SIEM 도입 비용 2026, 보안관제·방화벽 로그 예산 산정 기준

SIEM 도입 비용을 검토하는 보안관제실과 로그 예산 회의 장면 — SIEM 예산은 제품 이름보다 로그 수집량, 보존 기간, 탐지 운영 시간을 먼저 나눠야 한다.

SIEM 도입 비용을 물어보는 순간, 구매팀은 라이선스 견적서를 찾고 보안팀은 로그 수집 범위를 떠올린다.

실제 예산을 흔드는 쪽은 대개 제품 로고가 아니라 방화벽 로그, 프록시 로그, EDR 이벤트, 인증 로그를 어느 등급에 얼마나 오래 보관하느냐다.

이 글은 Microsoft Sentinel의 공식 단가와 여러 벤더의 가격 체계 설명을 기준으로, 보안관제 예산을 계산하기 전에 분리해야 할 항목을 정리한다.

기존 SIEM SOAR 차이 글이 개념과 자동화 범위를 다뤘다면, 여기서는 과금 단위와 운영 인력을 중심으로 본다.

핵심 요약

SIEM 비용은 GB당 분석 단가, 보존 기간, 장기 검색 비용, 탐지 룰 운영 시간, 사고 대응 훈련 비용으로 나눠야 한다.
Microsoft Sentinel 한국 중부 리전 참고값은 Pay-as-you-go Analysis 1GB당 약 8,916원, Basic Logs Analysis 1GB당 약 1,811원이다.
방화벽·프록시처럼 양이 큰 로그를 모두 실시간 분석 등급에 넣으면 월 예산이 먼저 터진다.
이 조건이면 도입 검토, 이 경우는 보류라는 판단표를 먼저 만들고 PoC 로그량을 14일 이상 재야 한다.

이 글이 필요한 사람

보안관제 내재화와 MDR 외주 사이에서 SIEM 예산을 비교하는 보안팀장.
방화벽, EDR, 클라우드 감사 로그를 한곳에 모으려는 인프라 운영자.
Microsoft Sentinel, Splunk, Elastic, CrowdStrike 계열 견적을 같은 표로 맞추려는 구매 담당자.
로그 수집량은 많은데 탐지 룰과 사고 대응 인력이 부족한 중견 조직.
ISMS, 감사, 침해사고 대응 증적 때문에 보존 기간을 다시 설계해야 하는 담당자.

먼저 결론: SIEM 도입 비용은 라이선스보다 로그 설계가 먼저다

SIEM 견적을 제품별 월액으로만 비교하면 실패한다.

같은 제품이라도 인증 로그 20GB/day만 넣는 조직과 방화벽·프록시 500GB/day를 넣는 조직의 비용 구조는 완전히 다르다.

Microsoft Sentinel 문서는 분석 등급이 실제 저장 데이터 볼륨과 보존 옵션을 기준으로 과금된다고 설명한다.

Splunk는 워크로드, 수집량, 엔터티 기반 가격 방식을 나눠 제시하며, Elastic은 Hosted와 Serverless처럼 운영 제어권과 사용량 기반 방식을 분리한다.

따라서 첫 회의의 질문은 어떤 제품이 싸냐가 아니라 어떤 로그를 실시간 탐지로 볼 것인가여야 한다.

질문	검토 기준	예산 영향	도입 판단
하루 로그 수집량	인증·EDR·방화벽·프록시·클라우드 감사를 GB/day로 분리	수집량이 곧 분석 단가와 보존 단가의 기준	14일 이상 실측 없으면 견적 보류
실시간 탐지 대상	계정 탈취, 권한 변경, 악성코드, lateral movement 중심	Analytics 등급 비중이 커질수록 단가 상승	탐지 룰이 있는 로그부터 우선
장기 보존 대상	감사·포렌식·법무 요구 로그를 별도 등급으로 분리	장기 저장과 검색 비용이 뒤늦게 증가	방화벽·프록시는 저비용 등급 검토
운영 인력	룰 튜닝, 오탐 처리, 티켓 전달, 대응 훈련 시간 산정	라이선스 밖 인건비가 반복 발생	담당자 없으면 MDR 견적과 비교

공식 가격표 핵심 숫자: 한국 리전 Sentinel 기준 하한선

가격 숫자가 공개된 클라우드형 SIEM 중 Microsoft Sentinel은 예산 산정 틀을 만들기 좋은 기준점이다.

아래 표는 Microsoft의 공개 가격 페이지와 Retail Prices reference에서 한국 중부 리전으로 확인한 참고값이다.

Microsoft 문서는 USD가 공식 retail price이며, 비 USD 통화 값은 예산 추정을 돕는 참고값이라고 설명한다.

항목	공식 단위	USD 기준	KRW 참고값	예산 해석
Pay-as-you-go Analysis	1GB	$5.81	8,916원	실시간 탐지와 조사에 쓰는 주요 보안 로그 하한선
Basic Logs Analysis	1GB	$1.18	1,811원	낮은 빈도의 보조 로그 분석 단가로 검토
Classic Auxiliary Logs Analysis	1GB	$0.0675	104원	대량 보조 로그를 낮은 단가로 분리할 때 참고
50GB Commitment Tier	1일	$217.6875	334,063원	2026년 말까지 가입 가능한 공개 preview성 구간
100GB Commitment Tier	1일	$399.60	613,226원	상시 100GB/day 이상이면 약정 검토 시작점
200GB Commitment Tier	1일	$739.80	1,135,297원	방화벽·프록시까지 포함할 때 비교할 구간
Solution for SAP Applications	1시간	$2.00	3,069원	SAP 보안 로그가 별도 범위이면 추가 산정

Microsoft Sentinel 문서는 31일 무료 평가에서 Analytics 로그 10GB/day까지 Log Analytics 수집과 Sentinel 분석 요금이 면제된다고 밝힌다.

무료 평가는 테넌트당 20개 워크스페이스 한도가 있으며, 자동화와 별도 기능 비용은 여전히 발생할 수 있다.

Commitment tier는 100GB/day부터 시작하며, 선택한 구간을 낮추거나 빠져나오는 작업은 31일 단위 제약을 받는다.

로그 등급을 나누지 않으면 방화벽 로그가 예산을 먹는다

보안팀이 가장 자주 놓치는 항목은 방화벽과 프록시 로그다.

로그량은 크지만 모든 이벤트가 실시간 탐지 신호는 아니어서, 무조건 고성능 분석 등급에 넣으면 비용 대비 탐지 효율이 낮아진다.

Microsoft Sentinel log plans 문서는 primary security data와 secondary security data를 나누고, 방화벽·프록시·NetFlow·IoT 로그를 고용량 보조 로그 예시로 든다.

이 조건이면 인증, EDR, 클라우드 감사 로그는 Analytics 등급에서 먼저 시작하는 편이 안전하다.

이 경우는 방화벽 원본 전체를 장기 포렌식용으로 두고, 탐지에 필요한 요약·차단·관리자 변경 이벤트만 별도 분석 대상으로 올리는 식이 낫다.

로그 소스	권장 출발점	비용 위험	운영 질문
ID·로그인	Analytics	계정 탈취 탐지가 늦으면 사고 비용이 커짐	SSO, MFA 실패, 관리자 로그인 이벤트가 들어오는가
EDR 이벤트	Analytics	엔드포인트 수 증가에 따라 GB/day가 빠르게 증가	중복 알림과 원시 이벤트를 분리했는가
방화벽·프록시	Data lake 또는 보조 등급 우선 검토	전량 실시간 분석 시 월 비용 급증	차단·허용·DNS·URL 로그를 모두 같은 등급에 둘 이유가 있는가
클라우드 감사	Analytics	권한 변경과 키 생성 이벤트를 놓치면 대응 지연	관리자 작업과 서비스 계정 작업을 구분하는가
애플리케이션 로그	혼합	보안 가치가 낮은 디버그 로그가 비용을 밀어 올림	보안 이벤트와 운영 디버그 로그를 분리했는가

실무 시나리오 1: 65GB/day 보안팀의 월 예산 하한선

중견 기업이 인증 12GB/day, EDR 35GB/day, 클라우드 감사 18GB/day를 우선 분석 대상으로 올린다고 가정한다.

Pay-as-you-go Analysis 8,916원/GB 참고값을 단순 적용하면 하루 약 579,540원, 30일 약 17,386,200원이 나온다.

이 계산은 할인, 세금, 환율, 별도 Azure 리소스, 보존 초과 비용을 뺀 하한선이다.

그런데 같은 조직이 방화벽·프록시 180GB/day를 같은 등급에 추가하면 30일 분석 비용만 약 48,146,400원이 더 붙는다.

그래서 1차 PoC는 모든 로그를 넣는 행사가 아니라, 탐지 가치가 높은 로그와 양이 큰 로그를 분리하는 작업이어야 한다.

시나리오	분석 로그량	참고 단가	30일 하한	판단
핵심 보안 로그만 시작	65GB/day	8,916원/GB	약 17,386,200원	탐지 룰과 담당자가 있으면 PoC 가능
방화벽·프록시 전량 추가	245GB/day	8,916원/GB	약 65,532,600원	보조 등급 분리 전에는 보류
방화벽·프록시를 보조 단가로 분리	65GB/day + 180GB/day	8,916원/GB + 104원/GB	약 17,947,800원	장기 검색 요건을 별도로 검토
100GB/day 약정 검토	100GB/day 이상 안정적	613,226원/일	약 18,396,780원	31일 변경 제약까지 구매팀에 공유

실무 시나리오 2: 보안관제 외주와 SIEM 내재화 비교

SIEM을 산다고 보안관제가 자동으로 생기지는 않는다.

탐지 룰을 누가 만들고, 오탐을 누가 줄이고, 야간 알림을 누가 판단하고, 사고 대응 증적을 누가 남기는지가 별도 비용이다.

MDR 견적은 월 구독료 안에 탐지·분석·보고·에스컬레이션 인력이 포함될 수 있지만, SIEM 내재화는 내부 인력 시간을 따로 계산해야 한다.

이 조건이면 내부 보안팀이 탐지 룰을 주 1회 이상 개선하고, 인프라팀이 로그 누락을 잡을 수 있을 때 내재화가 의미 있다.

이 경우는 오탐 티켓을 처리할 사람이 없거나, 침해사고 훈련을 분기 1회도 못 돌리면 SIEM 단독 구매를 보류해야 한다.

비교 항목	SIEM 내재화	MDR 외주	체크 질문
초기 비용	워크스페이스·커넥터·룰 설계·대시보드 구축	온보딩과 범위 정의 중심	자산 목록과 로그 소스가 이미 정리됐는가
반복 비용	수집량·보존·검색·운영 인력	계약 범위·SLA·엔드포인트 수	월별 로그 증가율을 누가 본가
탐지 품질	내부 룰 튜닝 품질에 의존	벤더 탐지 콘텐츠와 분석팀에 의존	업무별 정상 패턴을 설명할 내부 담당자가 있는가
사고 대응	런북과 권한 위임을 직접 운영	에스컬레이션과 보고서 범위를 계약에 명시	격리·계정잠금·복구 권한이 정해졌는가

제품별 가격 체계를 같은 표로 맞추는 방법

제품 비교는 숫자가 공개된 항목과 영업 견적 항목을 섞지 않는 방식으로 해야 한다.

Microsoft Sentinel은 GB/day와 commitment tier 기준이 비교적 명확하다.

Splunk는 공개 가격 페이지에서 workload, ingest, entity pricing 방식을 나누므로, 견적서에는 어떤 방식을 적용했는지부터 적어야 한다.

Elastic은 Hosted, Serverless, Self-managed 선택에 따라 운영 제어권과 비용 산정 축이 달라진다.

CrowdStrike Next-Gen SIEM은 통합 탐지, AI 기반 운영, 데이터 파이프라인 효율을 강조하지만, 비용 절감 수치는 고객 환경에 따라 달라진다는 단서를 함께 봐야 한다.

제품군	공개 체계	숫자 확인 방식	비교 시 주의
Microsoft Sentinel	GB 분석 단가와 commitment tier	가격표와 Retail Prices reference	Log Analytics, Logic Apps, 장기 보존 등 추가 Azure 비용 분리
Splunk	Workload, ingest, entity pricing	영업 견적과 방식 선택	수집량 기준인지 워크로드 기준인지 혼용 금지
Elastic Security	Hosted, Serverless, Self-managed	리소스 기반 또는 사용량 기반 가격표	Security 외 Observability와 함께 쓰면 리소스 경계 확인
CrowdStrike Next-Gen SIEM	플랫폼 통합형 견적	영업 견적과 모듈 범위	절감 수치는 고객 환경과 기존 솔루션에 따라 다름

도입 전 14일 PoC에서 반드시 재야 할 것

SIEM PoC는 예쁜 대시보드 데모가 아니라 과금 기준량과 운영량을 재는 실험이어야 한다.

최소 14일 동안 평일, 배포일, 배치 작업일, 보안 이벤트가 섞인 로그량을 봐야 월 예산이 덜 틀어진다.

자산 목록을 서버, 클라우드 계정, 방화벽, VPN, ID, EDR, SaaS로 나눈다.
로그 소스마다 하루 GB, 이벤트 수, 중복률, 보안 가치, 보존 필요 기간을 기록한다.
인증·EDR·권한 변경처럼 실시간 탐지 가치가 높은 로그부터 Analytics 등급 후보로 둔다.
방화벽·프록시·NetFlow처럼 고용량 로그는 원본 보존과 요약 탐지를 분리한다.
탐지 룰마다 오탐 처리 담당자와 티켓 라우팅 기준을 정한다.
하루 한 번 비용 대시보드를 확인하고 로그 급증 원인을 남긴다.
PoC 마지막 날 30일·90일·180일 예산을 각각 계산해 구매팀에 넘긴다.

보안·감사 관점의 보존 기간 기준

비용을 줄인다는 이유로 모든 로그 보존 기간을 줄이면 사고 조사에서 더 큰 비용이 생긴다.

Microsoft Sentinel log plans 문서는 Analytics tier가 기본 90일 interactive retention을 제공하고 최대 2년까지 확장 가능하다고 설명한다.

CISA의 Incident Response Plan 자료처럼 사고 전·중·후 절차를 정리할 때는 증적 접근성과 담당자 권한도 함께 써야 한다.

로그 종류	최소 검토 기간	이유	비용 절감 방식
관리자 로그인과 권한 변경	180일 이상 검토	계정 탈취와 내부자 행위 조사	중요 필드 중심으로 수집 정제
EDR 탐지와 격리 이벤트	180일 이상 검토	공격 체인과 lateral movement 추적	원시 중복 이벤트를 압축하거나 제외
방화벽 허용 로그	90일 분석 + 장기 보존 검토	대량 컨텍스트와 포렌식	고용량 보조 등급 또는 data lake 분리
프록시와 DNS	90일 분석 + 장기 보존 검토	C2 통신과 피싱 조사	요약 지표와 원본 보존 정책 분리
클라우드 감사 로그	180일 이상 검토	정책 변경과 키 생성 추적	관리 이벤트 우선 수집

실무 스켈레톤: 예산 산정 파일과 검산 코드

아래 예시는 바로 운영 반영용 코드가 아니라, 견적 회의에서 로그 등급과 비용 항목을 빠뜨리지 않기 위한 검산 스켈레톤이다.

공식 가격표, 계약 할인, 세금, 환율, 리전 차이, 보존 정책은 실제 구매 직전에 다시 확인해야 한다.

# sentinel-cost-model.yaml
# 목적: SIEM 도입 전 로그 수집량, 보존 기간, 분석 등급, 보안관제 인력을 분리해 예산을 계산한다.
# 단가는 계약 시점, 리전, 통화, 계약 할인에 따라 달라지므로 최신 공식 가격표와 견적서를 최종 기준으로 둔다.

workspace:
  region: koreacentral
  currency_reference: KRW
  checked_date: 2026-07-31
  owner_team: security_operations
  cost_owner: finops

log_sources:
  identity_signin:
    tier: analytics
    ingestion_gb_per_day: 12
    retention_days: 180
    reason: account_takeover_detection
  endpoint_edr:
    tier: analytics
    ingestion_gb_per_day: 35
    retention_days: 180
    reason: malware_and_lateral_movement_detection
  firewall_and_proxy:
    tier: data_lake
    ingestion_gb_per_day: 180
    retention_days: 365
    reason: high_volume_context_and_forensics
  cloud_audit:
    tier: analytics
    ingestion_gb_per_day: 18
    retention_days: 180
    reason: privileged_activity_and_policy_change

sentinel_price_reference:
  pay_as_you_go_analysis_krw_per_gb: 8916
  basic_logs_analysis_krw_per_gb: 1811
  classic_auxiliary_logs_analysis_krw_per_gb: 104
  commitment_50gb_krw_per_day: 334063
  commitment_100gb_krw_per_day: 613226
  commitment_minimum_change_window_days: 31

operating_costs:
  soc_shift_hours_per_month: 160
  detection_engineering_hours_per_month: 40
  incident_response_drills_per_quarter: 1
  rule_tuning_review_cycle_days: 14

approval_gate:
  require_source_inventory: true
  require_retention_policy: true
  require_false_positive_owner: true
  require_incident_response_runbook: true
  require_monthly_cost_review: true

# siem_cost_check.py
# 목적: 로그 등급을 나누지 않은 단순 GB 합산 견적을 막는 검산용 스켈레톤이다.
# 실제 과금 금액은 최신 공식 가격표, 계약 할인, 세금, 환율, 리전, 데이터 보존 정책으로 다시 확인한다.

from dataclasses import dataclass

@dataclass
class LogLine:
    name: str
    gb_per_day: float
    tier: str
    unit_krw: float
    retention_days: int

    def daily_cost(self) -> float:
        return self.gb_per_day * self.unit_krw


def monthly_ingestion_cost(lines: list[LogLine], days: int = 30) -> float:
    return sum(line.daily_cost() for line in lines) * days


def risky_lines(lines: list[LogLine]) -> list[str]:
    risks = []
    for line in lines:
        if line.tier == "analytics" and line.gb_per_day > 100:
            risks.append(f"{line.name}: high-volume logs in analytics tier")
        if line.retention_days < 90 and line.tier == "analytics":
            risks.append(f"{line.name}: retention below default investigation window")
    return risks


lines = [
    LogLine("identity_signin", 12, "analytics", 8916, 180),
    LogLine("endpoint_edr", 35, "analytics", 8916, 180),
    LogLine("firewall_and_proxy", 180, "data_lake", 104, 365),
    LogLine("cloud_audit", 18, "analytics", 8916, 180),
]

print(round(monthly_ingestion_cost(lines)))
print(risky_lines(lines))