> ## Documentation Index
> Fetch the complete documentation index at: https://dsp.xdr.ooo/llms.txt
> Use this file to discover all available pages before exploring further.

# 시나리오 범위

> XDR/NDR POC 검증을 위한 현재 DSP Network, DNS, Web, Identity, Protocol 및 Host Behavior Scenario를 확인합니다.

# 시나리오 범위

DSP는 `scenarios/<id>/` 아래의 Scenario Plugin을 사용합니다. 현재 Operational Profile에는 고객 POC에서 사용할 수 있는 11개의 주요 Scenario가 포함되어 있습니다. Development Branch에는 추가 Internal/Test Plugin이 있을 수 있으므로 설치된 Build의 최종 기준은 `dsp plugins list`입니다.

## Operational Scenario Set

| Scenario ID              | Category            | 생성하는 Activity                                              | 일반적인 POC Signal                        |
| ------------------------ | ------------------- | ---------------------------------------------------------- | -------------------------------------- |
| `host_behavior_check`    | Host Behavior       | Execution Host에서 통제된 File/Process Activity 생성              | Host-side Evidence / XDR Context       |
| `port_sweep`             | Network             | 선택된 Host/Port에 TCP Probe                                   | Scan / Reconnaissance                  |
| `http_followup`          | HTTP / Web          | 발견된 HTTP Service에 반복 Request와 Attack-oriented Path 전송      | Web Scanning / Suspicious Request      |
| `sql_injection`          | HTTP / Web          | Time-based, `UNION SELECT` 등을 포함한 SQL Injection 형태 Request | NDR/Web Attack Visibility              |
| `ssh_failure`            | Identity / SSH      | 반복적인 SSH Authentication Failure                            | SSH Brute-force / Auth Failure         |
| `ldap_enumeration`       | Identity / LDAP     | LDAP 접근 시 Bind/Query Enumeration 형태 Activity               | Directory Enumeration                  |
| `smb_login_failure`      | Identity / SMB      | 반복적인 SMB Authentication Failure                            | SMB Bad-auth Signal                    |
| `kerberos_failure`       | Identity / Kerberos | 발견된 Service에 Kerberos Failure Attempt                      | Identity / Pre-auth Failure            |
| `dga`                    | DNS                 | Algorithmically Generated Domain Activity                  | DGA / DNS Anomaly                      |
| `rare_protocol_activity` | Network Behavior    | 낮은 빈도 또는 비정상 Protocol Activity                             | Rare Protocol / Anomaly                |
| `dns_tunnel`             | DNS                 | 구조화된 DNS Query Payload Activity                            | DNS Tunneling / Exfil-style Visibility |

<Note>
  이 항목들은 **DSP가 생성하는 Activity와 목표 Signal 유형**을 설명합니다. 특정 XDR/NDR 제품에서 반드시 Alert이 발생한다는 의미는 아닙니다. 실제 결과는 Sensor Visibility, Policy, Rule/Model, 고객 환경에 따라 달라집니다.
</Note>

## POC에서 Scenario 선택 방법

대부분의 POC에서는 `normal` Profile로 시작하고 DSP가 전체 Active Scenario 순서를 사용하도록 두는 것이 가장 쉽습니다. DNS Tunnel이나 Web Attack Visibility처럼 목적이 명확할 때만 특정 Scenario를 직접 선택하는 것을 권장합니다.

### Network / Discovery

* `port_sweep`
* `rare_protocol_activity`

### DNS

* `dga`
* `dns_tunnel`

### Web

* `http_followup`
* `sql_injection`

### Identity / Service Behavior

* `ssh_failure`
* `ldap_enumeration`
* `smb_login_failure`
* `kerberos_failure`

### Host Behavior

* `host_behavior_check`는 XDR 환경에서 Host Telemetry를 수집하는 경우 추가 Context로 활용할 수 있는 통제된 Host-side Activity를 생성합니다.

## Profile 동작

현재 두 Profile은 동일한 순서의 Scenario Set을 사용합니다.

```text theme={null}
host_behavior_check → port_sweep → http_followup → sql_injection
→ ssh_failure → ldap_enumeration → smb_login_failure
→ kerberos_failure → dga → rare_protocol_activity → dns_tunnel
```

차이는 Target Coverage입니다.

* `normal` — 대표 대상, Service-oriented Scenario는 일반적으로 최대 2개 대상
* `high` — 대상별 Volume은 동일하고 Guardrail 범위에서 더 많은 발견 Target으로 확장

Service-specific Scenario는 해당 Host/Service가 실제 Target 환경에서 Reachable한 경우에 의미가 있습니다.

## 특정 Scenario만 실행

```bash theme={null}
dsp run \
  --scenarios port_sweep,http_followup,dns_tunnel \
  --profile normal \
  --target-net 10.10.10.0/24
```

예시 CIDR은 실제 승인된 Scope로 바꾸세요.

## Active Plugin 확인

```bash theme={null}
dsp plugins list
```