보안 방위 SOC에서 경보 과부하를 줄이는 방법

분석가들은 쉴 새 없이 몰려드는 알림에 시달리는데, 그중 상당수가 오탐입니다. 연구에 따르면 보안 운영 센터(SOC) 인력의 71%가¹ 번아웃을 경험하고 경보량에 압도되는 느낌을 받는다고 보고합니다. 분석가들이 가장 불만을 느끼는 점은 오탐을 처리하고 수작업을 수행하는 데 너무 많은 시간을 소비한다는 것입니다. 

무엇보다도 우려스러운 것은, 2024년 설문 조사²에 따르면 경보의 무려 62%가 완전히 무시되고 있으며, 장시간 근무 후 정확도가 40% 떨어진다는 것입니다. 따라서 이는 단순한 효율성 문제를 넘어 인적 요인에 뿌리를 둔 보안 취약점으로, 정교한 위협들이 이러한 틈을 정확히 악용하고 있습니다.

다행히도 고급 자동화 및 AI 기반 보안 도구와 결합된 더 스마트한 탐지 전략으로 노이즈와 위험이 모두 줄어들고 있습니다. 이미 많은 조직에서 큰 개선 효과를 보고 있습니다. 고객 피드백을 분석한 최근 보고서에 따르면 Elastic Security를 사용하는 조직은 일일 경보 양을 1,000건 이상에서 단 8건의 실제 조치 가능한 발견으로 줄였고 오탐은 평균 75% 감소했습니다. 이는 단순한 노이즈 감소가 아니라 분석가의 집중력과 SOC 효율성의 변화입니다. 이러한 변화의 핵심 동력 중 하나는 Elastic의 Attack Discovery와 같은 AI 기반 도구입니다. 이 도구는 개별 이상 신호가 아닌 실제 공격을 식별해 오탐을 크게 줄입다.

보안 팀에게는 더 많은 경보가 필요하지 않습니다. 운영 방식에 전략적인 변화가 필요합니다. 의미 있고 실행 가능한 인텔리전스로 가는 길은 더 많은 도구, 더 많은 교육 또는 더 많은 교대 근무를 추가하는 것이 아니며, 이는 당연히 더 많은 비용으로 이어집니다. 핵심은 보안 방위팀이 경보 과부하와 위험 노출을 줄이고 보안 운영 효율을 높이기 위해 이미 실행 중인 전략적 변화를 이해하는 데 있습니다.

위협을 효율적으로 조사하기 위해 분석가는 환경 전반에서 다양한 사건들이 어떻게 연관되어 있는지 파악할 수 있는 체적인 관점이 필요합니다. 그러나 데이터가 엔드포인트, 방화벽, 및 신원 시스템에 분산되어 있어, 통합된 관점을 확보하는 데 계속해서 어려움을 겪고 있습니다.

Elastic의 Attack Discovery는 경보 간의 관계를 적극적으로 식별하여 데이터의 홍수 속에서 쉽게 발견할 수 없는 공격 패턴을 드러냅니다. 이 모든 것은 정교한 검색 기능과 대형 언어 모델이 결합되어 구동되며, 실제 보안 데이터와 함께 작동하며 단순한 보안 가정에 의존하지 않습니다. 이는 상관 규칙을 활용해 알려진 위협을 자동으로 탐지하고, 관련 이벤트를 연결함으로써 더 깊은 맥락을 제공하며 빠르고 정확한 조사를 지원합니다. 각 탐지는 관련 경보를 연결하여 어떤 사용자와 호스트가 연루되었는지, 활동이 MITRE ATT&CK® 프레임워크의 어떤 부분과 연관되는지, 그리고 가능성 있는 위협 주체가 누구인지를 보여줌으로써 잠재적 공격을 드러냅니다. 또한 Elastic Attack Discovery는 서로 관련이 없어 보이는 경보를 연결하여 명확하고 일관된 공격 체인을 구성합니다. 분석가는 비정상적인 네트워크 트래픽, 의심스러운 프로세스 또는 자격 증명 사용에 대한 개별 경고를 다루는 대신, 공격의 전체 맥락을 즉시 파악할 수 있습니다.

지식 기반은 과거 인시던트, 공격 패턴 및 환경 전반의 상관관계에 대한 맥락으로 경보를 강화하여 분석가가 전체 상황을 파악하고 명확하고 정확하게 위협에 대응할 수 있도록 돕습니다.

또한 장기 포렌식 데이터 보존을 지원하여 방위 산업에서 보안과 규정 준수를 유지하는 데 중요한 시간 경과에 따른 이벤트의 상관관계를 파악할 수 있습니다.

높은 경보 발생량은 팀을 지치게 합니다. 경보 관리 방식에 전략적인 변화를 주면 팀은 단순히 상황에 대응하는 데서 벗어나 더욱 신중하고 선제적인 조치를 취할 수 있게 됩니다. 텔레메트리의 모든 스파이크에 수동으로 대응할 필요를 제거함으로써 팀은 더 스마트하게 사고하고 고급 탐지 전략을 개발하거나 이전에는 접근할 수 없었던 위협 헌팅 프로젝트를 추구할 수 있는 더 많은 여력을 갖게 됩니다.

방위 보안팀이 AI 기반 자동화를 통해 효율성을 높이고 피로도를 줄이며 운영을 간소화하는 방법을 알아보세요. 더 스마트한 보안: AI가 위협 탐지 및 분석가 워크플로를 혁신하는 방법 웨비나에 참여하세요. 이 웨비나는 4부로 구성된 시리즈 중 첫 번째로, AI가 방어 SOC 운영을 실질적으로 재구성하는 방법을 집중적으로 다룹니다.

출처:

1. Tines, “Report: Voice of the SOC Analyst,” 2022년

2. MSSP Alert and CyberRisk Alliance, “MSSP Market News: Survey Shows 62% of SOC Alerts are Ignored,” 2024년

이 게시물에서 설명된 모든 기능이나 성능의 출시와 일정은 Elastic의 단독 재량에 따라 결정됩니다. 현재 제공되지 않는 기능이나 성능은 예정된 시간에 출시되지 않을 수도 있으며 아예 제공되지 않을 수도 있습니다.

해당 블로그 게시물에서는 타사 생성형 AI 도구를 사용하거나 언급했을 수 있으며 이러한 도구는 각각의 소유자가 소유하고 운영합니다. Elastic은 이러한 타사 도구에 대한 어떠한 통제권이 없으며 해당 도구의 콘텐츠, 운영, 사용뿐만 아니라 사용으로 인해 발생할 수 있는 손실이나 손해에 대해 어떠한 책임도 지지 않습니다. 개인 정보, 민감한 정보 또는 기밀 정보를 AI 도구와 함께 사용할 때는 주의하시기 바랍니다. 제출된 모든 데이터는 AI 학습이나 기타 목적으로 사용될 수 있습니다. 제공한 정보가 안전하게 보호되거나 비밀로 유지된다는 보장은 없습니다. 생성형 AI 도구를 사용하기 전에 해당 도구의 개인정보 보호 관행과 이용 약관을 숙지하시기 바랍니다. 

Elastic, Elasticsearch 및 관련 마크는 미국 및 기타 국가에서 사용되는 Elasticsearch N.V.의 상표, 로고 또는 등록 상표입니다. 그 외의 모든 회사 및 제품 이름은 해당 소유자의 상표, 로고 또는 등록 상표입니다.