시나리오 범위

DSP는 scenarios/<id>/ 아래의 시나리오 Plugin을 사용합니다. 현재 기본 프로필에는 고객 POC에서 사용할 수 있는 11개 주요 시나리오가 포함되어 있습니다. 개발 브랜치에는 내부 테스트용 Plugin이 더 있을 수 있으므로 설치된 버전의 실제 목록은 dsp plugins list로 확인하십시오.

Operational Scenario Set

시나리오 ID	분류	생성하는 활동	일반적인 POC 신호
`host_behavior_check`	호스트 동작	실행 호스트에서 통제된 파일/프로세스 활동 생성	호스트 측 기록 / XDR 참고 정보
`port_sweep`	Network	선택된 Host/Port에 TCP Probe	Scan / Reconnaissance
`http_followup`	HTTP / Web	발견된 HTTP Service에 반복 Request와 Attack-oriented Path 전송	Web Scanning / Suspicious Request
`sql_injection`	HTTP / Web	Time-based, `UNION SELECT` 등을 포함한 SQL Injection 형태 Request	NDR/Web Attack Visibility
`ssh_failure`	Identity / SSH	반복적인 SSH Authentication Failure	SSH Brute-force / Auth Failure
`ldap_enumeration`	Identity / LDAP	LDAP 접근 시 Bind/Query Enumeration 형태 Activity	Directory Enumeration
`smb_login_failure`	Identity / SMB	반복적인 SMB Authentication Failure	SMB Bad-auth Signal
`kerberos_failure`	Identity / Kerberos	발견된 Service에 Kerberos Failure Attempt	Identity / Pre-auth Failure
`dga`	DNS	Algorithmically Generated Domain Activity	DGA / DNS Anomaly
`rare_protocol_activity`	네트워크 동작	낮은 빈도 또는 비정상 Protocol Activity	Rare Protocol / Anomaly
`dns_tunnel`	DNS	구조화된 DNS Query payload 활동	DNS Tunneling / Exfil-style Visibility

이 항목들은 DSP가 생성하는 활동과 확인하려는 신호 유형을 설명합니다. 특정 XDR/NDR 제품에서 반드시 Alert이 발생한다는 의미는 아닙니다. 실제 결과는 Sensor Visibility, Policy, Rule/Model, 고객 환경에 따라 달라집니다.

POC에서 시나리오 선택 방법

대부분의 POC에서는 normal 프로필로 시작하고 DSP가 활성 시나리오 전체를 순서대로 실행하도록 두는 것이 가장 쉽습니다. DNS Tunnel이나 Web Attack Visibility처럼 목적이 명확할 때만 특정 시나리오를 직접 선택하는 것을 권장합니다.

Network / Discovery

port_sweep
rare_protocol_activity

DNS

dga
dns_tunnel

Web

http_followup
sql_injection

Identity / Service Behavior

ssh_failure
ldap_enumeration
smb_login_failure
kerberos_failure

호스트 동작

host_behavior_check는 XDR 환경에서 호스트 텔레메트리를 수집하는 경우 추가 참고 정보로 활용할 수 있는 통제된 Host-side Activity를 생성합니다.

Profile 동작

현재 두 Profile은 동일한 시나리오 순서을 사용합니다.

host_behavior_check → port_sweep → http_followup → sql_injection
→ ssh_failure → ldap_enumeration → smb_login_failure
→ kerberos_failure → dga → rare_protocol_activity → dns_tunnel

차이는 대상 범위입니다.

normal — 대표 대상, Service-oriented Scenario는 일반적으로 최대 2개 대상
high — 대상별 Volume은 동일하고 Guardrail 범위에서 더 많은 발견 대상으로 확장

Service-specific Scenario는 해당 Host/Service가 실제 Target 환경에서 Reachable한 경우에 의미가 있습니다.

특정 Scenario만 실행

dsp run \
  --scenarios port_sweep,http_followup,dns_tunnel \
  --profile normal \
  --target-net 10.10.10.0/24

예시 CIDR은 실제 승인된 Scope로 바꾸세요.

Active Plugin 확인

dsp plugins list

시작하기

POC 가이드

설치 및 운영

참조

시나리오 범위

시나리오 범위

Operational Scenario Set

POC에서 시나리오 선택 방법

Network / Discovery

DNS

Web

Identity / Service Behavior

호스트 동작

Profile 동작

특정 Scenario만 실행

Active Plugin 확인

​시나리오 범위

​Operational Scenario Set

​POC에서 시나리오 선택 방법

​Network / Discovery

​DNS

​Web

​Identity / Service Behavior

​호스트 동작

​Profile 동작

​특정 Scenario만 실행

​Active Plugin 확인

시나리오 범위

Operational Scenario Set

POC에서 시나리오 선택 방법

Network / Discovery

DNS

Web

Identity / Service Behavior

호스트 동작

Profile 동작

특정 Scenario만 실행

Active Plugin 확인