데이터 분석 플랫폼, CISO의 핵심 자산이자 강력한 보안 도구
데이터 분석 플랫폼은 현대 기업에서 CISO가 보호해야 할 가장 중요한 자산 중 하나입니다. 동시에, 데이터 분석은 보안 팀이 위협을 식별하고 완화하는 데 매우 효과적인 도구가 될 수 있습니다. AI/ML과 데이터 과학의 발전은 보안 책임자에게 이전과는 비교할 수 없을 정도로 정밀한 공격 징후 포착 능력을 제공하며, 신속한 대응을 가능하게 합니다.
데이터 과학과 머신러닝의 힘
미시간대학교 티모시 베이츠 교수는 "오늘날 보안은 데이터를 얼마나 똑똑하게 활용하느냐가 핵심"이라고 강조합니다. 데이터 과학과 머신러닝은 사고가 확대되기 전에 대응할 수 있는 맥락과 타이밍을 제공합니다. GM에서 CISO를 역임했던 베이츠는 글로벌 SOC를 설계하여 사이버보안 전략을 '사후 대응'에서 '사전 예방' 중심으로 전환했습니다. GM은 침입 탐지 도구와 SIEM 플랫폼을 활용해 로그 데이터를 수집하고 분석했습니다.
데이터 분석을 통한 이상 행위 탐지
GM은 데이터 분석을 통해 매일 수십억 건의 로그 이벤트를 처리하면서 이상 행위를 실시간으로 탐지하는 행동 기준선을 구축했습니다. 특히 제조 네트워크에서 비정상적인 로그인 및 명령줄 활동 패턴을 식별하여 크리덴셜 스터핑 공격을 차단했습니다. 이 조치를 통해 수백만 달러의 피해를 예방할 수 있었습니다. 로직게이트의 닉 카스만 CISO는 "사이버보안은 방대한 데이터셋으로 가득하며, AI·ML·데이터 과학은 이를 다루는 데 막대한 도움을 준다"고 말합니다.
머신러닝을 활용한 심층 패턴 분석
SIEM 플랫폼과 머신러닝 모델을 결합하여 로그 데이터를 패턴 중심으로 분석하는 전략은 매우 효과적입니다. 비즈니스 부서별 행동 기준선을 설정하고, 이를 벗어나는 이상 징후를 실시간으로 탐지해야 합니다. 로그만으로는 문제를 파악하기 어렵지만, 패턴 분석을 통해 실행 가능한 인사이트를 얻을 수 있습니다. GM의 SOC는 머신러닝 덕분에 노이즈 데이터를 유용한 정보로 전환할 수 있었습니다.
크리덴셜 스터핑 공격 차단 사례
GM에서 발생한 크리덴셜 스터핑 공격은 내부 관리자의 정상적인 활동을 모방했지만, 미묘하게 어긋난 부분이 있어 시스템이 이를 이상 징후로 감지했습니다. 이처럼 심층적인 분석은 공격을 사전에 차단하는 데 결정적인 역할을 했습니다. 바이레스데브 역시 머신러닝 기반 데이터 분석을 활용하여 위협 및 비정상 활동을 더 빠르게 식별하고 있습니다.
머신러닝의 지속적인 학습
머신러닝을 효과적으로 활용하려면 지속적인 재학습이 필수적입니다. 변화하는 위협 벡터와 진화하는 사이버 범죄자의 행태에 대응하려면 새로운 데이터를 기반으로 모델을 꾸준히 업데이트해야 합니다. 피드백 루프를 마련하여 분석가가 이벤트에 라벨을 붙이고 설정을 조정할 수 있도록 하면 모델의 정확도가 지속적으로 개선됩니다. 데이터 레이크나 SIEM 플랫폼을 정교하게 통합 구축하여 머신러닝 모델이 충분한 맥락을 가진 데이터를 학습할 수 있도록 해야 합니다.
데이터 과학팀과 보안팀의 통합
많은 기업이 데이터 과학·분석팀과 사이버보안팀을 별도로 운영하지만, 조직 전반의 맥락을 이해하고 실제 환경에 맞춰 모델을 조정할 수 있는 데이터 과학자를 SOC 팀과 통합하는 것이 효과적입니다. 보안 전문성과 데이터 모델링을 결합하면 사후 대응이 아닌 실시간 대응이 가능합니다. 기업의 최종 목표를 이해하는 데이터 과학팀이 보안팀과 협력하여 데이터 웨어하우스나 데이터 레이크에 필요한 데이터를 수집·저장할 수 있도록 지원하는 것이 최적의 방식입니다.
데이터 거버넌스와 통합 수준 향상
사이버보안 영역에서 데이터와 AI 역량을 최대한 활용하려면 데이터 품질을 확보하고 다양한 데이터 소스를 통합하는 데 집중해야 합니다. 데이터의 정확도를 높이고 모델 드리프트를 최소화하려면 데이터를 지속적으로 정제하고 표준화하며, 적절한 방식으로 검증해야 합니다. 위협 탐지는 외부 경계에만 집중할 것이 아니라 전사적으로 확장할 필요가 있습니다. SOC가 OT 네트워크나 클라우드 시스템과 같은 운영 환경에 깊이 통합되도록 해야 합니다.
맞춤형 LLM으로 역량 보완
기업의 특수한 요구에 맞춰 커스터마이징된 LLM은 사이버보안 역량을 강화하는 데 유용합니다. 고도화된 보안팀을 보유했거나 고유한 보안 요구사항 또는 복잡한 환경을 가진 기업은 보안 분석에 맞춤형 솔루션을 점점 더 많이 활용하고 있습니다. 맞춤형 LLM은 조직별로 특화된 데이터·위험 시각화나 위험 정량화 이니셔티브에 효과적으로 활용될 수 있습니다. SOC 인력은 AI를 활용해 실시간으로 실험하면서 더 정교한 쿼리 작성법을 익히고 동시에 AI에게도 추가적인 맥락 정보를 학습시킬 수 있습니다.
문서 자산 분석에 AI 적극 활용
비정형 데이터를 분석하면 사이버보안팀이 얻을 수 있는 보안 인사이트도 크게 확대됩니다. AI를 기업의 시스템을 관리하고 보호하는 데 사용되는 각종 문서를 분석하는 데 활용하는 것입니다. 이러한 문서에는 보안 정책, 절차, 지침 등 기업의 사이버보안 운영을 이끄는 핵심 문서가 포함됩니다. AI 모델을 활용해 위험 관리 프레임워크와 위험 분석 보고서 간의 핵심 차이점을 읽고 요약할 수 있습니다. 기업의 모든 SOP를 검색해 문제가 있는 것으로 알려졌거나 의심되는 관행을 찾아내고 표준을 따르지 않는 프로세스를 식별하는 모델도 구축할 수 있습니다.
결론
데이터 분석 플랫폼은 기업의 사이버보안을 강화하는 데 필수적인 요소입니다. AI와 머신러닝을 효과적으로 활용하고, 데이터 거버넌스를 강화하며, 데이터 과학팀과 보안팀 간의 협력을 증진함으로써 기업은 더욱 강력하고 지능적인 보안 태세를 구축할 수 있습니다. 데이터 중심의 보안 전략은 기업의 중요한 자산을 보호하고 사이버 위협으로부터 안전하게 지키는 데 핵심적인 역할을 할 것입니다.
