SIEM

Claude Code 탐지는 파일시스템(.claude/ 디렉토리, history.jsonl, credentials), 네트워크(api.anthropic.com, Statsig, Sentry), 프로세스(claude CLI, MCP 서버), Git(co-authored-by Claude, .claude/ 설정 변경) 네 계층으로 접근한다. 우선순위는 API 인증 파일과 네트워크 트래픽이 긴급, hooks/MCP 설정 검증이 높음, PR 리뷰 자동화와 커밋 추적이 중간이다. 설정 파일의 존재 여부뿐 아니라 내용 검증(hooks 악성 명령, MCP 미승인 서버, ANTHROPIC_BASE_URL 변조)까지 수행해야 한다.