결과 요약
문제점
조직의 외부는 물론 내부에서도 위협 행위자가 발생할 수 있다는 것을 알고 있는 Netskope의 보안 팀은 내부 위협을 모니터링하는 관행을 구현하고자 했습니다.
Netskope에게는 강력한 보안 태세를 유지하는 것이 매우 중요하기 때문입니다. Netskope의 정보 보안 분석 담당자인 션 살로몬(Sean Salomon)은 내부자 위협으로 인해 기업에서 인시던트가 발생할 때마다 1,538만 달러의 비용이 소요된다는 Ponemon Institute의 2022년 연구를 인용하며 “이는 기업이 결코 잃고 싶지 않을 정도의 엄청난 금액입니다. 이러한 인시던트는 비즈니스 및 보안 분석 관점에서 모두 바람직하지 않은 상황입니다.
Netskope의 내부자 위협 모니터링을 위한 초기 표준 운영 절차(SOP)를 계획하는 과정에서 살로몬은 수작업 절차에 과도하게 많은 시간과 노력, 리소스가 필요하다는 것을 알 수 있었습니다. 살로몬은 이렇게 말합니다. “수작업으로 접근했다면 최소 5명의 인력과 10개의 도구, 조사당 최소 90분의 작업 시간이 필요했을 것입니다. SOP에 배정하기에는 너무 많은 리소스입니다. 게다가 서비스가 제공되지 않는 주말이나 업무 시간 이후에 요청이 들어오면 필요한 리소스를 충분히 지원할 수도 없습니다.”
결국 Netskope는 내부 위협 모니터링 프로세스를 간소화하고 자동화하는 데 있어 중요한 부분으로 SIEM 솔루션을 도입하고자 했습니다.
솔루션
내부자 위협 모니터링 프로그램의 경우 내부자 위협의 고위험 지표로 드러나는 사용자 행동에 대한 신속하고 정확한 인사이트가 필요했습니다. 여기에 리소스의 제약을 완화하기 위해 프로세스 자동화가 필요했습니다. 결국 이를 실현하려면 실시간 데이터 분석에 투자하여 내부 위협 활동에 대한 가시성을 확보해야 한다는 결론에 이르렀고, 이를 위해 Netskope는 Sumo Logic Cloud SIEM을 선택했습니다.
“클라우드 SIEM을 사용하면 이러한 내부자 데이터 유출 시도를 조기에 포착하여 최대한 빨리 해결하고 잠재적인 내부자 위협의 영향을 제한할 수 있습니다. 이 모든 정보가 자동으로 수집됩니다. 단 한 명의 인력도, 별도의 도구 전환도 필요하지 않습니다. 오로지 하나의 도구 Sumo Logic만 있으면 됩니다.”
—션 살로몬, 정보 보안 분석 담당자
결과
내부자 위협 모니터링 자동화
클라우드에 기본적으로 구축된 클라우드 SIEM을 사용하면 즉시 사용 가능한 대시보드, 쿼리, 규칙이 포함된 사전 구축 애플리케이션을 통해 심층적 보안 인사이트를 손쉽게 얻을 수 있습니다. 클라우드 SIEM은 데이터를 수집하고 엔드포인트 탐지 및 대응(EDR), 클라우드 스토리지, 마케팅 및 영업 도구와 같은 Netskope의 다양한 데이터 소스를 통합하여 중앙 보안 모니터링과 콘텍스트에 적합한 인사이트를 제공합니다.
“Sumo Logic 클라우드 SIEM을 활용하여 Netskope의 내부 위협 모니터링을 위한 전체 표준 운영 절차를 완전히 자동화했습니다. 응답 시간이 크게 단축되고 인적 오류의 가능성이 줄어들어 효율적이고 효과적인 의사 결정을 내길 수 있게 되었습니다.”라고 살로몬은 말합니다.
데이터 유출 시도에 대한 강력한 분석
내부자 위협 조사 과정에서 Netskope는 Sumo Logic을 이용해 과거의 데이터를 분석하고 사용자의 현재 활동을 모니터링할 수 있습니다. “사용자가 오프보딩을 계획할 때 조직의 최선의 이익에 반하는 행동을 할 가능성은 항상 존재하며, Cloud SIEM은 이러한 위험을 완화하는 데 도움이 됩니다.”라고 Salomon은 말합니다.
Netskope는 클라우드 SIEM의 콘텐츠 관리 API를 사용하여 사용자가 대규모의 데이터를 다운로드하기 시작하거나 개인 또는 경쟁사의 이메일 주소로 외부에서 데이터를 공유하려고 시도하는 경우 이를 감지합니다. 물론 사용자가 외부 USB로 데이터를 복사하려고 시도할 가능성도 있는데, 클라우드 SIEM은 이러한 활동도 모니터링합니다. 살로몬은 솔루션의 검색 API를 활용하여 5초마다 사용자가 외장 USB 드라이브에 데이터를 전송했는지 확인하는 검색 작업을 설정했습니다.
이 워크플로에서는 필요한 모든 정보 수집을 자동화하기 위해 200~300개의 조치가 시행됩니다. 하지만 보안팀은 더 이상 여러 API 엔드포인트나 도구에 로그인하고 이를 공유할 필요가 없습니다.
