시나리오 범위

DSP는 scenarios/<id>/ 아래의 Scenario Plugin을 사용합니다. 현재 Operational Profile에는 고객 POC에서 사용할 수 있는 11개의 주요 Scenario가 포함되어 있습니다. Development Branch에는 추가 Internal/Test Plugin이 있을 수 있으므로 설치된 Build의 최종 기준은 dsp plugins list입니다.

Operational Scenario Set

Scenario ID	Category	생성하는 Activity	일반적인 POC Signal
`host_behavior_check`	Host Behavior	Execution Host에서 통제된 File/Process Activity 생성	Host-side Evidence / XDR Context
`port_sweep`	Network	선택된 Host/Port에 TCP Probe	Scan / Reconnaissance
`http_followup`	HTTP / Web	발견된 HTTP Service에 반복 Request와 Attack-oriented Path 전송	Web Scanning / Suspicious Request
`sql_injection`	HTTP / Web	Time-based, `UNION SELECT` 등을 포함한 SQL Injection 형태 Request	NDR/Web Attack Visibility
`ssh_failure`	Identity / SSH	반복적인 SSH Authentication Failure	SSH Brute-force / Auth Failure
`ldap_enumeration`	Identity / LDAP	LDAP 접근 시 Bind/Query Enumeration 형태 Activity	Directory Enumeration
`smb_login_failure`	Identity / SMB	반복적인 SMB Authentication Failure	SMB Bad-auth Signal
`kerberos_failure`	Identity / Kerberos	발견된 Service에 Kerberos Failure Attempt	Identity / Pre-auth Failure
`dga`	DNS	Algorithmically Generated Domain Activity	DGA / DNS Anomaly
`rare_protocol_activity`	Network Behavior	낮은 빈도 또는 비정상 Protocol Activity	Rare Protocol / Anomaly
`dns_tunnel`	DNS	구조화된 DNS Query Payload Activity	DNS Tunneling / Exfil-style Visibility

이 항목들은 DSP가 생성하는 Activity와 목표 Signal 유형을 설명합니다. 특정 XDR/NDR 제품에서 반드시 Alert이 발생한다는 의미는 아닙니다. 실제 결과는 Sensor Visibility, Policy, Rule/Model, 고객 환경에 따라 달라집니다.

POC에서 Scenario 선택 방법

대부분의 POC에서는 normal Profile로 시작하고 DSP가 전체 Active Scenario 순서를 사용하도록 두는 것이 가장 쉽습니다. DNS Tunnel이나 Web Attack Visibility처럼 목적이 명확할 때만 특정 Scenario를 직접 선택하는 것을 권장합니다.

Network / Discovery

port_sweep
rare_protocol_activity

DNS

dga
dns_tunnel

Web

http_followup
sql_injection

Identity / Service Behavior

ssh_failure
ldap_enumeration
smb_login_failure
kerberos_failure

Host Behavior

host_behavior_check는 XDR 환경에서 Host Telemetry를 수집하는 경우 추가 Context로 활용할 수 있는 통제된 Host-side Activity를 생성합니다.

Profile 동작

현재 두 Profile은 동일한 순서의 Scenario Set을 사용합니다.

host_behavior_check → port_sweep → http_followup → sql_injection
→ ssh_failure → ldap_enumeration → smb_login_failure
→ kerberos_failure → dga → rare_protocol_activity → dns_tunnel

차이는 Target Coverage입니다.

normal — 대표 대상, Service-oriented Scenario는 일반적으로 최대 2개 대상
high — 대상별 Volume은 동일하고 Guardrail 범위에서 더 많은 발견 Target으로 확장

Service-specific Scenario는 해당 Host/Service가 실제 Target 환경에서 Reachable한 경우에 의미가 있습니다.

특정 Scenario만 실행

dsp run \
  --scenarios port_sweep,http_followup,dns_tunnel \
  --profile normal \
  --target-net 10.10.10.0/24

예시 CIDR은 실제 승인된 Scope로 바꾸세요.

Active Plugin 확인

dsp plugins list

시작하기

POC 가이드

설치 및 운영

참조

시나리오 범위

시나리오 범위

Operational Scenario Set

POC에서 Scenario 선택 방법

Network / Discovery

DNS

Web

Identity / Service Behavior

Host Behavior

Profile 동작

특정 Scenario만 실행

Active Plugin 확인

​시나리오 범위

​Operational Scenario Set

​POC에서 Scenario 선택 방법

​Network / Discovery

​DNS

​Web

​Identity / Service Behavior

​Host Behavior

​Profile 동작

​특정 Scenario만 실행

​Active Plugin 확인

시나리오 범위

Operational Scenario Set

POC에서 Scenario 선택 방법

Network / Discovery

DNS

Web

Identity / Service Behavior

Host Behavior

Profile 동작

특정 Scenario만 실행

Active Plugin 확인