보안 데이터 아키텍처 강연 정리: SIEM 비용 악순환과 AI가 실제로 도움이 되는 지점

핵심 메시지

• SIEM은 2000년대 중반 애플리케이션 로그 분석용으로 설계됐는데, 이후 등장한 엔드포인트·클라우드·신원·통신 데이터까지 모두 떠안으면서 구조적 불일치가 생겼다.
• 데이터 사각지대가 생기면 도구를 사고, 그 데이터를 다시 SIEM에 넣어 비용이 뛰고, 예산 압박에 데이터를 버려 다시 가시성을 잃는 악순환이 반복된다.
• 텔레메트리 양은 매년 20~30% 늘지만 보안 예산 증가율은 16% 안팎이라 격차가 구조적으로 벌어진다.
• 현대적 대안은 단일 저장소 대신 계층화된 데이터 웨어하우스와 원본을 그대로 두고 조회하는 페더레이션 검색, 그리고 그 위의 단일 분석 화면이다.
• AI가 실제로 기여하는 지점은 탐지 규칙 자동화보다 여러 질의 언어 다루기, 일관되지 않은 스키마 해석, 저장 방식 최적화 제안 쪽이다.

쉽게 이해하기

이 강연은 보안 운영 팀을 위한 제품을 만드는 회사의 기술 책임자가 데이터 콘퍼런스에서 한 발표로, 보안 데이터 아키텍처의 역사와 현재의 병목을 정리한다. 발표자는 강연의 3분의 2가 지나도록 AI라는 단어를 한 번도 쓰지 않았다고 스스로 밝히며, AI 이야기를 하기 전에 그 아래 데이터를 먼저 제대로 잡아야 한다고 강조한다.

출발점은 2000년대 초반이다. 당시에는 대량의 데이터를 관계형 데이터베이스에 넣고 DB 관리자가 다뤘는데, 보안 데이터는 SQL 형태로 표현하기에 적합하지 않았고 도메인 전문가인 보안 분석가들도 SQL을 꺼렸다. 그래서 2005년 전후로 SIEM이 등장해 데이터를 담을 곳과 분석가에게 맞는 인터페이스를 함께 제공했고, 변환·처리의 복잡성을 감춰준다는 점에서 큰 진전이었다.

문제는 그다음이다. 네트워크와 엔드포인트, 클라우드, 신원 관리, 이메일과 메신저까지 데이터 종류가 폭증했는데 조직들은 습관대로 전부 SIEM에 밀어 넣었다. 엔드포인트 텔레메트리는 장비 한 대에서 하루 기가바이트 단위로 쏟아지지만 대부분은 사고 조사 때나 필요하고, 네트워크 플로우 데이터는 개별 레코드 조회보다 집계 분석에 쓰이며, 이메일 텍스트는 자연어 처리나 그래프 구조가 더 적합하다. 하나의 저장소가 이 모두를 잘 다룰 수는 없다.

발표자는 스키마 변화도 현실적인 함정으로 짚는다. 클라우드 감사 로그의 스키마는 몇 해 사이에 바뀌는데, 데이터 엔지니어가 상주하지 않는 보안 운영 팀은 스키마 드리프트를 감지할 장치가 없다. 그래서 탐지 규칙이 조용히 어긋난 채 몇 달이 지나고, 정작 사고 대응 중에 특정 필드가 더는 들어오지 않는다는 사실을 발견하게 된다.

비용의 실제 규모도 언급된다. 발표자는 어떤 대형 기술 기업이 데이터를 보관하는 용도로만 연간 5천만~7천만 달러를 특정 SIEM 벤더에 지불하는 사례를 들며, 이는 전체 보안 예산도 아니라고 말한다. 반대편에서는 침입자가 최초 침투 후 횡적으로 이동하기까지 걸리는 평균 시간이 29분까지 줄었고, 대부분의 침입은 이제 악성코드가 아니라 계정 탈취를 통해 이뤄진다.

해법으로 제시된 그림은 계층이다. 아래에는 다양한 데이터 소스와, 뜨거운 데이터와 차가운 데이터를 구분해 담는 데이터 웨어하우스가 있고, 일부 데이터는 전처리해 그래프 데이터베이스에 넣는다. 옆에는 바이너리 해시처럼 조회 시점에만 참조하면 되는 페더레이션 소스를 둔다. 그 위에 사람의 분석과 머신러닝이 올라가고, 맨 위에는 여러 질의 언어와 API를 감춰주는 단일 화면이 놓인다.

마지막으로 AI의 자리다. 발표자는 보안 신호 대부분이 전체 데이터의 20%에 몰려 있는데 팀들이 무엇이 쓸모 있는지 구분할 방법이 없다는 점을 지적하며, 사용 이력을 근거로 어떤 데이터를 차가운 저장소로 내려도 되는지 판단하는 일을 AI의 역할로 본다. 여기에 제품마다 제각각인 질의 언어를 대신 다뤄주는 일, 서로 다르게 기록된 로그의 의미를 해석해 정규화 부담을 줄이는 일, 질의 패턴에 맞춰 저장 방식을 제안하는 일을 실질적인 기여로 꼽는다.

주요 인사이트

• 보안 데이터 문제는 도구 부족이 아니라 구조 불일치에서 온다. 성격이 전혀 다른 데이터를 한 저장소에 몰아넣는 습관이 비용과 사각지대를 동시에 키운다.
• 텔레메트리 증가율과 예산 증가율의 격차는 관리로 메울 수 있는 수준이 아니다. 데이터를 어디에 둘지 결정하는 계층화가 사실상 유일한 지렛대다.
• 스키마 드리프트는 조용히 실패한다. 탐지 규칙이 멈춘 사실을 사고 대응 중에 알게 되는 구조라면, 데이터 엔지니어링 관행을 보안 운영에 들여올 필요가 있다.
• 악성코드 중심 탐지의 시대는 지났다. 계정 탈취로 들어와 정상 트래픽에 섞이는 공격은 알려진 패턴 매칭으로 잡히지 않는다.
• 장기 위협 사냥은 저장 비용 문제와 직결된다. 공격자가 오래 머무르는 이유 중 하나는 조직이 오래된 데이터를 보관하기 어렵다는 사실을 알기 때문이다.
• AI를 탐지 엔진으로 먼저 떠올리기 쉽지만, 이 강연이 꼽는 실효는 분석가의 도구 전환 비용을 없애는 쪽이다. 질의 언어와 스키마 차이를 흡수해 하나의 화면에서 일하게 만드는 것이다.

자주 묻는 질문

관련 AI 소식