자동화된 인시던트 대응 효과를 측정하는 6가지 혁신적 지표
인시던트 대응 프로세스가 자동화로 지속적으로 변화함에 따라, 이러한 새로운 지표의 지원 없이는 자동화가 인시던트 대응 성과를 어떻게 변화시키는지 입증하는 것은 불가능에 가깝습니다.
보안 팀이 변화하는 위협 환경에 대응하기 위해 조직의 보안 인프라를 재정의할 때, 이러한 변화가 비즈니스 수익에 어떻게 긍정적인 영향을 미칠지 입증해야 하는 경우가 많습니다.
그러나 2016년 SANS 연구소 조사에 따르면, 71%의 조직이 인시던트 대응(IR) 성과에 대한 정기적인 지표나 측정을 가지고 있지 않았습니다. 이 비율은 최근 몇 년간 감소해 2017년에는 58%가 지표가 없다고 응답했지만, 많은 보안 팀은 주요 사이버 인시던트 발생 후에야 성과 측정의 필요성을 느끼게 됩니다.
1. 인시던트당 비용(CPI)
CPI 지표는 인시던트 지속 시간에 1단계 분석가의 평균 시간당 요율을 곱해 측정할 수 있습니다. 많은 보안 팀이 이 공식을 인시던트의 각 단계(탐지부터 대응 및 복구까지)에 대해 IR 플레이북을 통해 실행합니다.
자동화를 사용하면 전체 단계나 워크플로를 제거할 뿐만 아니라 가속화를 제공하고, 엄청난 비용 절감과 효율성 향상을 가져옵니다. 팀이 헛수고를 하는 대신 인시던트 검증과 종결에 집중할 수 있기 때문입니다.
2. 자동 탐지 대 수동 탐지
보안 팀은 보안 스택이 생성하는 탐지 수와 사람이 수행한 탐지 수의 비율을 결정하는 기준선을 설정할 수 있습니다.
사람 탐지를 파악하려면 직원 탐지 수(직원이 자신의 기기 오작동을 인지하거나 IT 관리자가 시스템의 비정상적 성능을 인지하는 경우), 외부 탐지 수(보안 팀이 정부/IT 관리자로부터 전화를 받는 횟수), 보안 운영 직원이 보안 스택이나 SIEM의 데이터를 수동으로 종합해 만든 탐지 수를 더해야 합니다. 그러면 현재 시스템의 효율성을 파악할 수 있습니다.
인시던트 대응 프로세스를 자동화하면 이 비율이 자동화 쪽으로 크게 기울어져 보안 운영 효율성이 향상됨을 의미합니다.
3. 조사 비율 대 볼륨
보안 운영은 이제 무엇이 틈새로 빠져나가는지 파악할 수 있습니다. 조사 수와 경고 볼륨을 측정함으로써 기업은 현재 보안 운영의 위험 격차를 측정할 수 있습니다. 자동화된 인시던트 대응 프로세스로 볼륨 대비 조사 비율이 극적으로 증가합니다.
예를 들어, 조직이 일반적으로 100개 경고당 3건 조사(3/100, 3%)를 수행하다가 자동화를 구현해 10% 경고-종결률과 추가 2건 조사(5/10, 50%)를 달성하면, 보안 운영 효과가 무려 1,500% 증가합니다.
4. 조사 대 대응 비율
보안 운영 팀이 가능한 한 적은 시간을 낭비하도록 하는 것은 모든 조직의 이익입니다. 조사 대 대응 비율 지표는 조사된 항목 중 몇 개가 완료된 대응 워크플로로 이어졌는지 파악하는 데 도움이 됩니다.
인시던트 대응 프로세스를 자동화하면 더 많은 조사가 단순한 의심 공격이 아닌 검증된 결론에 대해 이루어지므로 조사와 대응이 수렴됩니다.
5. 의사결정 비율
이 지표는 경고 생성 후 의사결정을 내리는 데 걸리는 시간을 측정합니다. '분석 마비'와 보안 운영의 불확실성으로 체류 시간이 늘어나고 공격 확산 위험이 커지는 것은 드문 일이 아닙니다. 동시에 발생할 수 있는 다른 공격을 조사하고 대응하는 시간도 뺏깁니다.
자동화 구현 전후로 의사결정 비율을 측정함으로써 보안 운영 팀은 희소한 인력 자원을 추가하지 않고도 민첩성을 입증하고 대응 역량을 높일 수 있습니다.
6. 복구 대응 대 재이미징
이 지표는 비즈니스 중단을 측정합니다. 자동화된 프로세스로 더 정교한 원격 대응이 가능해질수록, 엔드유저 엔드포인트를 재이미징하는 '큰 망치' 방식의 수정이 줄어들어 비즈니스 중단과 직원 불편이 감소합니다. 노트북을 하루 동안 압수하거나 결제 처리 서버를 다운시키는 것이 핫 백업과 클러스터 페일오버가 솔루션의 일부더라도 보안 운영을 심각하게 방해할 수 있음을 쉽게 알 수 있습니다.
인시던트 대응 프로세스 자동화는 실행 가능한 규칙을 생성해 수술적 복구와 심층 분석을 자동으로 시작함으로써 이러한 중단을 방지합니다.
지표로서의 이네이블러(Enablers)
인시던트 대응 프로세스가 자동화로 지속적으로 변화함에 따라, 이러한 새로운 지표의 지원 없이는 자동화가 인시던트 대응 성과를 어떻게 변화시키는지 입증하는 것은 불가능에 가깝습니다.
간단히 말해, 이러한 새로운 지표 각각은 인시던트 대응 프로세스 자동화가 보안 인프라를 강화할 뿐만 아니라 수익에도 영향을 미칠 수 있음을 보여줄 수 있습니다.
출처: 피델리스 사이버시큐리티(Fidelis Cybersecurity) 영국 디렉터 앤드류 부시비(Andrew Bushby)
