모든 벤더의 피치는 같은 방식으로 시작됩니다. 클라우드 네이티브로 전환하면 모든 가시성 문제가 사라진다는 것이죠. 좋은 이야기입니다. 하지만 2014년의 데이터 센터는 그 메시지를 받지 못했고, 제조 현장은 여전히 아무도 건드리고 싶지 않은 OT 네트워크를 운영 중이며, “클라우드 마이그레이션”의 절반은 실제로는 코로케이션 시설의 랙으로 돌아가는 VPN 터널이 있는 Kubernetes 클러스터입니다.
하이브리드는 클라우드 네이티브로 가는 과정에서 거쳐 가는 단계가 아닙니다. 대부분의 조직에서는 영구적인 상태입니다. 이는 위협 탐지가 같은 도구로 감시하도록 설계되지 않은 환경 전반에서 작동해야 함을 의미합니다.
하이브리드 위협 탐지의 격차는 환경 간의 경계에 있습니다
AWS용 탐지를 구매할 수 있습니다. Azure용 탐지를 구매할 수 있습니다. 온프레미스 방화벽용 탐지를 구매할 수 있습니다. 거의 아무도 구매하지 않는 것은 그 경계 사이의 탐지입니다. AD와 클라우드 IdP 간의 ID 브리지, 양쪽에 액세스 권한이 있는 서비스 계정, 침해된 노트북과 핵심 자산 사이의 유일한 방어선인 VPN 게이트웨이입니다.
공격자는 아키텍처 다이어그램을 존중하지 않습니다. 경로가 가장 짧은 곳으로 이동하며, 그 경로는 거의 항상 두 팀에 속하고 어느 팀도 소유하지 않기 때문에 아무도 면밀히 감시하지 않는 경계를 통과합니다.
하이브리드 위협 탐지가 실제로 필요한 것
대부분의 “하이브리드 위협 탐지” 콘텐츠는 백지 상태를 가정합니다. 귀사의 상황은 그렇지 않습니다. 현재 상황에서 실제로 그곳에 도달하는 방법은 다음과 같습니다.
- 무엇을 구매하기 전에 경계를 파악하세요. ID, 네트워크 또는 데이터가 환경 경계를 넘는 모든 위치를 매핑하세요. AD-Entra ID 또는 Okta 동기화, 공유 서비스 계정, VPN 게이트웨이, 온프레미스 NAS에서 복제되는 S3 버킷, 하이브리드 노드 풀이 있는 Kubernetes 클러스터입니다. 이 목록은 일반적으로 예상보다 훨씬 길고 복잡합니다.
- 상관관계를 분석하기 전에 정규화하세요. AWS CloudTrail, Azure Activity Logs, GCP Audit Logs, 방화벽 및 IDS의 온프레미스 syslog, Kubernetes 감사 로그는 모두 인증, 액세스 및 구성 변경과 같은 동일한 종류의 이벤트를 완전히 다른 형태로 설명합니다. 플랫폼이 이를 일관된 스키마로 매핑할 수 없다면, 분석가는 사고 중에 수동으로 번역해야 하며, 이는 새로운 로그 형식을 배우기에 최악의 시간입니다.
- ID 및 네트워크 텔레메트리를 동일한 타임라인에 배치하세요. 클라우드 IAM 정책 변경과 3분 후의 온프레미스 VPN 로그인은 관련이 없을 수 있습니다. 또는 전체 사고일 수 있습니다. 별도의 도구에 있고 보존 기간이 다르면 차이를 알 수 없습니다.
- 로그의 출처와 관계없이 MITRE ATT&CK에 매핑하세요. 환경 전반에 걸친 일관된 탐지 로직이 개별 탐지 규칙보다 더 중요합니다. 온프레미스 탐지와 클라우드 탐지가 다른 분류법을 사용한다면, 동일한 공격자에 대해 두 가지 정신 모델을 유지하고 있는 것입니다.
- 실제로 경계를 넘는 플레이북을 구축하세요. 클라우드 측 비정상 액세스에서 발생하는 Insight는 경고를 생성한 도구의 가장자리에서 멈추지 않고 온프레미스 자산 인벤토리 및 ID 데이터에 대해 자동으로 강화될 수 있어야 합니다.
실제로 이것이 어떻게 보이는지
이것이 Cloud SIEM의 실제 사례입니다. AWS, Azure, GCP, Kubernetes, Linux, NGINX 및 온프레미스 소스를 하나의 정규화된 파이프라인으로 수집하며, “통합”이라고 주장하는 연결되지 않은 도구의 더미 대신입니다.
DojoAI는 각 소스를 자체 섬으로 취급하는 대신 이러한 서로 다른 소스 전반에서 추론하며, 분석가가 수동으로 두 개를 함께 연결하지 않고도 클라우드 제어 평면의 신호를 온프레미스 엔드포인트의 활동에 연결합니다. 그리고 탐지가 소스와 관계없이 MITRE ATT&CK에 일관되게 매핑되기 때문에, SOC Analyst Agent는 VPC 흐름 로그에서 발생했든 여전히 연결되어 있는 랙의 방화벽에서 발생했든 동일한 방식으로 Insight를 분류할 수 있습니다.
최종 의견
아무도 인프라가 깨끗하지 않습니다. 피해를 입는 조직은 하이브리드를 실행하는 조직이 아닙니다. 거의 모든 조직이 그렇습니다. 각 환경에 대해 탐지를 별도로 구매하고 경계가 자동으로 처리될 것이라고 가정한 조직입니다. 공격자는 이미 경계를 찾았습니다. 유일한 질문은 당신이 먼저 찾는지 여부입니다.
클라우드와 온프레미스 전반에서 탐지를 실행 중이며 경계를 느끼고 있으신가요? Sumo Logic Cloud SIEM이 하이브리드 환경을 처리하는 방법을 확인하세요.
