쿼드마이너 김용운 CTO가 데일리시큐 CISO 조찬세미나에서 강연을 진행하고 있다. (4월 9일. 콘래드호텔서울)
“보안운영은 더 많은 알림을 보는 일이 아니라, 공격의 맥락을 이해하고 즉시 대응할 수 있는 체계로 바뀌어야 한다.”
4월 9일 서울 여의도 콘래드서울호텔 6층 스튜디오4에서 열린 데일리시큐·쿼드마이너·AI스페라 공동 주최 CISO 조찬세미나에서 김용운 쿼드마이너 CTO는 금융권 보안운영의 변화 방향을 이렇게 짚었다. 이날 세미나는 ‘금융권 내·외부 보안 위협 가시화 및 대응 전략’을 주제로 진행됐으며, 금융사 CISO 40여 명이 참석했다.
김 CTO는 ‘보안위협 가시성을 넘어 실질적 대응 체계화 사례’를 주제로 강연하며, 단순한 가시성 확보와 이벤트 탐지 중심 보안운영만으로는 최근의 복합 공격에 대응하기 어렵다고 강조했다. 발표의 초점은 공격의 흐름과 의미를 함께 해석하는 ‘맥락 기반 보안운영’, 그리고 이를 실제 대응 체계로 연결하는 방법에 맞춰졌다.
그는 먼저 현재의 보안운영 환경이 가시성, 대응, 맥락이라는 세 축에서 동시에 한계를 드러내고 있다고 설명했다. 어떤 공격이 왜 일어나고 있는지, 누가 어떤 과정을 거쳐 내부로 들어왔는지, 그리고 다음 단계에서 무엇을 해야 하는지까지 연결해서 보여주는 체계가 부족하다는 것이다. 그는 올해를 이러한 문제를 해결하기 위한 기술 완성의 시점으로 보고 있으며, 맥락 데이터 기반 AI 탐지 기술과 통합 맥락 분석 기술을 통해 AI 기반 보안운영의 실질적 전환을 이루겠다는 방향도 함께 제시했다.
데일리시큐 CISO 조찬세미나
LoL 공격과 파편화된 보안 체계, 금융권이 마주한 현실
김 CTO는 최근 보안 현장에서 특히 주목해야 할 위협으로 로빙 오프 더 랜드(Living off the Land, LoL) 공격을 꼽았다. 이 공격은 VPN, RDP, PowerShell 같은 합법적 도구를 악용해 초기 침투 이후 권한 상승, 내부 이동, 지속성 확보, 데이터 유출까지 이어지는 방식으로 전개된다. 정상 도구를 활용하기 때문에 시그니처 기반 보안장비만으로는 식별이 쉽지 않고, 보안팀이 이벤트 하나하나를 따로 보게 되면 공격의 전체 흐름을 놓치기 쉽다는 점이 문제로 제시됐다.
그는 보안 솔루션이 많다고 해서 보안운영이 강해지는 것은 아니라고도 지적했다. 파편화된 보안 기술 도입으로 인해 데이터 공유와 통합 분석이 어렵고, 다량의 이벤트가 쏟아져도 우선순위 판단과 맥락 연결이 쉽지 않은 현실이다. 결국 개별 제품이 각자 경보를 내는 구조로는 실제 공격의 의미를 읽기 어렵고, 대응 또한 늦어질 수밖에 없다는 설명이다. 특히 금융권처럼 내부 시스템과 외부 서비스, 고객 데이터가 복잡하게 연결된 환경에서는 이 문제의 파급력이 더 클 수밖에 없다고 강조했다.
“보이는 것”을 넘어 “이해하는 것”…네트워크 블랙박스가 제시한 방향
김 CTO는 이러한 한계를 해결하기 위한 핵심으로 ‘맥락 데이터 기반 AI 탐지 기술’을 제시했다. 그는 기존의 탐지 방식이 '5-튜플' 정보, 즉 소스 IP와 포트, 목적지 IP와 포트, 프로토콜 같은 흐름 정보에 의존해 이상행위를 가려내는 수준이었다면, 앞으로는 실제 트랜잭션 안에서 오간 콘텐츠와 행위의 의미를 읽을 수 있어야 한다고 설명했다. 즉 “이상한 통신이 있었다”는 수준을 넘어, 그 통신이 어떤 행위와 연결됐고 왜 의심스러운지를 파악할 수 있어야 한다는 것이다. 이 기술은 카이스트, 한국과학기술정보연구원(KISTI), 가천대 등과의 연구를 바탕으로 개발되고 있으며, 향후 쿼드마이너의 상용 제품 기능으로 적용될 예정이라고 밝혔다.
한편 ‘네트워크 블랙박스(Network Blackbox) 5.0’에 대해 김 CTO는 네트워크 블랙박스가 단순히 네트워크 이상징후를 보여주는 도구가 아니라, 보안 운영자가 실제 의사결정을 내릴 수 있도록 사건을 재구성해 주는 플랫폼이라는 점을 강조했다. 이 제품은 풀패킷 수집을 기반으로 세션, 콘텐츠, 파일, 이메일, 웹 접속 흔적 등 실제 트랜잭션 단위의 정보를 복원하고, 이를 위협 행위와 연결해 보여주는 구조를 갖췄다. 즉 “이상한 통신이 있었다”는 경고에서 멈추는 것이 아니라, 해당 통신이 어떤 사용자 행위와 이어졌고 어떤 데이터가 오갔으며 이후 어떤 공격 단계로 전개될 수 있는지까지 파악하도록 돕는 방식이다. 이를 ‘맥락 데이터 기반으로 행위를 관측하고 이해하는 사이버보안 옵저버빌리티’로 설명했고, ‘풀패킷 캡처 기반, 가시성을 넘어 맥락을 이해하는 차세대 NDR’이라는 표현으로 정리했다.
그는 이 제품의 구조도 단계적으로 설명했다. 가장 하단에서는 풀패킷을 수집하고, 그 위에서 위협 징후를 식별하며, 다시 상위 계층에서 이들을 연결해 맥락 이해 기반 인텔리전스로 끌어올리는 3계층 구조라는 것이다. 이 과정을 통해 네트워크 블랙박스는 단순 탐지 장비를 넘어, 조직의 보안운영에 필요한 의미 있는 사건 정보를 축적하고 재구성하는 역할을 맡게 된다. 김 CTO는 제품 출시와 동시에 국가정보원 보안기능확인 인증도 획득했다고 설명하며, 자체 시스템 보호 관점에서도 완성도를 갖췄다고 덧붙였다.
그는 또 네트워크 블랙박스의 차별점이 탐지 정확도를 높이는 데서 끝나지 않는다고 했다. 이 제품은 분석, 헌팅, 포렌식, 대응까지 이어지는 운영 흐름 전체를 하나의 데이터 체계 안에서 연결한다는 점에서 기존 NDR과 결이 다르다고 설명했다. 실제로 발표자료 6쪽에는 풀패킷 캡처 및 수집, 탐지, 헌팅, 포렌식, 대응이라는 흐름이 하나의 과정으로 이어지는 구조가 제시돼 있다. 이벤트 하나를 따로 보는 것이 아니라, 관련 세션과 행위, 콘텐츠, 후속 징후를 함께 보면서 공격의 흐름을 시리즈로 읽어내는 방식이다.
김 CTO는 “탐지”에 대한 정의도 다시 설명했다. IDS나 다른 장비가 알림을 내보냈다고 해서 그것이 곧 완전한 탐지는 아니라는 것이다. 그는 이를 아직 식별 단계, 다시 말해 추정 단계로 봐야 한다고 설명했다. 여러 이벤트를 묶어 내부 침투, 수평 이동, 거점 확보, 확산이 어떤 순서로 진행되고 있는지를 읽어내야 비로소 헌팅이 가능하고, 실제 공격이 성공했는지와 어떤 피해가 발생했는지를 확인해야 포렌식과 대응으로 넘어갈 수 있다고 했다. 결국 중요한 것은 경보 수가 아니라 사건을 확정하고 바로 조치할 수 있는 구조라는 설명이다.
그는 이를 쉽게 설명하기 위해 “출입문 앞에 누군가 서성거린다”는 수준의 정보와 “도둑이 출입문 개방을 시도하고 있다”는 수준의 정보는 전혀 다르다고 비유했다. 전자는 추가 확인을 요청하는 수준에 머물지만, 후자는 즉시 경찰을 보내 체포하라는 행동으로 이어질 수 있다는 것이다. 김 CTO는 네트워크 블랙박스가 바로 이런 차이를 만들어내는 장비라고 설명했다. 누가, 언제, 무엇을, 어떻게 했는지까지 이해할 수 있어야 비로소 실질적 대응이 가능하다는 것이다.
제로트러스트와 위협 인텔리전스 결합…“팩트와 맥락이 만나야 현실이 보인다”
김 CTO는 이날 내용을 한국인터넷진흥원(KISA)의 제로트러스트 가이드라인 2.0과도 연결했다. 그는 국내 가이드라인이 식별자·신원부터 데이터까지 6대 핵심 요소를 제시하면서, 이를 가로지르는 기능으로 ‘가시성 및 분석’과 ‘자동화 및 통합’을 분리해 강조한 점을 높게 평가했다. 이 두 요소가 빠지면 각 핵심 요소가 제대로 작동하는지 확인할 수 없고, 통제 또한 성립하기 어렵기 때문이다. 네트워크 블랙박스가 바로 이 교차 영역에서 역할을 할 수 있으며, 특히 가시성 및 분석 측면에서는 핵심적인 기능을 제공하고 일부 환경에서는 자동화 및 통합 역할까지 맡을 수 있다고 설명했다.
그는 이어 네트워크 블랙박스가 제로트러스트 논리 구조에서 정책정보지점(PIP) 역할을 수행할 수 있다는 점도 소개했다. 정책결정지점(PDP)과 정책시행지점(PEP)이 실제 통제를 담당한다면, 그 판단에 필요한 신뢰도 데이터와 행동 데이터, 위협 관련 정보를 제공하는 영역에서 네트워크 블랙박스가 의미 있는 위치를 차지할 수 있다는 것이다. 또한 대형 금융기관처럼 이미 다수의 연동 시스템이 존재하는 환경에서는 기존 시스템과 연결해 활용할 수 있고, 그렇지 않은 조직에서는 탐지와 확정된 사건 정보를 바탕으로 직접적인 통제까지 지원할 수 있다고 설명했다.
한편 AI스페라의 ‘Criminal IP’와 네트워크 블랙박스 연동 사례도 소개됐다. 김 CTO는 크리미널 IP가 단순히 악성 여부를 알려주는 수준의 위협 인텔리전스가 아니라, 매우 세분화된 카테고리와 다수의 세부 파라미터를 통해 더 정교한 스코어링과 판단을 가능하게 하는 데이터라고 평가했다. 그는 “Criminal IP가 팩트라면, 네트워크 블랙박스는 맥락이고, 두 가지를 더하면 리얼리티가 된다”고 설명했다. 즉 보안운영 조직이 마주한 위협이 실제로 어떤 문제인지, 어느 정도의 위험인지, 다음 단계가 무엇일지를 더 현실적으로 이해하게 해준다는 의미다.
실제 연동 방식도 구체적으로 설명됐다. 네트워크 블랙박스에서 탐지된 이벤트를 클릭하면 해당 통신 대상 IP에 대해 Criminal IP가 제공하는 위험 점수와 요약 정보를 바로 확인할 수 있고, 상세 보기로 들어가면 200개가 넘는 파라미터 수준의 데이터도 한 화면에서 볼 수 있도록 구성돼 있다는 것이다. 이를 통해 보안 담당자는 여러 시스템을 따로 열어보며 교차 확인할 필요 없이, 단일 화면 안에서 해당 이벤트가 진짜 위험한지 아닌지를 빠르게 판단할 수 있다. 김 CTO는 실제 현장 피드백으로도 오탐이 줄고 대응 시간이 더 분명해졌다는 반응을 받았다고 소개했다.
그는 네트워크 블랙박스만으로는 “도둑이 출입문 개방을 시도하고 있다”는 사실까지 볼 수 있다면, 위협 인텔리전스가 결합될 경우 그 도둑이 누구이며 무엇을 노리는지까지 구체화할 수 있게 된다는 것이다. 그렇게 팩트가 분명해지면 실제 대응도 더 빨라진다. 중요한 자산을 이동시키거나 접근을 차단하고, 다음 공격 단계를 예측해 선제 조치에 나설 수 있기 때문이다. 그는 이런 결합이 금융권 보안운영에 필요한 ‘실질적 대응 체계화’의 한 방향이라고 강조했다.
금융권 보안이 더 이상 개별 장비의 경보를 많이 보는 것만으로는 충분하지 않다. 정상 도구 악용, 내부 이동, 복합 공격이 일상화된 환경에서는 경보의 양보다 경보의 의미를 얼마나 빨리 해석하고 행동으로 연결하느냐가 더 중요해지고 있다.
댓글
0