"최신 위협도 실시간 대응"··· '행위 분석' 보안 툴 뜬다

'행위 분석(behavior analytics)'은 최근 기업 보안 분야에서 가장 많이 회자되는 용어 중 하나이다. 보안 애널리스트에 따르면, 보안 업체 35개 이상이 이 용어를 사용하고 있다.


Image Credit: Getty Images Bank

보안 분야에서 행위 분석이란 소프트웨어 툴을 이용해 일정한 범주를 벗어나는 네트워크 속 데이터 흐름을 감지하는 것을 의미한다. 분석 툴은 예외적 상황을 감지, IT 관리자에게 통보해 예외적 행위나 사이버 공격을 막을 수 있도록 한다.

일반적으로 기업은 방화벽, 침입 방지 시스템, 안티 바이러스 소프트웨어 같은 방어 솔루션을 우회한 침입을 탐지하는 데 행위 분석을 사용한다. 기존의 방어 솔루션이 감지한 지문이나 시그니처를 이전 공격과 대조해 대응하는 정도라면, 행위 분석 툴은 정상적인 행위의 범주를 벗어나는 것으로 보이는 예외 상황을 학습해 관리자에게 알려준다.

이런 장점 때문에 여러 기관이 행위 분석 기술을 사용하고 있는데, 예를 들어 미국 국가안보국(NSA)은 자체 프라이빗 클라우드 시스템에 대한 위협을 탐지하는 데 이 기술을 사용한다.

행위 분석 툴 시장은 2015년부터 본격 성장하고 있다. 그러나 451 리서치의 애널리스트 에릭 오그렌은 여전히 성숙하지 않은 시장이라고 분석한다. 그는 "아직은 이 기술이 보안을 강화하는 데 얼마나 효과가 있는지 입증하기가 쉽지 않다. 이 툴의 가치를 확인하려면 관련 개념증명(PoC) 사례를 더 연구할 필요가 있다"라고 말했다.

일부 비관론에도 불구하고, 이 기술을 잘 활용하는 사례도 있다. 바로 수천개 학교와 대학, 기업을 고객으로 확보한 디지털 신용 관리 서비스 업체 '파치먼트(Parchment)'이다. 업체는 지난 8월 다크트레이스(Darktrace)의 행위 분석 툴 'EIS(Enterprise Immune System)'를 도입했다. 머신러닝을 이용해 네트워크에서 새로 출현하는 위협을 감지한다.

파치먼트의 엔지니어링 부사장 밥 랜건은 "시스템의 경계 보안을 강화하고 기존에 방화벽이 했던 역할을 보강하고자 했다. 다른 보안 솔루션은 최신 바이러스와 사이버 공격에 100% 대응하기 어렵다는 한계가 있었다. 반면 다크트레이스의 툴에는 네트워크 기술자가 직원 데스크톱이나 모바일 기기에서 오가는 데이터 패킷을 실시간으로 상세하게 볼 수 있는 시각화 툴이 포함돼 있다"라고 말했다.

이어 그는 "현재 이런 기능을 지원하는 툴은 행위 분석 밖에 없다. 새로운 위협을 감지할 수 있는 툴 역시 이 것뿐이다. 행위 분석 솔루션을 이용하면 보안 이벤트를 재연해 범위를 좁혀 문제가 무엇인지 확인할 수 있다. 근본 원인을 분석하고 이를 바로 잡는 작업을 바로 시작할 수 있다. 장점이 많은 툴이고 특히 작업 시간도 줄일 수 있다"라고 덧붙였다.

언뜻 보면 다크트레이스 툴을 도입하면 IT 직원의 업무가 늘어나는 것처럼 보인다. 그러나 실제로는 그렇지 않다. 들여다봐야 할 보안 로그의 수가 줄어들기 때문이다. 랜건은 "이제 IT 팀을 괴롭히는 이벤트 로그는 거의 없다. 수백만개 로그를 뒤지지 않고 클릭 몇번으로 무슨 일이 일어났는지 파악할 수 있다. 기존의 툴보다 훨씬 뛰어나다. 또한 행위 분석 툴은 시도 때도 없이 업데이트한다. 이제 IT 관리자는 집에 돌아가 쉴 때도 안심할 수 있고, 소스를 몰라도 걱정하지 않는다. 특히 이 툴은 단지 우리 회사의 위협만 학습하는 것이 아니다. 전 세계적인 위협을 학습해 대응한다"라고 말했다.

그렇다면 비용 측면은 어떨까? 랜건은 다크트레이스 하드웨어와 소프트웨어의 가격이 어느 정도인지 밝히지 않았다. 대신 다크트레이스는 고객 대부분이 월 구독료 방식으로 구매한다고 밝혔다. 여기에는 소프트웨어와 하드웨어는 물론 다크트레이스 위협 애널리스트가 작성한 위협 대응 보고서 비용도 포함돼 있다. 업체는 가격에 대한 자세한 내용은 공개하지 않고, 네트워크에 연결된 기기 수와 트래픽 양, 네트워크 설정 등에 따라 과금된다고 설명했다.

451 리서치의 애널리스트 오그렌에 따르면, 다크트레이스의 EIS는 네트워크 어플라이언스로 구성돼 있다. 이 장비는 공격을 감지하기 위해 사용자와 기기, 네트워크 활동 관련된 300개 지표를 사용한다. 다크트레이스는 수학적 모델을 이용해 네트워크를 분석하고 그 결과에 따라 수용할 수 있는 새로운 비즈니스 관행과 의심스러운 활동을 구별한다. 다크트레이스는 업종별 버전도 개발했다.

오그렌은 "현재 행위 분석 시장에 뛰어든 업체는 RSA, 로그리듬(LogRhythm), 레피드7(Rapid7), 스플렁크 등이 있다. 니아라(Niara), 벡트라 네트워크(Vectra Networks) 등은 네트워크 데이터에 집중해 행위 모델을 개발하는데 주력하고 있다"라고 말했다. 이와 별도로 가트너는 최근 보안 정보와 이벤트 관리 시장의 선도 업체로 스플렁크, 로그리듬과 함께 IBM, HPE, 인텔 시큐리티를 꼽았다. ciokr@idg.co.kr