SIEM SOAR 차이 2026, 보안관제 도입 전 로그·자동화·비용 기준

SIEM SOAR 차이 보안관제 로그 분석과 자동화 도입 비교 장면 — SIEM은 로그와 경보의 증거를, SOAR는 반복 대응 흐름을 다루는 도구로 봐야 합니다.

SIEM SOAR 차이를 찾는 팀은 보통 보안관제 비용이 먼저 늘어난 상태입니다.

로그는 계속 쌓이는데 경보 우선순위가 흐려지고, 반복 조사는 늘어나는데 자동화가 사고를 더 키울까 걱정됩니다.

결론부터 말하면 SIEM은 “무슨 일이 일어났는지 증거를 모으고 판단하는 층”이고, SOAR는 “반복 대응 절차를 안전하게 실행하는 층”입니다.

두 도구를 같은 예산 항목으로 묶으면 견적 비교가 쉬워 보이지만, 실제 운영에서는 실패 지점이 완전히 다릅니다.

핵심 요약

SIEM은 로그 수집, 정규화, 상관분석, 탐지 규칙, 감사 증거가 핵심입니다.
SOAR는 playbook, 승인 흐름, case 관리, 반복 조사 자동화, 되돌리기 절차가 핵심입니다.
보안관제 예산은 라이선스보다 하루 로그량, 보존 기간, 규칙 튜닝, playbook 유지 인력이 더 크게 흔듭니다.
이 조건이면 먼저 SIEM 범위를 줄이고, 경보 처리량이 병목이면 SOAR를 작게 붙이는 순서가 안전합니다.

이 글이 필요한 사람

SOC 또는 보안팀에서 SIEM과 SOAR를 같은 벤더 묶음으로 살지 판단해야 하는 담당자
MDR, EDR, XDR 견적을 본 뒤 내부 로그 소유권과 자동화 범위를 다시 정리해야 하는 팀
Microsoft Sentinel, Splunk SOAR, IBM SOAR, Cortex XSOAR 같은 제품을 비교하기 전에 기준표가 필요한 구매 담당자
경보는 많은데 실제 조치가 느려 자동 격리, 계정 비활성화, 티켓 생성을 어디까지 허용할지 정해야 하는 운영 책임자
감사 대응 때문에 로그 보존과 사건 처리 기록을 문서로 남겨야 하는 정보보호 담당자

SIEM SOAR 차이 한 줄 결론

SIEM은 탐지와 증거의 중심이고, SOAR는 대응 흐름의 중심입니다.

SIEM 없이 SOAR를 먼저 사면 자동화할 경보 품질이 낮아지고, SOAR 없이 SIEM만 늘리면 분석가가 반복 조사를 계속 떠안습니다.

구분	SIEM	SOAR	실무 판단
주요 목적	로그 수집과 상관분석	대응 흐름 자동화와 case 관리	탐지가 흔들리면 SIEM부터 봅니다.
입력 데이터	계정, 엔드포인트, 방화벽, 클라우드 로그	SIEM 경보, EDR 경보, 티켓, 위협 인텔	경보 품질이 낮으면 자동화도 같이 흔들립니다.
주요 산출물	탐지 규칙, 대시보드, 감사 증거	playbook, 승인 기록, 대응 task	감사 중심이면 SIEM 증거가 우선입니다.
운영 병목	로그량, 보존 기간, false positive	승인 흐름, 예외 처리, playbook 노후화	사람의 결정을 줄일 곳과 남길 곳을 나눕니다.
비용 변수	GB 단가, 보존, workspace, 튜닝 인력	연동 도구 수, 자동 action, 유지보수 인력	라이선스보다 운영 범위를 먼저 계산합니다.

Microsoft Sentinel 문서도 Sentinel을 클라우드 기반 SIEM으로 설명하면서 탐지, 조사, 대응, hunting을 한 흐름으로 묶습니다.

같은 문서 체계 안에서 자동화 기능은 automation rule과 playbook으로 반복 enrichment, response, remediation 작업을 줄이는 영역으로 분리됩니다.

공식 가격표 핵심 숫자

비용 글에서는 “비쌀 수 있다”는 말로 끝내면 안 됩니다.

아래 숫자는 Microsoft 공식 가격 데이터에서 Korea South 지역의 Sentinel 항목을 확인한 값이며, 실제 계약·환율·세금·프로모션에 따라 달라질 수 있습니다.

비용 항목	공식 숫자	단위	도입 판단
Pay-as-you-go Analysis	$5.61	1GB	초기 PoC나 로그량 변동이 큰 팀은 이 단가로 일 단위 추산을 시작합니다.
Basic Logs Analysis	$1.25	1GB	탐지보다 장기 보관·조회 중심 로그는 낮은 등급을 분리 검토합니다.
Classic Auxiliary Logs Analysis	$0.0625	1GB	고빈도 저가치 로그를 모두 분석 tier에 넣지 않는 근거가 됩니다.
Free Benefit - M365 Defender Analysis	$0	1GB	Microsoft 보안 제품 로그의 무료 benefit 범위를 먼저 확인합니다.
100GB Commitment Tier	$370	1일	일 100GB 안팎으로 안정적이면 예약형을 검토합니다.
200GB Commitment Tier	$685	1일	방화벽·프록시 로그까지 넣는 중견 SOC의 기준점으로 봅니다.
500GB Commitment Tier	$1,581.25	1일	전사 로그를 밀어 넣기 전에 분석 가치가 낮은 로그를 분리해야 합니다.
1000GB Commitment Tier	$3,100	1일	대규모 환경은 workspace 분리와 retention 정책부터 설계합니다.
Solution for SAP Applications	$2.00	1시간	SAP 보안 감시는 별도 항목으로 예산표에 분리합니다.

Microsoft 가격 안내는 commitment tier를 workspace 수준에서 적용하며, 용량을 낮추거나 빠져나가기 전 최소 31일 기간이 있다고 설명합니다.

같은 안내는 Log Analytics, Logic Apps, Machine Learning, 추가 solution 같은 Azure 서비스 비용이 Sentinel 외부 항목으로 붙을 수 있다고 적습니다.

따라서 SIEM SOAR 차이를 비용으로 비교할 때는 “제품 가격”보다 “하루 몇 GB를 어떤 tier에 넣고, 어떤 playbook을 얼마나 자주 돌릴지”가 먼저입니다.

먼저 SIEM부터 봐야 하는 상황

실무 시나리오 1: 규제 감사 때문에 계정 변경, 관리자 권한, 외부 접속, 방화벽 허용 로그를 6개월 이상 설명해야 하는 회사라면 SIEM 범위가 먼저입니다.

이 경우는 SOAR 자동화보다 로그 소스 owner, 보존 기간, 탐지 규칙 owner, 감사 증거 export 절차를 먼저 정해야 합니다.

로그가 어디서 오고 누가 소유하는지 정리되지 않았습니다.
경보가 울려도 원본 로그, 사용자, 자산, 시간대가 한 화면에서 연결되지 않습니다.
감사나 사고 보고 때 “누가 언제 무엇을 확인했는지”를 재현하기 어렵습니다.
false positive가 많아도 왜 많은지 튜닝 기록이 남지 않습니다.
보안팀과 운영팀이 같은 사건 번호로 대화하지 못합니다.

이 조건이면 SOAR를 먼저 붙여도 자동화가 깨끗해지지 않습니다.

먼저 SIEM에서 데이터 connector, 탐지 규칙, severity, owner, retention, query 성능을 정리해야 합니다.

SOAR를 붙여도 되는 상황

실무 시나리오 2: 피싱 신고, 악성 파일 hash 조사, 계정 잠금 요청, EDR host 격리 검토가 매주 반복된다면 SOAR가 검토 대상입니다.

이 경우도 자동 격리부터 켜는 것이 아니라 enrich, ticket 생성, 담당자 배정, 승인 요청처럼 낮은 위험 action부터 시작해야 합니다.

반복 작업	자동화 가능 범위	사람 승인 필요 지점	실패 시 되돌리기
피싱 메일 접수	헤더 추출, 유사 신고 묶기, ticket 생성	메일 삭제와 사용자 공지는 승인 필요	삭제 전 원본 보관과 복구 owner 지정
위험 계정 탐지	최근 로그인, MFA 상태, 권한 변경 이력 수집	계정 비활성화는 identity owner 승인	잠금 해제 기준과 담당자 연락망 유지
EDR 경보 조사	프로세스, hash, host 중요도 정보 보강	endpoint 격리는 severity 기준 승인	격리 해제 권한과 업무 영향 확인
방화벽 경보	출발지·목적지·정책 이름 묶기	차단 정책 변경은 네트워크 owner 승인	정책 rollback 번호와 만료일 기록
월간 보고	case 상태, 처리 시간, 반복 유형 집계	경영 보고 해석은 보안 책임자 확인	집계 기준 변경 내역 보존

Splunk는 SOAR가 300개가 넘는 third-party 도구와 2,800개가 넘는 automated action을 지원한다고 설명합니다.

숫자가 크다는 이유만으로 자동화를 넓히면 위험합니다.

반대로 반복 조사와 문서화만 자동화해도 분석가 시간은 꽤 줄어듭니다.

도입 순서는 “로그 → 경보 → 절차 → 자동화”입니다

핵심 로그를 8개 안쪽으로 고릅니다: identity, endpoint, firewall, cloud activity, VPN, email security, DNS, server audit 정도에서 시작합니다.
각 로그마다 owner, 보존 기간, severity 기준, 개인정보 포함 여부를 적습니다.
상위 20개 경보를 뽑고 false positive 원인을 튜닝 backlog로 분리합니다.
반복 조사 절차를 손으로 3회 이상 실행해 누가 무엇을 승인하는지 확인합니다.
SOAR playbook은 enrich와 ticket 생성부터 시작하고, 격리·차단·계정 잠금은 manual approval로 둡니다.
월말에는 로그 GB, 경보 수, case 처리 시간, 자동화 성공률, rollback 건수를 같은 표로 봅니다.
벤더 견적은 “좌석 수”가 아니라 로그량, 보존, 연동 도구 수, playbook 유지 owner 기준으로 다시 요청합니다.

이 순서를 건너뛰면 SIEM은 비싼 로그 저장소가 되고, SOAR는 위험한 단축 버튼이 됩니다.

반대로 작은 범위로 시작하면 보안관제 예산을 줄이면서도 감사 증거와 대응 속도를 같이 잡을 수 있습니다.

SIEM·SOAR 선택 기준표

상황	먼저 볼 것	근거	보류 기준
감사 증거가 부족합니다	SIEM	로그 보존과 상관분석이 먼저입니다.	로그 owner가 없으면 구매 보류
경보가 많아 triage가 밀립니다	SIEM 튜닝 후 SOAR	경보 품질을 올린 뒤 반복 조사를 줄입니다.	false positive가 설명되지 않으면 보류
계정 잠금 요청이 반복됩니다	SOAR	승인 흐름과 ticket 기록을 자동화합니다.	잠금 해제 owner가 없으면 보류
EDR·MDR을 이미 씁니다	SIEM 범위 재정의	외부 서비스와 내부 로그 소유권을 나눕니다.	중복 관제 비용이 보이면 보류
클라우드 로그가 폭증합니다	로그 tier 분리	분석 로그와 장기 보관 로그를 구분합니다.	모든 로그를 고가 tier에 넣으면 보류
사고 대응 속도가 느립니다	SOAR pilot	enrichment와 case routing부터 줄입니다.	자동 격리부터 요구하면 보류

이 표에서 핵심은 “무엇을 사느냐”가 아니라 “어떤 병목을 줄이느냐”입니다.

경보 품질이 낮은 팀은 SOAR보다 SIEM 튜닝이 돈을 아낍니다.

경보 품질은 괜찮은데 반복 조사가 많은 팀은 SOAR pilot이 더 빠른 성과를 냅니다.

보안·운영 리스크

과잉 수집 리스크: 모든 네트워크 로그를 고가 분석 tier에 넣으면 탐지 가치보다 비용이 먼저 커집니다.
과잉 자동화 리스크: 계정 비활성화와 host 격리를 승인 없이 실행하면 정상 업무 장애가 사고로 번집니다.
증거 공백 리스크: case 기록, 승인자, 원본 로그 링크가 빠지면 감사 대응에서 자동화 결과를 설명하기 어렵습니다.
owner 공백 리스크: playbook은 만들었지만 담당자가 바뀌면 예외 처리가 낡고 오탐 대응이 멈춥니다.
연동 실패 리스크: EDR, mail, ticket, identity 시스템의 권한이 맞지 않으면 대응 흐름이 중간에서 끊깁니다.
비용 착시 리스크: 월 구독료만 비교하면 Log Analytics, Logic Apps, 보존, 전문 인력 비용이 빠집니다.

CISA CPG와 NIST CSF는 특정 제품 구매보다 baseline practice, governance, risk management, response, recovery 같은 운영 체계를 강조합니다.

SIEM과 SOAR도 제품명보다 이 체계 안에서 어떤 증거와 절차를 남길지로 판단해야 합니다.

실무 스켈레톤: 자동화 전에 이 파일부터 채우기

아래 예시는 바로 운영에 넣는 설정이 아니라 구매 검토와 pilot 범위 합의를 위한 스켈레톤입니다.

# siem_soar_decision.yaml

article: "SIEM SOAR 차이"
checked_date: "2026-07-26"

log_scope:
  identity:
    owner: "iam-team"
    retention_days: 180
    severity: "high"
  endpoint:
    owner: "security-team"
    retention_days: 90
    severity: "high"
  firewall:
    owner: "network-team"
    retention_days: 365
    severity: "medium"

siem_gate:
  daily_gb_estimate: 100
  correlation_rules_review: "weekly"
  false_positive_target: "under_15_percent"
  audit_evidence_required: true

soar_guardrail:
  isolate_endpoint:
    auto_execute: false
    required_approval: "soc_lead"
    rollback_owner: "endpoint-admin"
  disable_account:
    auto_execute: false
    required_approval: "identity-owner"
    rollback_owner: "iam-team"
  enrich_alert:
    auto_execute: true
    required_approval: "none"
    rollback_owner: "soc-automation"

cost_guard:
  sentinel_pay_as_you_go_usd_per_gb_korea_south: 5.61
  sentinel_basic_logs_usd_per_gb_korea_south: 1.25
  sentinel_auxiliary_logs_usd_per_gb_korea_south: 0.0625
  sentinel_100gb_commitment_usd_per_day_korea_south: 370
  commitment_minimum_days: 31

위 파일에서 auto_execute가 false인 항목은 “자동화하지 않는다”가 아니라 “승인 흐름을 먼저 검증한다”는 뜻입니다.

처음 한 달은 enrichment, ticket 생성, 담당자 배정처럼 되돌리기 쉬운 action만 자동 처리하는 편이 안전합니다.