경제신문스크랩 - AI

기하급수적으로 늘고 있는 사이버 위협…더 절실해진 AI 대응 전략

news.naver.com/main/read.nhn?mode=LPOD&mid=sec&oid=138&aid=0002101525

 

#기사본문

사이버보안을 위해 인공지능(AI)을 활용해야 한다는 주장은 꾸준히 제기돼 왔다. 다수의 보안 전문가들은 고도화·다양화되고 있는 사이버 공격에 효율적으로 대응하기 위해서는 AI가 필요하다고 말해왔다. 이와 같은 전문가들의 경고는 작년 코로나19 이후 다시금 강조됐다. 해커들은 일반 이용자의 개인정보나 기업의 내부 기밀 등 돈이 될만한 모든 영역을 공격하고 있다. 작년 코로나19 백신 관련 기업·기관은 해커들의 주요 공격 대상 중 하나였다. 사회적 거리두기로 이뤄지는 디지털 전환도 위협을 키웠다. 더 많은 가치 있는 정보가 디지털화됨에 따라 공격면이 크게 늘어났기 때문이다. 시장조사기관 IDC는 2018년 33제타바이트(ZB)였던 글로벌 데이터 시장 규모가 2025년 175ZB로 늘어날 것이라 예측했는데, 코로나19 이후 성장 속도가 더 빨라졌다는 관측도 나온다. 날로 늘어나는 위협을 사람이 대응하는 것은 불가능하다. 보안업계에서는 AI를 통한 보안 자동화는 피할 수 없는 선택이라는 의견이 지배적이다. 션 두카 팔로알토 네트웍스 아태지역 최고보안책임자(CSO)는 “과거의 방식으로 늘어나는 사이버 보안 수요를 충족하려 한다면 전 세계 인구 70억명 모두를 보안 전문 인력으로 육성해도 부족할 것”이라고 피력한 바 있다. 사이버보안에서 AI가 활용되는 영역은 전 분야다. 백신 프로그램이나 방화벽 등 레거시 보안제품도 AI를 이용해 고도화되고 있다. 사람이 대응할 수 없는 규모의 위협에 빠르게 대응할 수 있다는 점에서 강점을 지닌다. AI를 활용한 보안으로 대표되는 제품이 보안 오케스트레이션, 자동화 및 대응(SOAR)이다. SOAR는 방화벽, 침입방지시스템(IPS), 엔드포인트 등에서 발생하는 정보를 수집·분석하는 통합로그관리시스템(SIEM)에서 범위를 더욱 넓힌 개념이다. 방화벽과 스위치, 엔드포인트 탐지 및 대응(EDR)과 위협 인텔리전스, 위협 헌팅 등 복수의 보안 시스템과 연계해 보안 자동화를 구축한다. 반복되는 보안 이벤트를 AI가 대응하도록 자동화함으로써 넓어진 공격면, 다양해진 공격 기법 등에 대응한다. 2017년 SOAR라는 개념을 처음 제시한 글로벌 시장조사기관 가트너는 악성메일 대응 업무에 SOAR를 적용할 경우 약 87%의 소요 시간을 절감할 것으로 내다봤다. SOAR 시장에서 앞선 것은 글로벌 기업이다. 일찌감치 보안관제센터(SOC) 자동화의 중요성을 강조해온 팔로알토, 포티넷 등이 대표적이다. 팔로알토는 작년 출시한 ‘코어텍스 XSOAR’의 국내 레퍼런스도 다수 확보한 것으로 전해진다. 국내 최초의 SOAR 제품인 ‘세피니티 에어’를 선보인 안랩에 이어 이글루시큐리티도 올해 초 ‘스파이더 SOAR’을 출시했다. SOAR 시장에 뛰어들었다.

 

#근거(객관적 수치)

사회적 거리두기로 이뤄지는 디지털 전환도 위협을 키웠다. 더 많은 가치 있는 정보가 디지털화됨에 따라 공격면이 크게 늘어났기 때문이다. 시장조사기관 IDC는 2018년 33제타바이트(ZB)였던 글로벌 데이터 시장 규모가 2025년 175ZB로 늘어날 것이라 예측했는데, 코로나19 이후 성장 속도가 더 빨라졌다는 관측도 나온다.

날로 늘어나는 위협을 사람이 대응하는 것은 불가능하다. 보안업계에서는 AI를 통한 보안 자동화는 피할 수 없는 선택이라는 의견이 지배적이다. 션 두카 팔로알토 네트웍스 아태지역 최고보안책임자(CSO)는 “과거의 방식으로 늘어나는 사이버 보안 수요를 충족하려 한다면 전 세계 인구 70억명 모두를 보안 전문 인력으로 육성해도 부족할 것”이라고 피력한 바 있다.

 

#추가 조사내용

1. AI보안

『 전 세계, 사이버 보안 투자 '집중' 』
미국은 2018년 9월 국가 사이버 전략을, 2019년 12월에는 국가 최상위 사이버보안 연구개발 전략계획을 발표했다.

영국은 2016년 11월 국가 사이버 보안 전략 발표에 이어 2020년까지 사이버 보안에 대한 예산을 2배 확대(총 19억파운드, 2조8000억원 규모)한다는 계획을 내놓기도 했다.

중국 또한 2017년 6월 국가 정보보호사고 응급 대응계획을 내놨다.

한국도 국가 사이버 안보계획을 수립하고 사이버 보안을 강화한다는 계획을 내놨다. 2019년 9월 사이버 안보 환경 변화, 안보 위협의 증대에 따라 관계부처 합동으로 국가 사이버 안보 기본계획을 발표한 것이다.

국가 사이버 안보 기본계획을 살펴보면, 자유롭고 안전한 사이버 공간을 구현해 국가 안보와 경제발전을 뒷받침하고 국제 평화에 기여한다는 비전 아래 1)국가 주요 기능의 안정적 수행 2)사이버 공격에 빈틈 없는 대응 3)튼튼한 사이버 안보 기반 구축 등을 목표로 설정했다. 또한 이들 비전과 목표에 따라 국가 핵심 인프라 안전성 제고, 사이버 공격 대응역량 고도화, 신뢰와 협력 기반 거버넌스 정립, 사이버 보안 산업 성장 기반 구축, 사이버 보안 문화 정착, 사이버 안보 국제협력 선도 등의 6개 전략과제를 추진한다는 내용이다.

2. 보안 솔루션 기업

『 SOAR 시장에 뛰어들고 있는 기업들 』

1) 이글루시큐리티

일찍이 AI 보안 솔루션 개발에 나선 이글루시큐리티는 2019년 AI 보안관제 솔루션 ‘스파이더 티엠 에이아이 에디션’을 선보였다. 시장 선점효과는 2020년 코로나19로 인해 보안 솔루션 시장이 커지면서 나타났다.
이글루시큐리티는 기업과 기관을 대상으로 ‘스파이더 티엠 에이아이 에디션’을 비롯한 솔루션 판매가 늘면서 2020년 매출액은 전년대비 8.2% 상승한 817억2000만원을, 영업이익은 207.2% 오른 51억9800만원을 기록했다. 이글루시큐리티는 2020년에만 34건의 AI 관련 특허를 취득할 정도로 차세대 보안 연구개발(R&D)에 공격적으로 투자 중이다.

2) 안랩안랩도 2020년 AI기반 정보보안 스타트업 ‘제이슨'을 인수하는 등 AI 보안 시장에 관심을 보인다. 안랩에 따르면 제이슨은 AI 기반 이상징후탐지 솔루션 'JMachine'을 국내 대기업, 금융사 등에 제공하며 2020년 매출이 전년대비 증가했다.

 

3) 팔로알토 네트웍스글로벌 네트워크 보안업체 팔로알토 네트웍스는 머신러닝 기반 차세대 방화벽 ‘PAN-OS 10.0’을 출시했고, 지란지교시큐리티는 KT와 협업해 AI 이메일 보안 솔루션을 선보이는 등 보안 솔루션에 AI 기술을 적용하는 사례가 늘고 있다.

 

3. 보안 기술

SIEM과 SOAR는 보안 운영 센터에서 운영되며 조직이 위협을 조직적으로 시간에 맞게 탐지하고 대응하도록 돕는 핵심 기술이다.

 

1) SIEM -보안 정보와 이벤트 관리(Security Information and Event Management)

기업의 환경에 있는 포인트 시스템, 기기, 어플리케이션에서 제공되는 로그, 이벤트, 보안 데이터를 하나의 플랫폼에서 수집한다. 이를 통해 여러 다른 소스에서 수집한 이벤트를 상호연계하고 네트워크 안에서 발생할 수 있는 잠재적인 악성 활동에 대한 경보를 발생하여 잠재적인 사고에 대한 “점들을 연결”하도록 돕는다.

하지만 많은 수작업, 시간이 필요하며 경보가 반복되기 때문에 분석가가 많은 용량에 압도될 수 있다는 것을 포함해서 많은 불편이 발생하여 중요한 것을 누락하거나 삭제하는 등의 나쁜 결과를 초래할 수 있다.

 

2) SOAR - 보안 오케스트레이션, 자동화 및 대응(Security Orchestration, Automation and Response)

여러 소스에서 추출한 데이터를 수집하고 분석하여 IT 시스템에서 보안 사건을 확인할 수 있도록 하는 보안 솔루션이다. 뿐만 아니라 SOAR는 자동화된 플레이북을 통해 보안 이슈에 대한 관리의 능률을 향상시킬 수 있으며, 여러 보안 솔루션을 하나의 인터페이스로 관리하여 보안 사건에 효율적으로 대응할 수 있도록 돕는다.

 

『 SOAR 솔루션 주요 요소 』 

Orchestration (오케스트레이션): 보안 오케스트레이션은 보안 운영 팀이 위협을 선별, 조사 및 완화하기 위해 사용하는 도구들을 통합하고 관리하는 것을 말한다. 보안 오케스트레이션은 구체적인 위협을 다루기 위해 필요한 프로세스와 관련 도구를 정의하는 플레이북을 통해 이루어지며, 이러한 도구의 API를 활용하여 관련 기능을 실행하고 여러 콘솔을 계속 변경해야하는 필요를 해결한다.

 

Automation (자동화): 보안 자동화는 보안 직원에 의해 실행되었던 업무를 수행하는 소프트웨어 도구를 사용하는 것을 의미한다. 모든 보안 업무가 완전히 자동화되는 것은 아니지만, 많은 업무들이 자동화될 수 있다.

위협 인텔리전스를 통한 데이터 보충과 같은 반복적인 업무를 완수하는 것에서부터 샌드박스에서 파일을 분해해서 분석하는 것까지 이러한 업무에 자동화를 적용하면 분석가들이 일에서 해방되어 더욱 결정적인 사고를 요구하는 전략적 활동에 전념할 수 있게 된다.

 

Response (대응): 보안 대응은 보안 이슈에 반응하고 치료하는 것을 의미한다. 이것은 먼저 이슈를 보관 및 해결하고 위협이 다시 발생하지 않도록 조치를 취하도록 요구한다. 대응을 시작하도록 하는 결정이 자동화되는 경우는 극히 드물지만, 반복되는 업무를 제거하여, 사용자 크리덴셜 재세팅 또는 악성 URL 차단과 같은 위협 제거 활동은 SOAR 플랫폼에 의해 시작될 수 있다.

 

#적용할 점(현직자에게 물어볼 점)

1. 기업에서 사용하는 보안 솔루션은 안랩, 이글루시큐리티, 팔로알토 네트웍스 같은 회사에서 구매하여 사용하는 것인가?

2. 보안에 AI를 쓰는 것뿐만 아니라 공격에도 AI가 사용될 것인데 사용한 AI의 우위로 승패가 결정나는 것인가?

 

#참고자료

인공지능 활용 사이버 보안 급성장

보안 분야서 AI 접목 新 트렌드 뜬다

SIEM과 SOAR는 둘 다 필요한가? - 위드네트웍스