SOAR 이전 관련 자주 묻는 질문(FAQ)

다음에서 지원:

SOAR 이전 프로세스에 관한 일반적인 질문에 대한 답변을 확인하세요. 자주 발생하는 문제의 해결 방법과 성공적인 전환을 위한 권장사항을 확인하세요.

이전 범위 및 영향

Q: 이 이전이 필요한 이유는 무엇인가요?

Google Cloud(으)로 마이그레이션하여 SOAR 인프라를 현대화하고 있습니다. 이 중요한 업그레이드는 향상된 안정성, 개선된 보안, 더 우수한 규정 준수, 더 세분화된 액세스 제어 등 주요 이점을 제공합니다. 또한 모델 컨텍스트 프로토콜 (MCP) 통합을 통해 에이전트형 AI 기능에 액세스할 수 있습니다.

마이그레이션은 다음을 제공합니다.

  • Google의 동급 최고 API 레이어를 활용하여 SOAR의 안정성과 모니터링 기능을 향상합니다. 이 레이어는 할당량 관리, 감사, 모니터링 가능성을 위한 고급 기능을 갖춘 선도적인 API 솔루션을 제공합니다.
  • 전체 플랫폼에서 기능 및 데이터에 대한 역할 기반 액세스 제어 (RBAC)를 지원합니다.
  • VPC 서비스 제어, 데이터 레지던시, 고객 관리 암호화 키 (CMEK)와 같은 더 높은 규정 준수 기능을 제공합니다.

Q: 이전 범위는 어떻게 되나요?

마이그레이션에는 다음 구성요소가 포함됩니다.

  • SOAR 프로젝트를 고객 소유 Google Cloud 프로젝트로 이전합니다.
  • SOAR 인증 및 권한을 Google Cloud IAM으로 마이그레이션합니다.
  • SOAR API를 Chronicle API로 마이그레이션
  • 원격 에이전트 인증 인프라를 이전하는 중입니다.

Q: 이전 후 즉시 변경되는 사항은 무엇인가요?

이전 직후 다음과 같은 몇 가지 주요 변경사항이 적용됩니다.

  • GCP 프로젝트 소유권: SOAR 프로젝트가 Google 소유에서 고객 소유 Google Cloud 프로젝트로 이전됩니다.
  • 인증:
    • Unified SecOps 고객: 변경사항 없음 인증은 계속해서 Google Cloud IAM에서 관리합니다.
    • SOAR 독립형 고객: 이제 Google Cloud IAM에서 인증을 관리합니다. SAML을 사용하는 사용자의 경우 직원 ID 제휴를 채택하게 되며, SAML 구성은 더 이상 SOAR 시스템 자체에 저장 및 관리되지 않으므로 보안 제어가 강화됩니다.
  • RBAC: 사용자 권한이 더 세분화되고 IAM을 사용하여 관리됩니다. 환경 및 SOC 역할은 ID 공급업체 (IdP) 그룹을 사용하여 SOAR 모듈 내에서 계속 관리됩니다.
  • 감사 로깅: 감사 로그가 더 상세해지고 **Cloud 감사 로그 ** 내에서 관리됩니다.
  • 새 URL (SOAR만 해당): SOAR 독립형 사용자는 SOAR에 액세스할 수 있는 새 URL (새 도메인)을 받게 됩니다.

Q: 고객/파트너에게 이 이전이 어떻게 공지되나요?

모든 고객과 파트너에게 이전 날짜와 작성할 양식 링크가 포함된 제품 내 팝업이 표시됩니다. 마이그레이션 날짜와 시간대를 확인하라는 메시지가 표시됩니다.

Q: SOAR가 Google Cloud 프로젝트에 바인딩되면 인프라 비용이 변경되나요?

아니요. 비용에는 영향이 없습니다. 프런트엔드에는 아무런 변화가 없습니다. 프로젝트에서 새 리소스가 실행되지 않으므로 관련 비용이 발생하지 않습니다.

Q: 프로젝트를 SOAR에 연결하려면 어떻게 해야 하나요?

Google에서 SOAR 프로젝트를 Google Cloud 프로젝트로 이전합니다. Unified SecOps 고객인 경우 Google에서 이미 Google Cloud 프로젝트 ID를 보유하고 있습니다. SOAR 독립형 고객인 경우 Google Cloud 프로젝트 ID를 Google에 공유해야 합니다.

Q: 이미 Google SecOps를 배포한 고객의 경우 SIEM과 동일한 프로젝트 ID를 사용해야 하나요, 아니면 별도의 프로젝트가 필요한가요?

통합 Google SecOps 배포 (SIEM 1개, SOAR 1개)의 경우 SIEM과 연결된 기존 Google Cloud 프로젝트 ID를 사용해야 합니다. 이를 통해 RBAC 및 로그와 같은 관리 흐름을 통합 관리할 수 있습니다.

Q: VPC 서비스 제어 (VPC-SC)와 같은 특별한 고려사항이 있는 Google SecOps 인스턴스의 경우 어떤 단계가 필요한가요?

이전을 사용 설정하려면 VPC-SC 정책 내에서 인그레스 및 이그레스 규칙을 모두 정의해야 합니다. Google Cloud 프로젝트에 VPC SC가 있는 경우 지원팀에 문의하여 이러한 특정 규칙에 관한 자세한 안내를 받으세요.

VPC-SC를 사용하여 지원되지 않는 두 가지 API 기능이 있습니다.

  • 웹훅
  • 플레이북 승인 링크

Q: 이전이 완료되었는지 어떻게 확인할 수 있나요?

SOAR 설정 > 라이선스 관리로 이동하여 성공적으로 완료되었는지 확인합니다. 1단계가 완료되면 시스템 버전 번호 뒤에 Google.com이 표시됩니다. SOAR 권한을 IAM 역할로 마이그레이션하는 2단계가 완료되면 시스템 버전 번호 뒤에 Google.com과 CloudIAM 사용 설정됨이 모두 표시됩니다.

다운타임 및 연속성

Q: 이전 중에 다운타임이 발생하나요? 어떤 영향을 미치나요?

예. 예상되는 다운타임은 다음과 같습니다.

  • SOAR 독립형 고객의 경우 최대 2시간
  • Google SecOps 고객의 경우 최대 1.5시간

이 기간에는 플랫폼에 로그인할 수 없습니다. SOAR 서비스 (수집, 플레이북, 작업 포함)는 일시중지되지만 SIEM 서비스는 백그라운드에서 계속 실행됩니다.

Q: 다운타임 중에 생성된 데이터는 SOAR 서비스가 재개되면 자동으로 수집되나요?

예. 시스템이 다시 온라인 상태가 되면 수집 및 플레이북이 재개되고 다운타임 중에 생성되거나 수집된 알림을 처리합니다.

Q: 다운타임이 시작될 때 실행 중인 플레이북은 어떻게 되나요?

이전이 시작되기 전에 플레이북 서비스가 사용 중지되며, 실행 중인 일부 플레이북이 실패할 수 있으며 수동으로 다시 시작하거나 이전이 완료된 후 다시 시작해야 합니다.

Q: 이전 중에 문제가 발생할 경우를 대비한 롤백 또는 비상 계획이 있나요?

예. 마이그레이션 프로세스 중에는 기존 SOAR 인스턴스가 완전히 그대로 유지됩니다 (꺼져 있음). 마이그레이션 프로세스가 완료되지 않으면 기존 인스턴스로 다시 전환하고 새 인스턴스를 삭제할 수 있습니다. 이 롤백 프로세스는 최대 30분이 소요됩니다. 성공적인 마이그레이션을 위해 광범위한 테스트와 면밀한 모니터링을 수행하고, 대기 중인 온콜 직원을 배치할 예정입니다.

이전 후 액세스 문제가 발생하면 인증 설정이 잘못되었을 수 있습니다. 문제 해결 가이드를 사용하여 문제를 식별하고 해결하려면 ID, IDP 또는 Google Cloud 관리자와 협력해야 합니다. 문제가 계속되거나 액세스와 관련이 없는 경우 지원 티켓을 열어 우려사항을 기록하고 해결 방법을 모니터링합니다.

Q: Chronicle API의 새로운 SOAR 엔드포인트 v1로 언제 이전할 수 있나요?

2026년 1월 중순부터 Chronicle API의 새로운 SOAR 엔드포인트 v1로 이전할 수 있습니다.

기존 SOAR API 및 API 키는 2027년 3월 31일 이후 지원 중단되며 더 이상 작동하지 않습니다. 원활한 전환을 위해 다음 두 가지 필수 단계를 따르세요.

  1. 먼저 SOAR 권한 그룹을 Cloud IAM으로 마이그레이션해야 합니다.
  2. 기존 스크립트 및 통합을 업데이트하여 기존 SOAR API 엔드포인트를 해당하는 Chronicle API 엔드포인트로 바꿉니다.

인증 및 권한

Q: SOAR 권한 그룹 및 권한을 이전하려면 어떻게 해야 하나요?

Google Cloud 콘솔에서 마이그레이션 스크립트를 사용하여 기존 권한 그룹을 IAM 커스텀 역할로 마이그레이션합니다. 또한 이 스크립트는 사용자 (Cloud ID 고객의 경우) 또는 IdP 그룹 (직원 ID 제휴 고객의 경우)에 맞춤 역할을 할당합니다.

Q: 맞춤 권한 그룹을 이전하지 않고 사전 정의된 역할만 사용하려면 어떻게 해야 하나요?

자동 이전을 선택 해제하고 대신 IdP 그룹을 Cloud IAM 역할에 수동으로 매핑할 수 있습니다.

Q: 수동 인증을 사용하는 커스텀 SAML 제공업체를 이용하는 SOAR 독립형 고객입니다. IdP 매핑을 위해 IdP 그룹으로 변경하면 기존 사용자 계정에 어떤 영향을 미치나요?

기존 사용자가 그룹 중 하나와 일치하고 권한이 올바르게 매핑된 경우 기존 사용자 계정에 영향을 미치지 않습니다. 하지만 사용자가 그룹에 매핑되지 않으면 로그인할 수 없습니다. 권한이 다르게 매핑되면 사용자는 새 매핑에 따라 새 권한을 받게 됩니다.

Q: 여러 ID 공급업체를 사용하는 MSSP에 대한 특정 전제 조건이 있나요?

SOAR 외부 인증 페이지에서 여러 ID 공급업체를 구성한 고객은 인증을 위해 직원 ID 제휴를 정의하고 각 공급업체에 대해 별도의 직원 풀을 만들어야 합니다. 각 제공업체는 서로 다른 하위 도메인과 연결되어 있습니다. 자세한 내용은 MSSP 이전 가이드를 참고하세요.

Q: Chronicle API에 인증하려면 어떻게 해야 하나요?

Chronicle API에 인증의 안내를 따릅니다.

Q: 새 SOAR API에 액세스하는 데 필요한 새 IP는 무엇인가요?

Chronicle API에 액세스하기 위해 IP 주소를 허용 목록에 추가할 필요는 없습니다. 원하는 경우 여기와 여기에 표시된 IP 주소 범위를 허용 목록에 추가할 수 있습니다.

로깅 및 모니터링

Q: 마이그레이션의 첫 번째 단계를 완료했지만 Cloud 감사 로그에 로그가 표시되지 않습니다.

첫 번째 마이그레이션 단계가 완료되면 로그가 SOAR 플랫폼에 저장됩니다. 두 번째 마이그레이션 단계가 완료되면 Google Cloud 프로젝트에서 로그를 사용할 수 있습니다.

Q: 관리형 BigQuery (BQ) 인스턴스로 SOAR 데이터를 전송하는 고객은 마이그레이션 후에도 이 BigQuery 데이터에 액세스할 수 있나요?

예. 기존 관리형 BigQuery는 계속 작동합니다.

물류 및 지원

Q: 이전 시간대를 다르게 선택할 수 있나요?

아니요. 제안된 시간대 외에는 이전할 수 없습니다.

Q: 이전 중에 실시간 상태 업데이트를 받을 수 있나요?

이전 프로세스가 시작될 때와 종료될 때 이메일 알림이 전송됩니다.

Q: 이전 후 문제가 발생하면 누구에게 문의해야 하나요?

이전 후 액세스 문제가 발생하면 인증 설정이 잘못되었을 수 있습니다. 문제 해결 가이드를 사용하여 문제를 식별하고 해결하려면 ID, IDP 또는 Google Cloud 관리자와 협력해야 합니다. 문제가 계속되거나 액세스와 관련이 없는 경우 지원 티켓을 열어 우려사항을 기록하고 해결 방법을 모니터링합니다.

SOAR 권한 그룹을 IAM으로 마이그레이션

다음 섹션에서는 권한을 IAM으로 이전하는 도중과 이전한 후에 발생하는 일반적인 문제를 다룹니다.

이전 도구 및 스크립트 문제

Q: Google Cloud 콘솔에서 이전 스크립트를 보거나 로드할 수 없는 이유는 무엇인가요?

여기에는 두 가지 이유가 있을 수 있습니다.

  • 권한 누락: 이전 도구를 사용하려면 사용자 계정에 Google Cloud 및 Google SecOps 인스턴스 모두에 대한 충분한 권한이 있어야 합니다. Google Cloud 에서 필요한 IAM 역할이 있고 Google SecOps SOAR에서 인식되는 사용자인 계정으로 로그인했는지 확인합니다. Google Cloud 및 SOAR에 서로 다른 계정을 사용하면 승인 실패가 발생할 수 있습니다. 필요한 권한이 있는데도 마이그레이션 스크립트를 로드할 수 없는 경우 지원 티켓을 여세요.

  • SIEM에서 Cloud IAM을 사용하지 않음: Google SecOps 통합 고객인 경우 IAM을 사용하여 플랫폼의 SIEM 측 역할 및 권한을 관리해야 합니다. 자세한 내용은 기존 RBAC에서 기능 RBAC로의 이전 가이드를 참조하세요.

Q 이전 스크립트를 실행하려고 하는데 오류가 발생합니다. 어떻게 해야 하나요?

  • 오류 - '그룹이 존재하지 않음': add-iam-policy-binding commands를 사용할 때 --member 플래그에 짧은 그룹 이름이 아닌 전체 그룹 이메일 주소 (예: your-group@example.com)를 사용해야 합니다.

  • 기존 역할과 관련된 오류: 이미 조건부 바인딩이 있는 주 구성원에 바인딩할 때 충돌이 발생할 수 있습니다. 이 문제를 해결하려면 스크립트를 다시 실행하고 새 조건 지정 대신 없음을 선택해야 합니다.

이전 후 액세스 문제

Q: IAM 이전 후 특정 페이지나 기능 (예: 플레이북 또는 IDE)에 액세스하려고 할 때 '403 금지됨' 오류가 발생하는 이유는 무엇인가요?

마이그레이션 후 403 오류가 발생하면 사용자에게 할당된 Google Cloud IAM 역할에 Google SecOps 플랫폼의 SOAR 측에 필요한 권한이 누락되었음을 나타낼 수 있습니다. 이는 커스텀 IAM 역할을 사용하는 경우에 흔히 발생합니다.

Google SecOps 역할 및 권한을 확인합니다. 커스텀 IAM 역할에 필요한 SOAR 기능에 액세스하는 데 필요한 모든 권한이 포함되어 있는지 확인합니다.

원하는 경우 브라우저의 개발자 도구를 검사하여 403 오류를 반환하는 특정 API 호출을 식별합니다. 응답 페이로드에는 누락된 권한이 문서화되어 있으며, 인터페이스 내에 필요한 액세스 권한을 자세히 설명하는 알림 배너도 표시됩니다.

위 방법으로도 문제가 해결되지 않으면 지원 티켓을 여세요.

권한 및 역할

Q: 제공된 도구를 사용하지 않고 IAM 마이그레이션을 수동으로 수행했는데 이제 권한 문제가 발생합니다. 이 문제를 해결하려면 어떻게 해야 하나요?

수동 IAM 마이그레이션으로 인해 SOAR 역할에 필요한 권한이 누락되는 경우가 있습니다. 필요한 모든 권한이 올바르게 설정되도록 제공된 이전 스크립트를 사용하는 것이 좋습니다. 수동 이전을 수행하려는 경우 Google SecOps IAM 권한을 신중하게 검토하여 필요한 권한이 있는 커스텀 역할을 만드세요.

Q: 이전 후 일부 사용자가 SOAR에서 예상보다 많은 권한을 가지고 있는 것 같습니다. 왜 이런 일이 일어나나요?

이전 전에 사용자 또는 그룹이 사전 정의된 Chronicle 광범위한 Google Cloud 역할에 이미 할당된 경우에 발생할 수 있습니다. 마이그레이션을 완료하면 Chronicle 사전 정의된 역할 (예: chronicle.apiAdmin)에 SOAR 권한이 자동으로 포함됩니다. 예를 들어 Chronicle API 관리자 역할에 이제 SOAR 관리자 권한이 포함됩니다.

최소 권한 액세스를 보장하려면 다음 단계를 따르세요.

  1. Chronicle API 관리자를 포함하여 IAM 역할 페이지에서 사전 정의된 역할을 검토하여 할당된 모든 주 구성원 (사용자 및 그룹)을 식별합니다.
  2. SOAR 권한이 필요한 사용자만 이러한 역할에 할당되었는지 확인합니다.
  3. 특정 주 구성원의 SOAR 액세스를 제한하려면 사전 정의된 역할에서 해당 주 구성원을 삭제하고 SOAR 관리자 권한이 명시적으로 제외된 커스텀 역할을 할당합니다.

Q: 이전이 완료되었지만 그룹 매핑 페이지에 권한 그룹 열이 계속 표시됩니다. 그 이유는 무엇인가요?

이전이 완료된 후에도 이전 버전과의 호환성을 위해 그룹 매핑 페이지에 권한 그룹 열이 계속 표시됩니다. 이 할당을 삭제하지 마세요. 이 열은 2027년 3월 31일까지 고객에게 영향을 주지 않고 삭제됩니다.

권장사항

  • 마이그레이션 스크립트 사용: 가능하면 Google Cloud 의 공식 마이그레이션 스크립트를 사용하여 SOAR 권한 그룹에서 IAM 역할로 전환하세요.
  • IAM 권한 검토: 다양한 SOAR 기능 및 역할에 필요한 Google Cloud IAM 권한을 숙지합니다.
  • 철저한 테스트: 이전 후 다양한 사용자 역할과 페르소나의 액세스를 테스트하여 모든 것이 예상대로 작동하는지 확인합니다.
  • 지원팀에 문의: 지속적인 오류나 예기치 않은 동작이 발생하면 지원팀에 문의하고 최대한 자세한 정보를 제공하세요.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.