10장: 로깅, 모니터링 및 사고 대응

10.1.1 전송 수명주기 이벤트

• 전송 생성(transferId 생성)
• 청크 업로드 완료(일반 텍스트가 아닌 암호 텍스트 수준에서 기록됨)
• 매니페스트 쓰기/업데이트
• 만료 정리, 사용자 삭제/해지(정리 작업 트리거 및 완료 포함)
• 다운로드 시작/완료(암호문 다운로드 수준에서 측정)

10.1.2 인증 및 권한 부여 이벤트

• 세션 토큰 발급, 유효성 검사 실패(범위 불일치, 만료, 취소 등)
• 장기 로그인 토큰 검증 실패(관리자 작업 거부됨)
• 의심스러운 액세스 패턴: 401/403/404의 비정상적인 급증

참고: "결과 및 원인 코드"만 기록하십시오. 해서는 안 된다 토큰 일반 텍스트, 권한 부여 헤더 일반 텍스트 또는 서명 매개변수 일반 텍스트를 기록합니다.

10.1.3 시스템 상태 및 성능 지표

• 요청 지연 시간(p50/p95/p99), 오류율, 처리량
• 객체 스토리지 읽기/쓰기 실패율, 원본 가져오기 실패율, 재시도 횟수
• 엣지 노드 이상, 대기열 백로그, 백그라운드 정리 작업 성공률
• 대역폭 및 트래픽 추세(집계된 측정기준)

10.1.4 보안 보호 이벤트

• 속도 제한 트리거, WAF/방화벽 규칙 적중
• 의심되는 열거/무차별 행동에 대한 임계값 트리거
• 비정상적인 동시성 및 트래픽 패턴(동일 소스의 높은 동시성, 비정상적인 리소스 열)

10.1.5 집계 및 샘플링

• SHOULD: 세분화된 로그를 줄이기 위해 분/시간 단위로 집계 횟수와 지연 시간 분위수를 집계합니다.
• SHOULD: 오류 및 비정상적인 경로에 대해서만 필요한 세부 정보를 유지하면서 성공 빈도가 높은 요청을 샘플링합니다.
• SHOULD: 이상 이벤트에 대한 안정적인 분류 필드(예: eventType, ReasonCode)를 유지하여 감사 및 기계 분석을 용이하게 합니다.

10.2.1 서버측에서는 녹화하면 안 됩니다.

• CEK (콘텐츠 암호화 키) 및 파생 가능한 자료
• URL 조각 (#...), location.hash및 조각이 포함된 전체 URL
• 일반 텍스트 콘텐츠: 파일 일반 텍스트, 미리보기 콘텐츠, 해독된 청크 또는 일반 텍스트 요약
• 민감한 자격 증명 일반 텍스트: 세션 토큰, 장기 토큰, 인증 헤더 일반 텍스트, 서명된 URL의 서명 필드 일반 텍스트

디버깅을 위해 로깅 URL이 필요한 경우: MUST 정리(조각 제거, 민감한 쿼리 수정 또는 제거)하고 이를 코드 수준에서 시행합니다(수동 규칙에 의존하지 않음).

10.2.2 클라이언트측에서는 녹음하면 안 됩니다.

• 인쇄하지 않음 location.href (조각이 포함될 수 있음) 프로덕션 환경
• 오류 보고서에 조각, CEK 또는 noncePrefix가 있는 URL을 포함하지 마세요.
• 디버그 로그 및 개발 도구 출력은 기본적으로 비활성화되거나 최소화되어야 합니다.

SHOULD: 출력/보고 전에 내부적으로 URL 삭제 및 민감한 필드 필터링을 수행하는 통합 로그/보고 기능을 프런트엔드에 캡슐화합니다.

10.3.1 가용성 및 성능 경고

• 오류율 경고: 5xx의 급증, 4xx의 비정상적 증가(인증 실패와 남용 구분)
• 지연 시간 경고: p95/p99 임계값 위반, 지역 원본 가져오기 이상
• 스토리지 경고: 객체 스토리지 쓰기 실패 증가, 읽기 시간 초과
• 정리 작업 경고: 만료 정리 백로그, 과도한 삭제 작업 재시도

10.3.2 보안 경고

• 비율제한 적중률 비정상적 상승
• 동일한 출처의 고주파수 401/403/404, 열거/무차별 대입 의심
• 비정상적인 단일 리소스 다운로드 대역폭/동시성, 의심되는 트래픽 플러딩 또는 핫링크
• 중요한 정책 변경(예: WAF 규칙, CSP/헤더 변경)은 변경 감사 및 경고(해당하는 경우)를 트리거해야 합니다.

10.3.3 경보 거버넌스

• SHOULD: 순환/에스컬레이션 경로를 사용하여 알림(P0/P1/P2)을 분류합니다.
• SHOULD: 경고 피로를 방지하기 위해 노이즈가 있는 측정항목에 디바운스/창 집계를 적용합니다.
• SHOULD: 민감한 데이터를 제외하고 각 경고에 최소한의 진단 정보(원인 코드, 추세 차트, 영향을 받는 지역/경로)를 첨부합니다.

10.4.1 일반적인 이상 패턴

• Enumeration: 짧은 시간에 transferId/리소스 경로를 대량으로 조사하고 404/401/403에서 급증합니다.
• 무차별 대입: 단축 코드/비밀번호/토큰에 대한 시도 빈도가 높고, 비정상적인 실패율 곡선.
• 교통 범람: 단일 리소스에 대한 비정상적인 대역폭, 동일한 소스의 대규모 동시 연결, 반복 다운로드.
• 프로토콜 변칙: 불합리한 청크 순서, 중복 업로드, 잦은 인터럽트/재시도, 비정상적인 UA 패턴.

10.4.2 완화 전략(원칙)

• SHOULD: 속도 제한, 계층형 금지, 인증 확인 메커니즘(해당되는 경우), ASN/지역/지문 기반 동적 정책.
• SHOULD: 오탐에 민감한 경로(일반 사용자는 자주 다운로드할 수 있음)에 대해 보다 온화한 전략(예: 지연, 분할된 제한)을 채택합니다.
• MUST: 수행된 작업에 대해 감사 가능한 트리거(원인 코드, 임계값 범주)를 유지하고 지원 채널을 제공합니다(해당하는 경우).