증가하는 사이버 위협에 대응하는데 현재 보안 조직은 너무나 열악한 환경에 처해있다. 턱없이 적은 보안 담당자와 너무 많은 보안 단계, 시시각각 증가하는 서비스로 인해 높아지는 보안 복잡성으로 인해 많은 압박감을 갖고 있다.
네트워크 운영조직(NOC)은 더 효율적인 운영을 바라지만, 보안운영조직(SOC)은 더 빠르게 위협을 식별하고 방어할 수 있는 환경을 원한다. NOC와 SOC의 견해차는 클라우드로 전환됐을 때 더 심각하게 불거진다. NOC가 만족하는 네트워크 환경은 새로운 종류의 공격에 취약하고, SOC가 만족하는 보안 환경은 네트워크 지연을 가져올 수 밖에 없다.
김기환 포티넷코리아 부장은 “급변하는 ICT를 보호하기 위해서는 NOC와 SOC의 요구를 둘 다 만족시켜야 한다. 운영 측면에서의 보안과 보안을 인식한 운영, 단일 관점, 단일 작업으로 접근하는 방법이 필요하다”며 “보안운용을 가시화하고 단순화하며, 정량적인 보안 평가와 의미있는 보안운용 교차분석 자동화를 보장해야 한다”고 말했다.
차세대 SIEM으로 공격 가시성·대응 능력 확보
‘차세대 보안 비전 2019’에서 ‘차세대 SIEM 구축 동향 및 보안시스템 연동 사례’를 소개한 김기환 부장은 새로운 보안 접근을 차세대 SIEM에서 찾았다. 기존의 SIEM은 로그분석을 통해 보안이벤트를 관리했으며, 개별 기능에 중점을 두고 있어 전체 공격을 파악하고 대응하지 못했다.
차세대 SIEM은 하이브리드 인프라스트럭처 전반을 지원하며, 정확한 인시던트 식별과 위협 탐지를 위해 서로 다른 데이터 세트에서 관련 보안 이벤트를 시각화한다. 실시간으로 위협을 탐지·분류하며 에스컬레이션하고 대응하는 능력을 갖췄으며, 다양한 소스로부터 수집되는 대량의 데이터를 효율적으로 검색하고 분석한다. 반복적인 워크플로우 관리와 개선, 비즈니스 위험 관리 등의 요건도 만족시켜야 한다.
포티넷의 ‘포티SIEM’은 이러한 요건을 만족하는 차세대 솔루션으로, 포괄적이고 세분화된 자산 디스커버리와 커스텀 디바이스를 지원하는 유연성과 확장성, 자동화된 워크플로우를 제공한다.
포티SIEM은 네트워크 및 네트워크 보안 솔루션, 엔드포인트, 메일보안, ATP, 웹방화벽, 인증, 관리 등 다양한 솔루션과 연동해 위협을 분석하고 차단한다. 포괄적이고 확장된 포티SIEM은 SOC 및 써드파티 솔루션과 연계해 위협에 대응할 수 있다.
또한 포티가드 인텔리전스를 이용해 전 세계 최신 위협에 실시간에 가깝게 대응할 수 있다. 포티가드 인텔리전스는 포티넷 보안 기술의 차별성을 드러내는 핵심 요소다. 전 세계에서 수집하는 위협 정보와 해커포럼, 전문가 분석, 위협 정보 교환 등을 통해 위협 인텔리전스를 만들고, 이를 SIEM과 연동해 이벤트의 상관관계를 분석하고 위협을 탐지할 수 있다.
UEBA로 내부자 위협 제거
위협 탐지 기술 중 최근 주목받는 것이 사용자와 계정 행위 분석(UEBA) 기술이다. 침해사고의 30%는 내부자에 의한 것으로 실수에 의한 사고가 64%에 달한다. 사용자 신원 도용으로 인한 사고도 13%에 이른다. UEBA는 사용자와 단말의 행동을 분석해 악의적인 내부자나 침해당한 사용자에 의한 보안 위협을 차단한다.
포티넷의 UEBA 솔루션 ‘존폭스(ZoneFox)’는 내부 위협으로부터 고객 업무의 핵심 데이터를 보호하며, 컴플라이언스 준수를 도와줄 수 있다. 의심스러운 사용자·계정 활동을 탐지·경고하고 권한없는 사용자의 비정상적 리소스 액세스를 파악하고 차단한다.
김기환 부장은 “UEBA는 EDR이나 SIEM에 통합되는 추세를 보이고 있는데, 가트너는 EPP에 사용자·단말 행위 분석 기술을 통합시키는 것이 바람직하다는 견해를 보이고 있다. 포티넷 존폭스는 엔드포인트 사용자 행위 분석을 강화해 엔드포인트에서의 정밀한 위협 탐지 기능을 제공할 수 있다”고 말했다.
