새로운 기술과 디지털화에 대해 이야기할 때, 혁신가들이 최고의 보안 도구를 시장에 출시하기 위해 노력하는 동안 악의적인 공격자들도 새로운 시스템의 허점과 취약점을 파악하기 위해 노력하고 있다는 사실을 잊는 경우가 많습니다. 사이버 공격이 드물게 발생하던 시대는 지났으며 이제는 거의 매일 발생합니다.
공격이 더욱 정교해지고 사실상 불가피해짐에 따라 최고 정보 보호 책임자(CISO)는 이제 ‘공격을 가정하는‘ 시나리오가 아닌 ‘공격 시점‘에 대비하고 있습니다. 대부분의 조직은 보안 인시던트를 식별, 관리 및 억제하여 공격이 발생했을 때 조직에 미치는 영향을 줄이기 위해 보안 운영 센터(SOC)에 투자하고 있습니다.
스탠드업이 개발자만의 의식에서 더 나은 조율을 위해 팀 전체가 수용하는 관행으로 발전한 것처럼, SOC는 공격 발생 시 피해를 줄이기 위해 인력과 프로세스를 하나로 모으는 중심 허브가 되고 있습니다.
엔터프라이즈 SOC 및 SIEM 기술의 진화
엔터프라이즈 SOC는 디지털화와 상호 연결성의 증가로 인해 대부분의 조직 관리 부서에서 중요한 역할을 하고 있습니다. SOC는 기업의 일상 업무 중에 보안 경고 알림을 모니터링 및 관리하고 그에 대응하는 데 중요한 역할을 합니다.
사이버 공격이 더욱 정교해지면서 데이터 양이 증가하고 보안 도구 생태계가 복잡해지며 데이터 소스 및 공격 벡터가 증가함에 따라 SOC에 대한 요구 사항도 바뀌었습니다. SOC는 효율성을 유지하기 위해 로그 관리 및 데이터 분석을 넘어 자동화를 수용하고, 지능형 의사 결정을 지원하는 AI와 빅 데이터를 활용하고, 옵저버빌리티로 제품에 대한 가시성을 높여야 합니다.
SOC에 대한 실시간 보안 수요가 증가하고 있지만, 대부분의 기업은 여전히 비효율성 문제로 고심하고 있습니다. 일부는 의미 있는 인사이트를 제공하거나 클라우드 서비스를 처리할 수 없는 레거시 보안 정보 및 이벤트 관리(SIEM) 도구의 제약을 받습니다. 그 결과, 많은 기업이 클라우드 환경 모니터링만을 위해 SIEM을 도입하고 다른 서비스로 그 외의 것을 모니터링하고 있어서 큰 사각지대를 발생시킵니다. 대부분의 SOC는 데일리 보안 운영의 가시성을 높일 수 있는 포괄적인 최신 SIEM 도구로 해결해야 할 여러 운영 문제와 기술적 문제에 직면해 있습니다.
Sumo Logic 클라우드 SIEM은 보안 분석가에게 기업 전체에 향상된 가시성을 제공하여 공격의 범위와 맥락을 이해할 수 있도록 지원합니다. 간소화된 워크플로와 자동 분류한 경고 알림을 사용하면 보안 분석가의 효율성과 집중력은 극대화됩니다.
기본 SOC 운영 과제
클라우드 마이그레이션, 디지털 혁신, IoT, 사이버 보안 분야에 대한 기술이 발전함에 따라 대부분의 SOC는 새로운 기술을 따라잡기 위해 노력하고 있습니다. 이로 인해 SOC는 인력이 부족해 조직 운영 기관의 전체 보안 태세를 파악할 수 없게 됩니다. SOC가 매일 직면하는 네 가지 과제는 다음과 같습니다.
1. 경고 알림 피로
2025 Sumo Logic 보안 운영 인사이트 보고서에 따르면 보안 리더의 70% 이상이 경고 알림 피로와 오탐 문제를 겪고 있으며, 그중 상당수는 매일 10,000건 이상의 경고 알림을 받는다고 합니다.
많은 SOC 분석가에게 이는 로그를 샅샅이 뒤지고 보안 이벤트 알림을 확인하는 데 여러 시간이 걸리며, 그중 상당수는 별 소득이 없다는 것을 의미합니다. 문제는 예방을 약속하지만 일상적인 효율성 개선에는 거의 도움이 되지 않는 포인트 솔루션이 너무 많이 개발되고 있다는 점입니다. 대부분 반복적이고 중요도가 낮은 수백 건의 보안 인시던트를 해결하는 것은 번거롭고 의욕을 떨어뜨리며 스트레스를 유발합니다.
보고서에 따르면, 경고 알림 피로로 인해 구매자들은 단순한 로그 수집기가 아닌 AI 공동 분석가처럼 행동하는 플랫폼으로 이동하고 있습니다. 보안팀은 팀에 부담이 되지 않으면서도 위협 탐지, 패턴 인식, 이상 징후 탐지 기능이 강화된 보안 솔루션을 원합니다.
2. “양치기 소년” 효과
SOC를 힘들게 하는 것은 수많은 경고 알림뿐만 아니라 그중 대부분이 오탐이라는 사실로 인해 SOC 분석가들이 경각심에 둔감해지고 스트레스를 받는다는 점입니다.
많은 기업이 경고 알림 문제를 해결하기보다는 오탐을 처리하는 데 대부분의 시간을 소비합니다. 보안 분석가는 이러한 경향을 인식하고 경보가 사실인지 거짓인지 신속하게 판단해야 합니다. 그런 다음 경고 알림을 분류하여 적절한 이해관계자에게 보고해야 합니다. 오늘날 대부분의 조직이 겪고 있는 문제는 실제 경고 알림과 허위 알림을 구분하고 진짜 알림에 대응하는 것입니다.
3. 인력 부족
현재 직원, 기술 및 지식이 부족한 상황입니다. 사이버 보안 업계의 가장 큰 문제는 인력 부족입니다. 왜냐하면 숙련된 인재가 충분하지 않기 때문입니다. 그리고 클라우드 마이그레이션의 경우, 이러한 특정 기술을 갖춘 지원자 찾기가 훨씬 더 어렵습니다.
조직에서 보안 기술 공백을 메우기 위해 빠르게 채용할 수 없는 경우, 그 부담은 기존 SOC 직원에게 돌아갑니다. 모니터링 및 관리 도구를 충분히 활용할 수 있는 전문 지식이 없으면 보안팀의 대응 속도는 느려지고 효과도 떨어집니다. 보안 솔루션이 직관적이지 않거나 적응력이 떨어지면 숙련된 분석가도 제약을 받습니다.
지식 부족은 기술 부족과 함께 발생합니다. 직원들의 지식이 너무 부족하면 문제를 인식하지 못해 실제 사이버 공격에 대응하지 못할 가능성이 높아집니다.
4. SOC KPI 설정 벤치마크 부재
위협 환경은 끊임없이 진화하고 있으므로 보안팀은 SOC KPI를 구현하여 지속적으로 운영을 개선하는 것이 중요합니다. 여기서 문제는 이러한 지표가 매우 주관적이며 SOC KPI에 대한 정해진 기준이 없다는 것입니다.
조직마다 우선순위는 다르지만, SOC 성숙도와 비즈니스 연계성을 가장 명확하게 파악하기 위해 시작할 수 있는 몇 가지 핵심 KPI는 다음과 같습니다.
- 탐지 및 대응: MTTD, MTTR, 침입 지속 시간 및 탐지 범위.
- 경고 알림 품질: 진위/오탐 비율, 신호 대 잡음비, 분석가 활용률.
- 워크플로 및 자동화: 자동화 비율 및 사례 종결률.
- 비즈니스 연계: 인시던트당 비용으로 SOC 효율성과 ROI 연계.
데일리 스탠드업에 Sumo Logic 클라우드 SIEM 사용하기
Sumo Logic 클라우드 SIEM은 고객사 전체에서 매일 기업 운영 시 생성되는 11억 개 이상의 이벤트를 처리하고, 컨텍스트 유효성 검사, 오탐 조정, 에스컬레이션 발생 등을 수행하는 처리 단계에서 약 10,000개의 경고 알림으로 필터링합니다.
그런 다음 기본 규칙과 고급 상관관계 기법을 적용하여 실행 가능한 경고 알림 10개 내외로 줄입니다. 이렇게 하면 경고 알림의 양은 줄지만, 보안팀은 여전히 효율성을 측정하고 KPI를 추적하기 위해 상세한 인시던트 보고서가 필요합니다. 클라우드 SIEM은 보고 및 가시성을 간소화하는 SOC 대시보드를 통해 이 문제를 해결합니다.
SOC 스탠드업 개요
Sumo Logic은 모든 중요한 위협 상관관계, 추세 및 경고 알림 분석을 한 화면으로 보여주는 단일 창을 제공합니다. 모든 항목은 기업 차원의 위협 탐지 사용 사례 및 제공 사항에 대한 가시성을 제공합니다.
- 허니콤 보기: 상관관계, 경고 알림 보기 및 해당 경고 알림 분석을 일별로 통합합니다.
- 추세 분석: 매시간 창에서 모든 경고 알림을 추적하고 색상 기준선으로 표시합니다.
이러한 SOC 대시보드를 구축하기로 결정하기 전에 보안 인프라, 로직의 소스 및 특성, 조직의 특정 보안 목표를 달성하는 데 도움이 되는 기능을 평가해야 합니다.
Sumo Logic 대시보드 분석
Sumo Logic은 모든 상관관계에 대한 40,000피트 뷰를 제공할 뿐만 아니라 경고 알림 요약, 인시던트 요약 및 SOC KPI별로도 분석을 제공합니다.
읽기 쉽고 이해하기 편하도록 별도의 창으로 나뉘어 있습니다. 모든 대시보드는 SIEM 소프트웨어에서 생성된 상관관계를 기반으로 하며, 담당 분석가와 KPI 추적에 대한 대응도 반영됩니다.
SOC 대시보드: 경고 알림 요약
SIEM 대시보드에 포함되어 있으며 경고 알림을 모니터링하고 경고 알림과 동작을 간략하게 알려줍니다. 경고 알림 요약에는 경고 알림 추세 및 행동, 상습 위반자, MITRE ATT&CK 매핑 및 지리적 위치 정보에 대한 내용을 담고 있습니다.
SOC 대시보드: 인시던트 요약
여기에는 시스템 생성 인사이트(기본적으로 신호 클러스터링 알고리즘에서 조정됨), 사용자 생성 인사이트(분석가가 경고 알림에서 수동으로 에스컬레이션함) 및 인사이트 세부 정보(클라우드 SIEM에서 생성된 인사이트의 요약으로 구성됨)를 포함하여 조사를 위해 분류되고 우선순위가 지정된 경고 알림의 총 인사이트가 표시됩니다.
SOC 대시보드: SOC KPI
이 창에서는 인사이트 클로저에 대한 평균 탐지 시간, 평균 응답 시간 및 평균 해결 시간을 추적합니다. 각 분석가의 인사이트 종결 방법과 필요한 해결 유형을 모니터링합니다. 또한 대시보드 전반에 걸쳐 정상적인 경고 알림, 실제 발생한 인시던트 및 오탐을 표시하는 방식으로 해결 유형을 집계합니다.
마지막 요약
Sumo Logic은 데일리 스탠드업에서 클라우드 SIEM 대시보드를 사용하여 효율성, 협업, 중요한 메트릭에 대한 집중도를 크게 향상했습니다.
Sumo Logic 클라우드 SIEM을 직접 경험해 보세요. 데모를 요청하세요.
