전략적 보안 자동화로 투자 가치 극대화하기

보안 자동화는 오랫동안 무엇을, 언제, 어떻게 자동화할지 논쟁의 대상이었지만, 가끔의 좌절에도 불구하고 자동화가 앞으로 나아갈 길이라는 합의는 여전하다. 오늘날 현실은 자동화가 더 이상 선택이 아니라 필수임을 확인시켜준다.

많은 조직이 이미 핵심 보안 및 사고 대응(IR) 작업에 기본 자동화를 구현했지만, 2020년 사건들이 촉매제가 되었다고 ThreatQuotient의 Noor Boulos는 말한다. 최근 SANS 보고서는 글로벌 팬데믹이 자동화 도입을 가속화해 기업들이 우선순위와 미래 로드맵을 재평가하게 만들었다고 강조한다. 설문은 북미, 유럽, 아시아 태평양, 아프리카 전역의 모든 규모 기업을 대상으로 했다.

주요 시사점:

• 조직의 거의 3분의 1이 COVID-19 팬데믹이 자동화 계획을 가속화했다고 보고

• 이제 80% 이상이 핵심 보안 및 IR 프로세스의 최소 부분적 자동화를 보유(2020년 47%에서 증가)

• 사고 대응 자동화가 가장 급격히 성장: 광범위 자동화가 2020년 10.5%에서 2021년 28.3%로 18%포인트 상승

• 보안 운영 및 알림 처리가 여전히 최우선 과제: 35.5%가 광범위 자동화 달성

• 향후 12개월 내 85%가 핵심 보안 및 IR 프로세스 자동화 확대 계획

이러한 결과는 비즈니스 가치를 극대화하기 위해 보안 라이프사이클 내 자동화 타이밍의 중요성을 강조한다. ThreatQuotient에서는 데이터가 효과적인 탐지 및 대응 자동화의 초석임을 강조한다. 보고서에서 강조된 두 가지 주요 사용 사례인 알림 트리아지와 사고 대응을 살펴보자.

알림 트리아지:

보안 분석가는 시끄러운 SIEM 규칙과 기본 방어 구성으로 생성된 홍수 같은 알림에 직면한다. 볼륨과 속도를 관리하기 위해 분석가는 외부 위협 데이터와 인텔리전스 피드를 SIEM에 직접 공급하는 경우가 많다. 그러나 두 가지 과제가 지속된다:

첫째, 외부 위협 데이터의 막대한 양이 SIEM을 압도해 많은 비문맥적 알림을 생성하며 분석가의 집중적 리서치를 요구한다. 둘째, 현재 도구는 위협 인텔리전스를 SIEM에 통합하기 전에 맥락과 관련성을 제공하는 강력한 의사결정 지원이 부족하다. 따라서 우선순위화가 분석가를 실행 가능한 알림에 집중시키는 데 필수적이다.

ThreatQ 플랫폼을 사용하면 관련 위협 인텔리전스만 SIEM에 공급해 무의미한 알림을 제거할 수 있다. 플랫폼은 위협 데이터에 맥락, 관련성, 우선순위를 자동 적용해 SIEM 도달 전 효율성과 효과성을 모두 높인다.

사용자 환경에 맞춘 맞춤형 위협 인텔리전스 점수로 정밀한 우선순위화가 가능하다. 집중된 위협 데이터 하위셋을 큐레이션함으로써 SIEM은 더 적은 거짓 양성을 생성하고 더 우아하게 확장된다.

사고 대응:

전통적 보안 오케스트레이션, 자동화, 대응(SOAR) 솔루션은 프로세스 자동화에 초점을 맞춘다. 그러나 탐지 및 대응에 적용하면 플레이북이 불편해질 수 있다. 의사결정 로직이 하드코딩돼 모든 플레이북에서 업데이트해야 하기 때문이다. 플레이북이 늘어나면 복잡성이 증폭되고, 시끄러운 데이터 자동화는 노이즈를 증폭시킬 수 있다.

ThreatQ TDR Orchestrator는 단순화된 데이터 주도 SOAR 접근법을 채택한다. 여기서는 데이터 자체가 플레이북을 트리거하고, 자동화된 행동에서 수집된 인사이트가 분석으로 피드백돼 향후 대응을 개선한다. 인텔리전스를 개별 플레이북이 아닌 플랫폼에 내장함으로써 구성과 유지보수가 훨씬 단순해져 더 효율적이고 효과적인 자동화 결과를 이끈다. 사용자는 데이터를 사전 큐레이션하고 우선순위를 정하며, 관련 행동을 자동화하고, 대응 절차를 간소화할 수 있다.

저자는 ThreatQuotient의 Noor Boulos입니다.