SOC 분석가의 피로
보안관제센터(SOC)는 조직의 보안 이벤트를 24시간 모니터링하는 곳입니다. 문제는 알림의 양입니다.
Vectra AI가 SOC 분석가 2,000명을 조사한 2023 State of Threat Detection 보고서에 따르면, SOC 팀은 하루 평균 4,484건의 알림을 받습니다. 분석가들은 그중 67%를 처리하지 못한다고 답했고, 알림의 83%는 오탐이라 시간을 쓸 가치가 없다고 봤습니다. 알림을 손으로 분류하는 데만 하루 평균 2.7시간이 듭니다. 이 과정에서 실제 위협이 묻힙니다.
AI가 바꾸는 것
AI 기반 SOC 자동화는 세 가지 영역에서 변화를 만들고 있습니다.
1. 알림 분류 자동화
머신러닝 모델이 알림의 우선순위를 자동 분류합니다. 오탐(false positive)을 걸러내고, 분석가가 집중해야 할 위협만 올려줍니다.
생성형 AI 보조 도구도 들어왔습니다. Microsoft가 자사 Security Copilot으로 진행한 실험에서 숙련 보안 분석가는 작업 속도가 22% 빨라졌고 정확도는 7% 올랐습니다. 벤더가 자기 제품으로 잰 수치라는 점은 감안해야 합니다.
2. 위협 탐지 고도화
행위 기반 분석(UEBA)과 AI를 결합해, 시그니처 기반 탐지로는 잡기 어려운 알려지지 않은 위협과 내부자 위협을 찾습니다.
3. 대응 자동화
SOAR(Security Orchestration, Automation and Response) 플랫폼과 AI를 연동하여, 탐지된 위협에 대한 초기 대응을 자동 실행합니다. IP 차단, 계정 격리, 포렌식 데이터 수집 같은 정해진 절차를 사람 개입 없이 처리합니다.
남은 과제
- AI 적대적 공격: 공격자가 AI 모델을 속이는 기법. MITRE ATLAS가 AI 시스템을 노리는 공격 전술·기법을 정리하고 있습니다
- 맥락 이해 한계: 비즈니스 맥락을 완전히 이해하지 못하는 AI
- 인력 재교육: AI 도구를 다루는 새로운 스킬셋 필요
- 규제 준수: AI 자동 대응의 법적 책임 문제
도입 전략
- SIEM에 AI 분류 엔진 연동부터 시작
- 오탐 감소 효과 측정 후 점진적 확대
- SOAR 자동 대응은 낮은 위험 알림부터 적용
- 분석가를 대체가 아닌 증강(augmentation)으로 접근
참고 자료