우수한 보안 분석이 중요한 이유
존재하지 않는 위협은 방어할 수 없습니다. SOC는 잠재적인 위협을 식별하고 대응하기 위해 조직 에코시스템의 모든 구성 요소에 대한 가시성이 필요합니다.
그러나 원시 데이터는 SOC 분석가에게 거의 가치가 없습니다. 대부분의 공격 지표는 노이즈나 정상적인 작동으로 쉽게 무시할 수 있습니다. 보안 분석가는 여러 가지 다양한 정보 소스를 수집하고 집계해야만 오탐에서 실제 공격을 가려내는 데 필요한 컨텍스트를 확보할 수 있습니다.
이것이 바로 보안 분석의 역할입니다. 보안 도구, 컴퓨터 및 기타 시스템에서 생성된 원시 데이터를 수집하고 이를 분석하여 잠재적인 사고를 나타낼 수 있는 패턴과 추세를 찾아냅니다. 이러한 알림은 알림을 생성하는 데 사용된 데이터와 함께 분석가에게 제공되어 분석가가 상황을 보다 신속하고 정확하게 평가하고 잠재적 위협에 대응할 수 있도록 합니다.
보안 분석은 어떻게 작동하나요?
보안 분석은 데이터 조각을 서로 연결하여 조직 네트워크 내에서 잠재적인 위협의 활동을 설명하는 스토리를 만드는 것입니다. 이러한 스토리를 구축하려면 보안 분석 도구를 사용하여 이벤트 간의 연관성을 찾고 잠재적 위협을 나타내는 이벤트를 골라내야 합니다.
이를 위해 다음과 같은 다양한 기술을 사용할 수 있습니다:
- 시그니처 탐지: 알려진 위협의 경우, 손상된 환경(예: 랜섬웨어의 파일 암호화)에서 위협이 어떻게 생겼는지 또는 어떤 작업을 수행하는지 정확히 설명할 수 있습니다. 이러한 시그니처를 사용하면 보안 분석 도구에서 위협의 존재 여부를 빠르고 쉽게 확인할 수 있습니다. 이를 통해 전체 공격 체인에 대해 역방향 및 전방향으로 학습할 수 있습니다.
- 이상 징후 탐지: 정의에 따르면 공격자는 손상된 시스템 내에서 데이터를 훔치거나 파일을 암호화하는 등 비정상적인 작업을 수행합니다. 이상 징후 탐지는 침입을 나타낼 수 있는 정상에서 벗어난 활동을 찾습니다.
- 패턴 탐지: 일부 이벤트는 그 자체로는 무해하지만 다른 이벤트와 결합하면 의심스럽거나 악성일 수 있습니다. 예를 들어, 한 번의 로그온 실패는 비밀번호를 잘못 입력한 것일 수도 있고, 여러 번의 실패는 자격 증명 스터핑 공격을 의미할 수도 있습니다. 보안 분석의 대부분은 시그니처 기반 또는 이상 징후 기반 탐지 또는 두 가지 모두를 사용하여 패턴을 찾습니다.
- 머신 러닝: 시그니처 및 이상 징후 탐지는 '악성' 또는 '정상'을 정의할 수 있는 경우 유용하지만, 이것이 항상 간단한 작업은 아닙니다. 보안 분석에 적용되는 머신 러닝 알고리즘은 잠재적 위협을 인식하고 오탐과 구별하는 방법을 스스로 학습할 수 있습니다.
결국 보안 분석은 패턴 탐지와 통계로 귀결됩니다. 하지만 패턴이나 이상한 점을 발견하면 보안 분석가에게 어디에 주의를 집중해야 하는지 알려주므로 실제 위협을 보다 효과적으로 식별하고 신속하게 대응할 수 있습니다.
보안 분석의 진화
보안 분석은 로그 수집 솔루션으로 시작한 보안 정보 및 이벤트 관리(SIEM) 시스템에서 시작되어 보안 분석도 제공하도록 발전했습니다. 이를 통해 사용 가능한 방대한 양의 정보를 SOC 팀에 유용하고 가치 있는 위협 인텔리전스로 전환할 수 있었습니다.
보안 오케스트레이션, 자동화 및 대응(SOAR) 도구는 탐지된 위협에 대한 대응을 자동화하여 보안 분석을 활용하고 있습니다. 이를 통해 공격이 점점 더 광범위해지고 자동화됨에 따라 필수적인 머신 속도로 인시던트 대응을 수행할 수 있습니다.
오늘날 솔루션은 보안 분석의 사용 대상을 더욱 세분화하고 있습니다. 확장 탐지 및 대응 (XDR) 솔루션은 보안 분석 기능을 전체 제품의 일부로 내장하여 보안 정보 및 이벤트 관리(SIEM), SOAR, 보안 분석 및 보안 솔루션을 보안 분석가를 위한 전체적인 단일 창으로 통합하고 있습니다. XDR은 단일 보안 이벤트뿐만 아니라 원시 원격 분석 및 위협 인텔리전스의 보강된 정보를 알고리즘에 제공함으로써 보안 분석을 한 단계 더 발전시켜 분석 기반 탐지에 대한 정확도를 높입니다.
체크 포인트가 포함된 보안 분석
효과적인 위협 인텔리전스를 생성하려면 강력한 보안 분석 기능을 갖춘 솔루션이 필요합니다. 체크포인트 솔루션은 다양한 소스에서 위협 정보를 수집하고 분석하여 높은 가치의 위협 인텔리전스를 제공하도록 설계되었습니다.
거시적 규모에서 체크포인트 위협 클라우드 AI는 매일 860억 개의 보안 이벤트를 분석하여 새로운 위협, 멀웨어 변종 및 공격 캠페인을 탐지합니다. 위협 클라우드 AI가 생성한 위협 인텔리전스는 체크포인트 인피니티 제품의 조직별 데이터와 결합되어 보다 타겟화된 보안 인사이트와 위협 탐지를 제공합니다.
효과적인 보안 분석은 조직의 위협 탐지 및 대응 전략에 매우 중요합니다. 체크포인트 인피니티 SOC의 분석 기능과 오탐을 제거하면서 위협 탐지를 개선하는 데 도움이 되는 방법에 대해 자세히 알아보려면 이 데모 동영상을 확인하세요.
피드백