보안 업계는 거의 10년 동안 탐지 문제를 해결하기 위해 머신 러닝을 사용해 왔습니다. 충분한 로그를 입력하고 비정상적인 동작을 감지함으로써, 이 시스템은 규칙 기반 시스템이 놓치는 위협을 찾아낼 수 있었습니다. 이를 통해 더욱 날카로운 이상 탐지, 더 적은 오탐, 그리고 UEBA가 이제 필수적이 되었습니다. 실제로 위협 탐지 및 분석은 전체 SIEM 지출의 약 44%를 차지하며, 이는 단일 사용 사례 중 가장 큰 비중을 차지합니다.
머신 러닝을 활용한 탐지는 단지 시작에 불과했습니다.
에이전트형 AI는 SIEM을 내장된 ML 모델에서 추론하고 행동하는 에이전트 시스템으로 전환합니다. 분석가들은 여전히 필요하지만, 이제는 대부분의 조사 기반 작업이 완료된 후에 투입됩니다.
Sumo Logic의 2026 보안 운영 인사이트 보고서는 500명 이상의 IT 및 보안 리더를 대상으로 한 설문조사를 바탕으로 SOC가 진화하고 있음을 보여줍니다. 응답자의 96%가 AI를 도입했다고 답했지만, 실제 활용 사례는 워크플로의 가장 기본적인 수준에 집중되어 있습니다. AI는 최초 신호부터 해결에 이르기까지 전체 수명주기에 걸쳐 운영 및 의사 결정의 핵심 역할을 할 수 있지만, 대부분의 조직은 아직 그 단계에 이르지 못했습니다.
현재 전환 상황은 다음과 같으며, 미래 지향적인 SOC를 구축하는 데 필요한 사항은 다음과 같습니다.
AI가 이미 성과를 낸 영역
보안 분야에서 AI의 첫 물결은 기대에 부응했습니다. 이상 탐지 기능이 향상되고, 행동 기준선이 서명 기반 규칙을 강화했으며, 그 가치가 널리 인정받고 있습니다. 보안 책임자의 90%가 AI/ML이 경고 피로도를 줄이고 탐지 정확도를 향상시키는 데 매우 또는 극도로 유용하다고 응답했습니다.
실제로 보안 책임자의 거의 절반이 위협 탐지에 AI를 사용하지만, 사고 분류에 적용하는 경우는 9%에 불과하며, 이는 전체 SOC에서 가장 낮은 사용 사례입니다. 하지만 보안 운영 센터는 여전히 매일 경고 피로감과 오탐에 시달리고 있습니다. 공격 표면이 계속 확장되었기 때문에 경고 규모가 줄어들지 않았습니다. 클라우드 원격 측정 데이터가 계속 증가했고, AI로 가속화된 위협은 탐지 기능 개선으로 상쇄할 수 없을 정도로 빠르게 유입되는 신호의 속도를 높였습니다.
AI 투자가 탐지 분야에 집중적으로 이루어졌지만, 탐지 품질이 이후 모든 단계의 한계를 직접적으로 결정하기 때문에 이러한 투자는 중요합니다. 탐지 정확도는 얼마나 많은 조사 업무가 인간 분석가에게 넘어가는지를 결정합니다.
AI 성숙도 곡선
대부분의 SOC는 AI 성숙도에 따라 세 단계 중 하나에 속합니다. 오늘날 어떤 단계에 있는지가 SIEM에 현실적으로 요구할 수 있는 것과 활용하지 못하고 있는 것을 결정합니다.
1단계: 소음 줄이기
첫 번째 단계는 운영 자동화입니다. 이 단계에서는 규칙 기반 논리와 머신 러닝을 결합하여 동작의 기준선을 설정하고, 중복 알림을 억제하고, 로그를 정규화합니다. 이는 기본 요건이며, 비즈니스 타당성은 자명합니다. 업무량과 조사 시간을 줄이고 더 많은 사건을 해결할 수 있습니다. 2026년 연구에 따르면 자동화는 이제 표준이 되었습니다. 보안 책임자의 70%가 위협 탐지 워크플로를 완전히 자동화했거나 대부분 자동화했다고 답했습니다.
2단계: 분석가 안내
두 번째 단계는 AI가 수사에 도움을 주기 시작하는 단계입니다. 분석가 지원 AI는 정적인 플레이북을 실시간으로 조사를 안내하는 시스템으로 대체합니다. 자연어 요약, 상황별 위험 점수 산정, 이상 징후 탐지 기능을 통해 분석가는 단순한 이벤트 스트림 대신 “이것이 왜 중요한가”라는 설명을 얻을 수 있습니다. 보안 책임자 중 37%만이 AI 기능, 통합 원격 측정 및 확장성이 내장된 클라우드 네이티브 SIEM을 보유하고 있으며, 51%만이 현재 사용 중인 SIEM이 평균 탐지 시간(MTTD) 및 평균 대응 시간(MTTR)을 줄이는 데 매우 효과적이라고 응답했습니다. 2단계는 아직 널리 보급되지 않았으며, 결과는 이를 반영합니다.
3단계: 루프 마무리
세 번째 단계에서는 자율 작동이 도입됩니다. 이는 에이전트형 AI로, 시스템이 단순히 분석하고 추천하는 데 그치지 않고 여러 도구를 활용하여 추론하고, 증거를 상호 연관시키며, 사람이 각 단계를 진행할 때까지 기다리지 않고 전체 SOC 워크플로에 걸쳐 조치를 취하는 것을 의미합니다.
2단계 AI가 분석가에게 더 나은 시작점을 제공하는 반면, 에이전트형 AI는 위협 인텔리전스로 경고를 보강하고, 활동을 킬 체인에 매핑하며, 대응 조치를 자율적으로 시작합니다. 이 단계에 도달한 팀은 아직 많지 않습니다. 현재 보안 책임자 중 단 9%만이 AI를 사고 분류에 활용하고 있는데, 이는 에이전트형 AI가 혁신하고자 하는 바로 그 워크플로입니다. 이는 아직 갈 길이 멀다는 것을 여실히 보여줍니다.
에이전트 시대에 SIEM에 요구해야 할 사항
모든 SIEM이 에이전트형 AI를 지원하도록 설계된 것은 아니며, 조직이 지금 내리는 아키텍처 결정에 따라 에이전트형 AI로부터 얻을 수 있는 이점이 결정됩니다. 세 가지는 절대 양보할 수 없습니다.
- 벤더 종속 금지. 보고서에 따르면 대부분의 조직은 공급업체를 자주 평가하지 않으며, 단일 공급업체의 생태계 내에 머무르는 데 따른 재정적 인센티브가 주요 원인입니다. 독점적인 도구와 폐쇄형 API를 통해 데이터 수집, 분석 및 자동화를 제어하는 플랫폼은 업계 전반에서 구축되고 있는 에이전트형 기능을 통합하는 데 제약을 가합니다. 차세대 도구가 등장하면, 이를 도입할 수 있는 아키텍처와 자유가 필요합니다.
- 개방형 데이터 표준. 에이전트 시스템은 데이터 소스 간에 자유롭게 이동할 수 있어야 합니다. OpenTelemetry와 같은 개방형 표준을 기반으로 구축된 플랫폼은 독점적인 제약 없이 환경 전반에 걸쳐 원격 측정 데이터를 수집, 정규화 및 라우팅할 수 있습니다. 폐쇄형 데이터 수집 파이프라인은 에이전트 계층이 보고 조치를 취할 수 있는 범위에 대한 상한선을 설정합니다.
- 개체 중심 탐지. 에이전트형 AI는 어떤 시스템에서 어떤 순서로 누구에게 무슨 일이 일어났는지에 대해 추론합니다. 특정 사용자, 장치 또는 서비스 계정과 이벤트를 연관시키는 탐지 기능은 그 추론에 일관성 있는 근거를 제공합니다. 그것이 없으면 에이전트형 조사는 실행에 옮길 근거가 없습니다.
미래의 SOC는 지금 만들어지고 있습니다
탐지가 1단계였고, 업계는 이를 완벽하게 숙달했습니다. 하지만 위협을 신속하게 발견하는 것은 대응이 더 빠를 때만 의미가 있으며, 바로 그 부분에서 조직들은 여전히 시간을 허비하고 있습니다.
분석가 지원 AI는 2단계였습니다: 더 스마트한 분류, 안내형 조사, 더 빠른 평균 응답 시간. 오늘날 대부분의 팀은 이러한 전환의 중간 단계에 있습니다. 보안 팀의 절반만이 현재 사용 중인 SIEM이 탐지 및 대응 시간 단축에 매우 효과적이라고 평가하고 있으며, 52%만이 SIEM이 미래의 요구 사항을 충족하도록 확장될 수 있다고 확신하고 있습니다.
에이전트형 AI가 3단계입니다. 올바른 기반, 즉 개방형 아키텍처, 엔티티 중심 탐지, 그리고 벤더 종속성 없는 환경에 투자한 팀은 이를 도입할 수 있는 유리한 위치에 있습니다. 그렇지 않은 기업은 현재 사용 중인 SIEM 시스템이 향후 요구 사항을 지원할 수 없는 인프라 위에 구축되어 있음을 알게 될 것입니다.
미래의 SOC를 구축하는 조직들은 이미 오늘날 플랫폼을 선택하고 있습니다.
에이전트형 AI를 위한 유연한 아키텍처가 어떻게 작동하는지 살펴볼 준비가 되셨나요? 데모를 받아보세요.
