오전 4시 37분. Sarah Chen의 계정에 90초 동안 6번이나 로그인 시도가 있었습니다.
MFA 피로도 캠페인은 간단한 원리에 기반합니다. 결국 누군가는 알림을 멈추기 위해 “승인”을 누릅니다. 이번에는 성공했습니다. 공격자가 침입했습니다.
첫 번째 움직임은 조용했습니다. SMS 인증을 비활성화하는 것이었는데, 이는 바쁜 큐에서 놓치기 쉬운 작은 설정 변경이며, 알람을 울리지 않고 작업할 수 있는 시간을 벌기에 정확한 방법이었습니다. 그 다음은 본격적인 작업이었습니다. 한 시스템에서 AWS 자격 증명을 가져오고, 다른 시스템에서 SSH 키를 가져온 후, 내부 소스 코드를 천천히 그리고 체계적으로 빼내갔습니다.
이 모든 일은 Sarah가 자는 동안, 야간 근무 담당자가 아직 긴급으로 표시할 줄 모르는 큐를 감시하는 동안, “SMS 비활성화”와 “자격 증명 빼내기”와 “소스 코드 액세스”를 연결할 컨텍스트를 가진 사람이 실시간으로 이를 볼 수 있는 상황이 아닌 동안 일어났습니다.
해가 뜰 무렵, 모든 것이 끝났습니다. 공격자는 원하던 것을 얻었습니다.
이것이 어떻게 진행될 수 있는지 두 가지 방법을 살펴보겠습니다.
기존 방식: 4시간의 큐, 인수인계, 그리고 브라우저 탭
오전 4시 39분. Sumo Logic SIEM이 이러한 이벤트들을 하나의 인사이트로 상관관계를 파악했습니다.
오전 5시. SOC 팀이 이 알림을 포함한 수십 개의 알림이 있는 큐를 담당합니다.
오전 5시 21분. 1단계 분석가인 Edwin이 알림을 열고 기본 사항을 확인합니다. 이 계정이 여기서 이전에 로그인한 적이 있나요? MFA가 이렇게 작동한 적이 있나요? 아무것도 배제되지 않으므로 분석가가 다음 알림으로 넘어가는 동안 “더 자세히 살펴보기” 더미에 들어갑니다.
오전 7시 8분. 오전 중반이 되어서야 드디어 더 자세히 살펴볼 차례가 됩니다. 조사는 서로 통신하지 않는 도구들 사이를 전환하는 것을 의미합니다. MFA 기록을 위한 ID 공급자, 상관관계가 있는 이벤트를 위한 SIEM, 파일 이름이 실제로 무엇을 말하는지 확인하기 위한 채팅 도구, 관련된 IP에 대한 별도의 조회. 분석가가 통합 계층입니다. 한 화면에서 값을 복사하여 다른 화면에 붙여넣고, 일치하는 항목을 손으로 추적합니다. “사용자가 단순히 비밀번호를 잊었을 뿐”이라는 것을 배제하는 것만 해도 1시간 이상이 소요될 수 있습니다.
SMS 인증 변경이 감지되면, 바쁜 큐에서 설정 변경은 정확히 빠져나가는 것이므로, 보통 티켓을 2단계로 올립니다. 인수인계, 큐 공간 대기, 데이터 유출 확인, 노출된 자격 증명 추적, 그리고 대부분 확인된 내용과 순서를 기억하면서 손으로 사고 보고서를 작성합니다.
오전 8시 48분. 몇 시간, 여러 인수인계, 많은 브라우저 탭 후, 조사가 완료됩니다. 제대로 수행된 작업은 그 정도의 시간이 걸립니다. 이것이 정확히 분류가 존재했던 이유입니다. 그 많은 주의를 받을 수 있는 알림만 확인하기 위해서입니다.
AI는 우리를 직접 전체 조사로 이동시킵니다
탐지, 분류, 조사. 이 파이프라인은 한 가지 간단한 이유로 25년 동안 보안 운영을 주도해 왔습니다. 깊이 있는 조사는 비용이 많이 들고 분석가는 부족했습니다. 따라서 업계는 비용이 많이 드는 단계를 보호하기 위해 빠른 필터를 구축했습니다. 당시에는 이것이 타당했습니다. 분류는 숙련된 작업이며, 이를 중심으로 구축된 계층과 큐는 사용 가능한 주의에서 실질적인 가치를 얻었습니다.
하지만 에이전트는 오전 4시에 피로해지지 않으며, 근무 시간이 끝날 때 부족해지지 않습니다. 배급을 필요하게 만든 부족함이 사라졌습니다. 따라서 Sumo Logic이 SOC를 위한 첫 번째 AI 에이전트인 SOC Analyst Agent를 구축했을 때, 우리는 분류를 가속화하는 것을 목표로 하지 않았습니다. 우리는 분류의 필요성을 제거하려고 했습니다.
DojoAI 방식: 4분 내 판정, 14분 내 깊이 있는 이해와 보고서
오전 4시 39분. Sumo Logic SIEM이 이러한 이벤트들을 하나의 인사이트로 상관관계를 파악했고, SOC Analyst Agent가 자동으로 조사를 시작했습니다.
경험 많은 분석가처럼 작동합니다. 가설로 시작하여 먼저 어떤 설명을 테스트할지 결정한 후, 그것을 배제할 증거를 찾습니다. 모든 테스트는 데이터와 해당 계정의 정상 상태에 대해 측정됩니다. 실패한 설명은 제거되고, 에이전트는 어떤 것이 실패했는지, 왜 실패했는지 알려줍니다. 판정은 사실에 맞는 첫 번째 이야기가 아니라, 다른 것들이 제거된 후에도 여전히 남아 있는 것입니다.
모든 주요 발견은 증거를 포함하므로, MFA 비활성화에 대한 주장은 비활성화 이벤트 자체로 직접 연결됩니다. 신호가 추가되거나 제거될 때마다 무슨 일이 일어났는지 재생성되므로, 증거가 움직일 때 이야기도 움직입니다.
오전 4시 43분. 5분 미만 만에 SOC Analyst Agent는 판정에 도달했습니다. 활동은 악의적이었습니다.
Edwin은 지금 조사를 종료할 수 있지만, 대신 에이전트의 발견을 확인하고, 더 깊이 파고들고, 보고서를 생성하기 위해 몇 분을 더 투자하기로 결정합니다.
오전 4시 45분. 먼저 영향 범위를 파악합니다.
담당 분석가인 Edwin이 Mobot을 클릭하여 더 깊이 있게 조사합니다. 컨텍스트가 이미 로드되어 있으므로 에이전트가 중단한 지점부터 시작하며, 처음부터 다시 시작하지 않습니다.
질문을 하기 전에 Edwin은 에이전트가 이미 수행한 작업을 확인하면서 실행된 쿼리와 그 뒤의 데이터를 훑어봅니다. 쿼리를 편집하거나 다시 실행할 수도 있지만, 대신 새로운 검색을 시작하기로 결정합니다.
프롬프트 1: 관련 인사이트 검색
오전 4시 47분 “관련 인사이트 검색”
이전에 이런 일이 발생했는지 파악하기 위해 동일한 엔티티, 동일한 공격 이름, 동일한 신호 규칙, 동일한 MITRE 전술 또는 동일한 기간에 활성화된 인사이트를 쉽게 피벗할 수 있습니다. 동일한 엔티티는 공격자가 다음에 수행한 작업을 보여줍니다. 동일한 전술은 다른 사람도 동일한 대우를 받고 있는지 여부를 보여줍니다.
Edwin이 내리는 모든 결정에 따라 에이전트 팀원은 탐색할 가치가 있는 더 많은 조치를 제시합니다.
프롬프트 2: 모든 지표를 한 번에 확인
오전 4시 49분 “이 인사이트의 모든 지표를 위협 인텔리전스와 비교하여 일치하는 항목, 일치하지 않는 항목, 그리고 그것이 중요한 이유를 알려주세요”
검색 결과를 한 번에 하나씩 피벗하는 대신 Edwin은 상위 수준의 질문을 하고 모든 항목을 한 번에 실행합니다. Mobot은 이를 분석합니다. 이 인사이트의 어떤 아티팩트가 지표로 간주되는지, 그리고 Sumo Logic의 기본 제공 피드와 사용자 정의 추가 항목을 포함한 어떤 피드가 실제로 이들에 대해 말할 수 있는지를 파악합니다. 그런 다음 확인할 수 없는 항목을 포함하여 모든 항목에 대해 보고합니다.
프롬프트 3: 자격 증명 추적
오전 4시 52분 “해당 파일의 AWS 서비스 자격 증명을 사용한 모든 인증 시도를 보여주세요.”
Mobot은 문자 그대로의 질문에 대해 거짓 답변을 하지 않습니다. Slack은 파일 이름을 기록했지만 파일 내의 자격 증명은 기록하지 않았으므로 로그가 로그인을 해당 파일과 연결할 수 없습니다. 추측하는 대신 이를 명시하고 테스트할 수 있는 항목을 제시합니다. 유출 후 계정의 AWS 활동, 낯선 주소에서의 로그인, 프록시에서의 콘솔 로그인입니다.
모든 단계에서 Edwin은 권장 사항도 받습니다. 여기서는 자격 증명을 손상된 것으로 취급하고 오늘 중에 회전하는 것입니다.
프롬프트 4: 보고서 생성
오전 4시 53분 “조사 보고서를 생성하세요.”
Mobot이 반환하는 것은 경영진 요약, 모든 행에 MITRE 기법이 있는 타임라인, 그리고 발생하는 모든 신호입니다. 이것은 Edwin이 IR 리드나 감사자에게 제공할 수 있는 보고서입니다.
제외된 지표를 기록하여 막다른 끝을 추적하므로 6개월 후 독자는 결론 내려진 항목뿐만 아니라 기각된 항목도 볼 수 있습니다. 또한 출처를 인용하여 Okta 자체의 보안 컨텍스트가 알려준 내용과 위협 피드가 알려준 내용을 분리하므로 실제로 입증되지 않은 항목이 입증된 것처럼 나타나지 않습니다. 그리고 우선순위가 지정된 조치 목록으로 마무리합니다. 계정 일시 중단, 해당 파일의 모든 자격 증명 회전, 법무 및 규정 준수 팀에 알림 – 고객 데이터베이스 내보내기가 발생했으며, 이는 알림 의무를 수반합니다.
신뢰할 수 있는 AI로 MTTR 가속화
위의 예시는 가상이지만 Sumo Logic 고객(및 당사의 SOC)이 매일 경험하는 내용을 나타냅니다.
SOC Analyst Agent를 사용하면 이미 신뢰하는 SIEM 데이터에서 작동하기 때문에 신뢰와 투명성이 내장됩니다.
- 모든 단계가 감사 가능합니다. 도구 호출은 감사 이벤트 인덱스에 기록되고, 결과는 소스 신호로 다시 연결되며, Mobot이 실행하는 모든 쿼리는 로그 검색에서 바로 열립니다. 판정 및 결과는 Sumo Logic SIEM API를 통해서도 사용할 수 있습니다.
- 한 번에 하나 이상의 인사이트에 대해 추론합니다. 정규화된 레코드 및 신호, 소스 전체에서 상관관계가 지정된 엔티티, 위협 인텔리전스 피드(당사 피드 포함), 지리적 위치, 사용자 행동, 자산 세부 정보 등의 강화 기능입니다.
- 의도적으로 자체적으로 조치를 취하지 않습니다. 계정 일시 중단, 키 회전, 호스트 격리 – 이러한 결정은 사용자에게 남아 있습니다.
- 자동으로 조사할 대상을 제어할 수 있으며, 약정된 볼륨에 도달하면 어떤 일이 발생하는지에 대한 정책이 있습니다.
직접 확인해 보세요
SOC Analyst Agent를 시도해 보실 준비가 되셨나요? 무료 체험판에 가입하세요.
