Pattern 09 · Ops Freshness Matrix
운영 신뢰도 매트릭스
데이터가 최신인지, 비지 않았는지, 검색 인덱스와 맞는지, 현재 오류인지 한 화면에 묶는 운영 패널입니다.
Signal focus
Freshness
실제 수치를 연결하기 전에는 상태 의미만 보여줍니다. 운영 화면에 붙일 때 각 셀은 drill-down 링크를 가져야 합니다.
source
Freshness
Coverage
Sync
Errors
PostgreSQL
ioclog
last import
check
check
check
OpenSearch
ti index
search ready
check
check
check
Workers
enrich
queue drain
check
check
check
Schedulers
cron/pm2
next run
check
check
check
Handoff Swimlane
역할 인계 스윔레인
관측에서 판단, 대응까지 역할 사이의 인계를 레인으로 정렬합니다.
Pattern 10 · Role Handoff Swimlane
제품군 역할 인계 스윔레인
SCTI에서 만든 근거가 헌터, 대응 티켓, 경영 보고로 이동하는 제품군 연결 패턴입니다.
CTI
Hunter
SIT
Exec
IOC evidence
SCTI lookup
hunt candidate
context pivot
response task
SIT approval
audit brief
exec summary
Two-branch
자율 ↔ 사람 분기
자율과 사람의 두 갈래가 사건 맥락에 따라 스스로 갈립니다.
Pattern 12 · Compact Two-branch
작은 원형 양갈래 분기
좁은 카드나 표 안에 넣는 소형 분기 패턴입니다. 원형 노드와 짧은 라인으로 밀도를 낮춥니다.
IOC
route
policy
allow
review
compact action
테이블·카드 내 빠른 분기