지능형 내부 위협을 더 효과적으로 탐지할 수 있는 행동 분석 기법을 활용해 보안 분석 리더십 강화

실시간 운영 인텔리전스 소프트웨어 공급업체인 스플렁크(Splunk Inc.)는 머신러닝 기반으로 보안 공격자의 행동 패턴을 분석하는 보안 업체 캐스피다(Caspida, Inc.)를 인수했다고 밝혔다. 인수가격은 총 1억9,000만 달러로, 스플렁크는 현금 1억2,700만 달러와 제한부 주식 6,300만 달러를 투자해 캐스피다 주식을 모두 매입했다.

보안 업계에서는 스플렁크와 캐스피다가 보유한 세계 최고 수준의 보안 침해 대응과 탐지 기술의 결합에 대해 기대감을 내비치고 있다. 최근 이슈가 됐던 보안 사건 대부분이 자격 증명을 악용한 공격인 상황에서, 머신러닝 기술을 활용한 자동 탐지 기법이 기업 내·외부 공격자의 보이지 않는 위협까지 탐지할 수 있는 보안 기술의 미래로 여겨지기 때문이다.

캐스피다의 편입으로 스플렁크는 업계 최고 수준의 광범위한 보안 분석 역량을 보유하게 된다. 스플렁크의 고객사는 행동 분석 기법을 기반으로 보안 위협을 사전에 감지, 대응 및 완화할 수 있게 됐다.

하이엔 송(Haiyan Song) 스플렁크 보안 부문 총괄 부사장은 "스플렁크는 효과적으로 보안 위협에 대응할 수 있는 솔루션을 고객들에게 제공하며 현재와 같은 기업 명성을 얻을 수 있었다"며 "이번 인수를 통해, 더욱 복잡해지고 지능화되고 있는 보안 위협을 탐지해 고객 비즈니스를 보호할 수 있게 됐다"고 말했다.

하이엔 송 부사장은 이어 "스플렁크는 캐스피다 기술을 통합해 공격자들이 유효한 자격 증명을 악의적으로 이용해 시스템을 예측 불가능한 방식으로 공격하는 행위까지 탐지함으로써 기업 내·외부의 모든 지능형 위협을 차단하는데 더욱 주력할 것"이라며 "다양한 지능형 위협의 전체 라이프사이클을 모니터링하며, 이를 탐지, 대응, 자동 조치를 수행하는 플랫폼을 제공함으로써 보안 업계 선도기업으로서의 위상을 더욱 공고히 하겠다"고 말했다.

유효한 자격 증명을 이용한 공격은 기존 보안 기법을 통해 탐지할 수 없는 경우가 많다. 공격자들이 계정이나 시스템을 해킹해 액세스하거나 악의적인 목적으로 기존 자격 증명을 활용할 때, 추가적으로 맬웨어를 배포하지 않아도 되는 경우가 있기 때문이다. 실제로 지능적인 보안 공격이 활발하게 이뤄지고 있으며, 공격자들은 기존의 보안 기술을 피해갈 수 있는 방법을 쉽게 찾아내고 있다.

또한 보안 공격이 탐지되면 보안 분석가는 타당한 증거를 찾아야 한다. 보통 이 과정에서 보안 공격이 발생한 순간부터 이동 경로, 타깃을 완전히 장악한 후 정보 유출로 이어지는 전체 침입 과정을 파악하는 킬 체인(Kill Chain) 전술이 사용된다. 캐스피다는 SOC 분석가와 사고 대응 담당자에게 있어 가장 중대한 위협으로 제기되는 지능형 위협과 악의적인 내부자를 탐지하기 위해, 데이터 사이언스와 머신러닝 알고리즘을 사용하며 혁신을 주도한 업체로 평가 받고 있다.

무드 슈드하카르(Muddu Sudhakar) 캐스피다 최고경영자(CEO)는 "캐스피다는 데이터 사이언스를 적용해 가장 중대한 사이버 보안 문제인 지능형 위협과 내부자 위협을 해결하고자 설립된 보안 전문 회사이다"며 "캐스피다는 머신데이터를 분석하고 데이터 사이언스를 이용해 사용자, 장치, 개체의 유의미한 비정상적 행동을 탐지함으로써, 과거 엄청난 인력과 고비용의 수동 조작 기기가 있어야만 해결 가능했던 보안 이슈를 혁신했다. 이제 스플렁크와 힘을 합쳐 고객들에게 더욱 새롭고 강력해진 탐지 기능을 제공할 수 있게 돼 매우 기쁘게 생각한다"고 말했다.

스플렁크와 캐스피다의 통합 솔루션이 제공하는 핵심 기능은 다음과 같다.

데이터 사이언스를 활용해 외부로 드러나지 않은 지능형 내부자 위협 철저히 탐지
•  머신러닝에 기반해 멀티 도메인 분석을 하며, 지속적으로 위협과 비정상적인 행위 탐지

•  광범위한 사용자 지정 없이도 숨어 있는 보안 침해와 새로운 공격을 철저하게 확인

표적 사고 대응으로 위협 탐지 개선
•  표적 치료가 가능하도록 타당한 증거와 함께 킬 체인(Kill Chain)과 관련된 위협 행위 제공

•  멀티 도메인(사용자, 장치, 트래픽 어플리케이션)에서의 비정상적인 행위를 탐지하고 위협 검토 및 사고 해결 과정 간소화

SOC 효율 제고
•  위협을 점수로 환산하고 가장 중대한 위협과 문제를 부각시켜 경고 피로(alert fatigue) 현상 최소화

•  위협과 의심스러운 행위를 탐지하고 심층적인 통찰력을 제시해 위협 인텔리전스를 보완 및 강화