AI 보안이란 무엇인가요?

현대 사이버 보안에서 AI의 역할을 이해하다

기존의 사이버 보안 시스템은 네트워크 또는 디바이스의 작동 상태를 유지하는 데 집중했습니다.

현대의 위협은 그러나 거의 중단을 일으키려 하지 않지만, 대신 다음을 목표로 합니다:

• 귀중한 기업 데이터를 탈취합니다
• 경계 방어망 뒤에 복잡한 멀웨어 변종을 배포합니다.

이러한 목표에 맞춰 방어를 강화하기 위해 보안 직원은 더 많은 데이터를 모니터링해야 합니다.

보안 정보 및 이벤트 관리(SIEM) 및 EDR의 부상

이러한 목표 변화는 시간이 지남에 따라 인기를 얻게 된 보안 도구에서 확인할 수 있습니다. 2010년대 초반 보안 정보 및 이벤트 관리(SIEM) 도구의 등장으로 대량의 로그 파일을 수집하고 분석하는 방향으로 나아갔습니다.

그 이후로 수집되는 데이터 양이 증가했습니다.

예를 들어, 엔드포인트 탐지 및 대응 (EDR)은 회사 내 모든 노트북, 휴대폰, PC의 내부 활동을 지속적으로 모니터링하며, 방화벽은 네트워크 수준의 활동을 모니터링합니다. 이러한 개별 데이터는 수동으로 조사할 수 있는 속도보다 더 빠르게 생성됩니다.

(하지만 여전히 실행 가능한 인텔리전스로 전환되어야 합니다.)

바로 이 부분에서 AI, 머신 러닝과 같은 기술이 상당한 발전을 이루었습니다.

AI 도입

이 기술은 대규모 데이터 세트를 기반으로 알고리즘을 학습시켜 네트워크 또는 멀웨어 데이터를 식별 가능한 패턴으로 정리하는 방식으로 작동합니다. 이러한 패턴을 새로운 데이터 세트에 적용할 수 있으므로, 이상 징후를 자동으로 인식할 수 있습니다. 예를 들면 다음과 같습니다:

• 비정상적인 로그인 시도
• 데이터 액세스 패턴

시간이 지나면서 ML 모델은 새로운 데이터에서 지속적으로 학습하여 적응하고 정확도를 향상시킵니다.

이는 AI가 인간 사이버보안 팀이 인간의 눈으로는 불가능한 것보다 더 빠르고 효율적으로 일하며, 더 넓은 위협 인텔리전스를 평가할 수 있게 하는 한 가지 방법입니다.

AI 보안 위험

AI는 다양한 산업 분야에서 상당한 잠재력과 잠재적 이점을 가지고 있지만, 다음과 같은 보안 위험을 초래할 수도 있습니다:

• 데이터 유출: AI 모델에는 학습을 위해 대량의 데이터가 필요합니다. 이러한 대규모 데이터 세트를 수집하고 사용하면 공격자에 의해 침해될 수 있는 잠재적 위험이 있습니다.
• 적대적 공격: 다양한 프로세스에 AI가 통합되면서 사이버 공격자가 AI를 표적으로 삼을 위험이 커졌습니다. 예를 들어, 공격자는 학습 데이터를 손상시키거나 적대적인 AI 시스템을 학습시켜 AI 모델의 오류를 식별하여 이를 우회하거나 악용할 수 있도록 할 수 있습니다.
• 편견과 차별: AI 모델은 레이블이 지정된 학습 데이터를 기반으로 구축됩니다. 해당 데이터에 특정 인구 통계 그룹의 이미지가 주로 포함되어 있는 등 편향성이 있는 경우 AI 모델도 동일한 편향성을 학습하게 됩니다.
• 투명성 부족: AI는 추세를 파악하고 복잡한 관계를 감지할 수 있습니다. 그러나 이 모델은 투명하거나 해석이 불가능하여 최종 모델에서 오류나 편향을 식별하는 것이 불가능합니다.

AI는 사이버 공격 방지에 어떻게 도움을 줄 수 있을까요?

고성능 AI의 확산은 더욱 엄격하고 정확한 보안 제어 및 워크플로우를 이끄는 원동력입니다. AI는 훈련 데이터에 따라 크게 다른 형식으로 구현될 수 있기 때문에, 다음 사용 사례는 AI를 구현하는 보안 도구에 따라 그룹화됩니다.

네트워크 보안에서의 AI

네트워크 보안 에 있어 AI의 활용 범위는 의심스러운 외부 연결 식별부터 더욱 엄격한 네트워크 분할 구현에 이르기까지 매우 다양합니다.

자동화된 ID 검색

역할 기반 접근 제어(RBAC)는 최소 권한 원칙에 따라 네트워크 보안을 구현하는 방법입니다.

대규모 그룹에 일반적인 권한을 할당하는 대신 – 이는 시간과 자원을 많이 소모합니다 – RBAC는 구체적인 역할을 해당 직무 책임을 반영하는 권한에 연결합니다. 사용자는 이러한 역할에 자동으로 할당되어 관련 권한을 상속받습니다.

예를 들어, 신입 사원은 '데이터베이스 관리자' 역할에 연결될 수 있습니다. 관련된 권한은 다음과 같습니다:

• 데이터베이스 생성 및 삭제
• 데이터 백업 및 복원

이러한 명시적 권한은 '회계사' 역할의 권한과 완전히 다르게 보일 것입니다.

AI는 자동으로 신원을 파악하는 능력 덕분에 RBAC(역할 기반 접근 제어) 도입을 가속화하고 있습니다. 새로운 네트워크 보안 도구는 부서 간 로그인, 파일 접근, 애플리케이션 사용을 스캔하여 실제 직원들이 일상적으로 어떤 내용을 접속하는지 프로필을 구축할 수 있습니다.

특정 그룹이 정기적으로 회계 소프트웨어에 접근하고, 급여 데이터를 처리하며, 월간 보고서를 작성한다는 것을 감지하면, "재무 분석가" 역할을 자동으로 제안할 수 있습니다. 그 후 비슷한 직무를 가진 신입 사원들에게 이 역할을 자동으로 할당하여 RBAC 온보딩을 간소화합니다.

실시간 위협 분류

네트워크 보안은 상태 기반 방화벽이 주도합니다. 기업 디바이스와 공용 인터넷 간의 들어오고 나가는 연결을 모니터링하는 검증된 접근 방식입니다. 1993년 체크 포인트가 개발한 이래로 보안의 보루로 남아 있습니다.

그러나 AI를 통해 방화벽은 위협 탐지 워크플로의 훨씬 더 많은 부분을 자동화할 수 있습니다: 이는 수신 트래픽과 외부 사이트의 적법성을 평가할 때 모두 적용될 수 있습니다.

예를 들어, AI 기반 방화벽은 레이블이 지정된 트래픽 네트워크 데이터를 사용하여 사전 학습됩니다.

AI 모델이 악성 네트워크 활동을 인식하고 라벨링하는 데 능숙해짐에 따라, 방화벽은 분리된 정책 위반을 실제 공격의 더 넓은 그림으로 연결할 수 있습니다.

차세대 방화벽

차세대 방화벽은 이 기능을 경고 라벨을 넘어 의심되는 공격 유형에 따라 자동 대응 기능을 제공합니다. 여기에는 다음이 포함될 수 있습니다:

• 내부 트래픽 정책 자동 업데이트
• 감염된 서브넷과의 통신을 격리하기

최후의 수단 대응 역량, 예를 들어 전용 페일오버 서버로 트래픽을 이동하는 것과 같은 기능은, 비즈니스 연속성을 보장하기 위해 플레이북을 통해 수동으로 방화벽에 추가되어야 합니다.

방화벽 AI가 평가할 수 있는 것은 내부 트래픽뿐만이 아닙니다. 방화벽 제공업체에 따라 URL 분류 기능도 제공하는 경우가 있습니다. 이 도구는 자연어 처리(NLP) AI를 사용하여 URL을 안전도에 따라 분류합니다.

위험하거나 부적절한 사이트는 방화벽 수준에서 차단할 수 있어 보안을 극대화할 수 있습니다.

제로 데이 공격 방지

대부분의 공격은 기존에 알려진 공격 방식을 이용하지만, 제로데이 취약성을 이용한 공격은 매우 수익성이 높은 암시장에서 이루어지고 있습니다. 이러한 취약성들이 매우 귀중한 이유는 바로 아직 패치가 나오지 않았기 때문입니다.

(그리고 방화벽에 적용될 경우, 심각한 보안 문제를 야기할 수 있습니다.)

AI 방화벽은 정상적인 네트워크 활동의 기준선을 설정함으로써 제로데이 공격을 방어할 수 있습니다. 예를 들어, 각 사용자 역할에 대한 일반적인 데이터 전송량을 그래프로 표시할 수 있습니다. 방화벽이 비정상적인 시간에 외부 서버로의 데이터 전송량이 급증하는 것을 감지하면, 해당 활동을 잠재적으로 악의적인 것으로 판단하여 플래그를 지정하거나 차단합니다.

이 동일한 기술은 패치되지 않은 애플리케이션도 보호할 수 있습니다.

엔드포인트 보안에서의 AI

보안 엔드포인트는 이제 기업 보안의 필수 구성 요소입니다. EDR(Endpoint Detection and Response)은 본질적으로 다음과 같은 엔드포인트로부터 상세한 원격 측정 데이터를 수집합니다.

• 프로세스 실행
• 부모-자식 프로세스 관계
• 파일 생성, 수정, 삭제와 같은 파일 상호 작용

이 데이터는 풍부하면서도 복잡하여 AI 분석에 이상적입니다.

엔드포인트 기반 행동 분석

AI는 정상적인 행동 패턴을 학습하고 악의적인 활동을 나타낼 수 있는 미묘한 이상 징후를 식별함으로써 예측적 위협 탐지를 가능하게 합니다.

이로 인해 특히 프로세스 할로잉과 같은 난독화 기술을 사용하는 복잡하거나 잘 설계된 멀웨어를 탐지하는 데 능숙하며, 악성 프로세스가 합법적으로 보이는 이름을 가질 때도 마찬가지입니다. EDR이 어떤 프로세스가 어떤 파일과 상호 작용하는지 모니터링하기 때문에, 그 AI는 백그라운드 프로세스가 일반적으로 접근하지 않는 민감한 파일에 접근할 때를 감지할 수 있습니다.

이러한 편차로 인해 공격이 성공적으로 실행되기 훨씬 전에 경보를 울릴 수 있습니다.

예측 분석

멀웨어의 다른 변종이 다른 방식으로 작동하기 때문에, EDR AI는 진행 중인 공격 내에서 추세 패턴을 식별하고 다음에 어떤 시스템이나 사용자가 표적이 될 가능성이 높은지 예측할 수 있습니다. 예를 들어, 계정 탈취가 공격의 의심되는 근본 원인인 경우, 해당 계정이 액세스할 수 있는 데이터베이스를 조사할 수 있습니다.

EDR이 방화벽과 통합된 경우, 이는 해당 방화벽 정책 변경으로 자동 이어질 수 있습니다.

보안에 AI 기술 활용의 이점

AI는 기업 사이버 보안에 다음과 같은 상당한 잠재적 이점을 제공합니다:

• 향상된 위협 탐지: AI는 대량의 보안 경고를 분석하여 실제 위협을 정확하게 식별할 수 있습니다. 이를 통해 보안팀은 잠재적인 침입을 더욱 신속하게 탐지하고 대응할 수 있습니다.
• 신속한 인시던트 수정: 보안 인시던트가 식별된 후 AI는 플레이북을 기반으로 자동화된 문제 해결을 수행할 수 있습니다. 이를 통해 사고 대응 프로세스를 신속하고 간소화하여 공격자가 조직에 피해를 입힐 수 있는 가능성을 줄일 수 있습니다.
• 보안 가시성 향상: AI는 대량의 데이터를 분석하여 유용한 인사이트와 위협 인텔리전스를 추출할 수 있습니다. 이를 통해 조직은 IT 및 보안 인프라의 현재 상태에 대한 가시성을 높일 수 있습니다.
• 효율성 향상: AI는 많은 반복적이고 낮은 수준의 IT 작업을 자동화할 수 있습니다. 이렇게 하면 IT 담당자의 업무 부담이 줄어들어 효율성이 향상될 뿐만 아니라 이러한 작업이 정기적으로 올바르게 수행될 수 있습니다.
• 지속적인 학습: AI는 작동 중에도 지속적으로 모델을 학습하고 업데이트할 수 있습니다. 이를 통해 최신 사이버 위협 캠페인을 탐지하고 대응하는 방법을 학습할 수 있습니다.

AI 보안 권장 사항 및 모범 사례

AI 구현을 위한 몇 가지 보안 모범 사례는 다음과 같습니다:

• 학습 데이터 품질 보장: AI는 학습 데이터만큼 정확하고 효과적입니다. AI 시스템과 모델을 구축할 때는 레이블이 지정된 학습 데이터의 정확성을 보장하는 것이 중요합니다.
• 윤리적 영향에 대처하세요: AI 사용은 학습을 위한 개인 데이터의 편향 또는 오용 가능성으로 인해 윤리적 영향을 미칠 수 있습니다. 교육 데이터가 완전하고 필요한 동의를 받았는지 확인하기 위한 안전장치가 마련되어 있는지 확인합니다.
• 정기적인 테스트 및 업데이트를 수행합니다: AI 모델은 시간이 지남에 따라 오류가 발생하거나 구식이 될 수 있습니다. AI 모델의 정확성과 유용성을 보장하기 위해서는 정기적인 테스트와 업데이트가 필수적입니다.
• AI 보안 정책을 구현하세요: 사이버 위협 행위자는 공격에서 AI 시스템을 표적으로 삼을 수 있습니다. 보안 정책과 제어 기능을 구현하여 잠재적인 악용으로부터 AI 학습 데이터와 모델을 보호하세요.