10장: 로깅, 모니터링 및 사고 대응

10.1.1 전송 수명 주기 이벤트

• 전송 생성(transferId 생성)
• 청크 업로드 완료(평문이 아닌 암호문 수준에서 기록)
• 매니페스트 쓰기/업데이트
• 만료 정리, 사용자 삭제/취소(정리 작업의 시작 및 완료 포함)
• 다운로드 시작/완료(암호문 다운로드 수준에서 측정)

10.1.2 인증 및 권한 부여 이벤트

• 세션 토큰 발급, 검증 실패(범위 불일치, 만료, 취소 등)
• 장기 로그인 토큰 검증 실패(관리 작업 거부)
• 의심스러운 접근 패턴: 401/403/404의 비정상적인 급증

참고: “결과와 사유 코드”만 기록합니다. 토큰 평문, Authorization 헤더 평문, 서명 매개변수 평문을 기록해서는 안 됩니다(MUST NOT).

10.1.3 시스템 상태 및 성능 지표

• 요청 지연 시간(p50/p95/p99), 오류율, 처리량
• 객체 스토리지 읽기/쓰기 실패율, 오리진 가져오기 실패율, 재시도 횟수
• 엣지 노드 이상, 대기열 적체, 백그라운드 정리 작업 성공률
• 대역폭 및 트래픽 추이(집계된 차원)

10.1.4 보안 보호 이벤트

• 요청 제한(rate limiting) 발동, WAF/방화벽 규칙 적중
• 열거/무차별 대입으로 의심되는 행위의 임계값 도달
• 비정상적인 동시 접속 및 트래픽 패턴(동일 출처의 높은 동시성, 비정상적인 리소스 집중 접근)

10.1.5 집계 및 샘플링

• SHOULD: 세부 로그를 줄이기 위해 분/시간 단위로 건수와 지연 시간 분위수를 집계합니다.
• SHOULD: 빈도가 높은 성공 요청은 샘플링하고, 오류와 비정상 경로에 대해서만 필요한 세부 정보를 보존합니다.
• SHOULD: 이상 이벤트에는 감사와 기계 분석이 쉽도록 안정적인 분류 필드(예: eventType, reasonCode)를 유지합니다.

10.2.1 서버 측에서 기록해서는 안 되는 것(MUST NOT)

• CEK(콘텐츠 암호화 키)와 이를 유추할 수 있는 모든 자료
• URL 프래그먼트(#...), location.hash, 프래그먼트가 포함된 전체 URL
• 평문 콘텐츠: 파일 평문, 미리 보기 콘텐츠, 복호화된 청크, 평문 요약
• 민감한 자격 증명 평문: 세션 토큰, 장기 토큰, Authorization 헤더 평문, 서명된 URL의 서명 필드 평문

디버깅을 위해 URL을 기록해야 하는 경우: 반드시(MUST) 정제(프래그먼트 제거, 민감한 쿼리는 마스킹 또는 제거)하고, 이를 수동 관례에 의존하지 않고 코드 수준에서 강제해야 합니다.

10.2.2 클라이언트 측에서 기록해서는 안 되는 것(MUST NOT)

• 프로덕션 환경에서 location.href(프래그먼트가 포함될 수 있음)를 출력하지 않습니다
• 오류 보고서에 프래그먼트, CEK, noncePrefix가 포함된 URL을 넣지 않습니다
• 디버그 로그와 개발자 도구 출력은 기본적으로 비활성화하거나 최소화해야 합니다

SHOULD: 프런트엔드에 통합 로그/보고 함수를 두고, 출력하거나 보고하기 전에 내부적으로 URL 정제와 민감 필드 필터링을 수행하도록 캡슐화합니다.

10.3.1 가용성 및 성능 경보

• 오류율 경보: 5xx 급증, 4xx의 비정상적 증가(인증 실패와 악용을 구분)
• 지연 시간 경보: p95/p99 임계값 초과, 지역별 오리진 가져오기 이상
• 스토리지 경보: 객체 스토리지 쓰기 실패 증가, 읽기 시간 초과
• 정리 작업 경보: 만료 정리 적체, 삭제 작업의 과도한 재시도

10.3.2 보안 경보

• 요청 제한 적중률의 비정상적 상승
• 동일 출처의 고빈도 401/403/404, 열거/무차별 대입 의심
• 단일 리소스의 비정상적인 다운로드 대역폭/동시성, 트래픽 폭주 또는 핫링크 의심
• 주요 정책 변경(예: WAF 규칙, CSP/헤더 변경)은 변경 감사와 경보를 발생시켜야 합니다(해당하는 경우)

10.3.3 경보 거버넌스

• SHOULD: 경보를 등급(P0/P1/P2)별로 분류하고 순환 대기/에스컬레이션 경로를 마련합니다.
• SHOULD: 잡음이 많은 지표에는 디바운스/시간 창 집계를 적용하여 경보 피로를 방지합니다.
• SHOULD: 각 경보에는 민감 데이터를 제외한 최소한의 진단 정보(사유 코드, 추이 차트, 영향받는 지역/경로)를 첨부합니다.

10.4.1 일반적인 이상 패턴

• 열거(Enumeration): 짧은 시간에 transferId/리소스 경로를 대량으로 탐색하며, 404/401/403이 급증합니다.
• 무차별 대입(Brute Force): 짧은 코드/비밀번호/토큰에 대한 고빈도 시도, 비정상적인 실패율 곡선.
• 트래픽 폭주(Traffic Flooding): 단일 리소스의 비정상적인 대역폭, 동일 출처의 대규모 동시 연결, 반복 다운로드.
• 프로토콜 이상: 비합리적인 청크 순서, 중복 업로드, 잦은 중단/재시도, 비정상적인 UA 패턴.

10.4.2 완화 전략(원칙)

• SHOULD: 요청 제한, 단계별 차단, 챌린지 메커니즘(해당하는 경우), ASN/지역/핑거프린트 기반 동적 정책을 적용합니다.
• SHOULD: 오탐에 민감한 경로(일반 사용자도 자주 다운로드할 수 있음)에는 지연, 구간별 속도 제한 같은 더 완만한 전략을 채택합니다.
• MUST: 취한 조치에 대해 감사할 수 있는 근거(사유 코드, 임계값 범주)를 보존하고, 지원 채널을 제공합니다(해당하는 경우).