Cyber Security Academy · 강의

통합 및 정보 보강

도구를 연결하고 컨텍스트를 추가합니다.

통합 및 정보 보강은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 3번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

통합이 어려운 이유

SOAR 플랫폼의 기능은 연결할 수 있는 도구의 범위만큼만 강력합니다. 통합(연결기)은 플레이북이 API를 통해 외부 시스템을 조회하고 명령할 수 있게 하는 어댑터입니다.

시각적인 플레이북이 주목받지만, 눈에 잘 띄지 않는 통합 계층, 인증, 호출 제한, 데이터 구문 분석에 대부분의 개발 노력과 장애가 집중됩니다.

통합의 두 방향

통합은 두 방향으로 흐릅니다.

인바운드(수집) — SIEM, EDR, 이메일 게이트웨이, 클라우드 감사 로그에서 SOAR로 이벤트가 들어옵니다. 이러한 이벤트가 플레이북을 트리거합니다.
아웃바운드(작업) — SOAR가 도구에 명령합니다. 방화벽에서 IP를 차단하고, 신원 공급자에서 사용자를 비활성화하며, EDR에서 호스트를 격리할 수 있습니다.

완전한 통합에는 일반적으로 두 방향이 모두 필요합니다. 이벤트를 받은 다음 동일한 생태계에 다시 작업을 수행해야 합니다.

보강의 의미

보강은 원시 지표에 컨텍스트를 추가하여 다음 의사 결정이 충분한 정보를 바탕으로 이루어지게 하는 작업입니다. IP 주소만으로는 알 수 있는 정보가 거의 없습니다. 보강하면 다음과 같은 정보가 됩니다.

지리적 위치와 해당 IP를 보유한 ASN
위협 인텔리전스 평판 점수와 알려진 캠페인
해당 지표가 환경의 다른 곳에도 나타나는지 여부
정상으로 알려진 인프라의 허용 목록에 포함되어 있는지 여부

보강을 통해 단일 아티팩트가 플레이북이 분기 기준으로 사용할 수 있는 증거 묶음으로 바뀝니다.

일반적인 보강 원천

일반적인 보강 범주와 예시 원천은 다음과 같습니다.

평판/위협 인텔리전스 — VirusTotal, AbuseIPDB, 조직의 MISP 인스턴스
내부 컨텍스트 — CMDB(이 호스트의 소유자는 누구인가?), IAM(이 사용자가 액세스할 수 있는 대상은 무엇인가?), 자산 목록
샌드박스 분석 — 의심스러운 파일과 URL을 실행하여 동작을 관찰합니다.
WHOIS/DNS — 도메인 생성 후 경과 기간과 등록 정보는 강력한 피싱 신호입니다.

내부 원천과 외부 원천을 결합하십시오. 외부 평판만으로는 이것이 우리 조직에 중요한가?라는 질문에 답할 수 없습니다.

보강 API 호출

다음은 SOAR 보강 작업이 감싸는 평판 조회의 형태입니다. 플레이북은 응답을 구문 분석하고 정규화된 점수를 저장합니다.

GET https://www.virustotal.com/api/v3/ip_addresses/198.51.100.23
x-apikey: $VT_API_KEY

# response (trimmed)
# {
#   "data": { "attributes": {
#     "last_analysis_stats": { "malicious": 7, "harmless": 60 }
#   }}
# }

모든 것을 정규화하기

모든 도구는 각자의 스키마로 데이터를 반환합니다. 한 평판 API는 0~100점의 점수를 보고하고, 다른 API는 악성/의심/정상으로 보고하며, 또 다른 API는 공급업체의 원시 판정을 반환합니다.

분기하기 전에 이러한 값을 정규화하여 공통 내부 표현으로 변환하십시오. 각 원천의 값을 공유 척도나 열거형에 매핑하면 플레이북 로직이 어떤 공급업체가 응답했는지 알 필요가 없습니다.

def normalize_vt(resp):
    stats = resp["data"]["attributes"]["last_analysis_stats"]
    total = stats["malicious"] + stats["harmless"]
    pct = (stats["malicious"] / total) * 100 if total else 0
    return {"source": "virustotal", "score": round(pct)}

인증 및 비밀 정보

통합은 API 키, OAuth 토큰 또는 서비스 계정으로 인증합니다. 이를 고가치 비밀 정보로 취급하십시오. SOAR 토큰이 유출되면 전체 장비에서 계정을 비활성화하고 호스트를 격리할 수 있습니다.

자격 증명은 플랫폼의 비밀 저장소에 보관하고 플레이북 본문에는 절대 저장하지 마십시오.
각 통합의 권한 범위를 필요한 최소한으로 제한하십시오(최소 권한).
토큰을 교체하고 사용 현황을 모니터링하십시오. SOAR는 높은 권한을 가진 주체입니다.

호출 제한과 캐싱

보강 API에는 호출 제한이 적용됩니다. 모든 이벤트에서 모든 아티팩트를 보강하는 플레이북은 특히 무료 요금제의 위협 인텔리전스를 사용할 때 빠르게 제한에 도달합니다.

완화 방법:

보강 결과를 캐시하십시오. IP의 평판은 분 단위로 거의 변하지 않습니다.
사례 내 조회를 중복 제거하여 동일한 해시를 다섯 번 조회하지 않도록 하십시오.
HTTP 429가 반환되면 엔드포인트를 반복해서 요청하지 말고 백오프를 적용하십시오.

불완전하고 상충하는 데이터 처리

원천마다 판단이 다를 수 있습니다. VirusTotal은 IP를 악성으로 표시하지만 AbuseIPDB는 정상으로 표시할 수 있습니다. 한 원천을 무조건 신뢰하지 말고 보강 결과를 종합하도록 설계하십시오.

일반적인 전략으로는 가장 높은 심각도를 사용하거나, 높은 신뢰도의 작업을 수행하기 전에 N개의 원천이 동의하도록 요구하거나, 잡음이 많은 공개 피드보다 신뢰할 수 있는 내부 위협 정보를 더 중요하게 반영하는 방법이 있습니다. 나중에 검토할 수 있도록 판정에 기여한 원천을 항상 기록하십시오.

통합 상태 모니터링

조용히 고장 난 통합은 위험합니다. 데이터가 없는 상태에서 플레이북이 계속 진행될 수 있기 때문입니다. 연결기 상태를 적극적으로 모니터링하십시오.

API에서 오류나 인증 실패가 반환되기 시작하면 경보를 보내십시오.
지연 시간을 추적하십시오. 보강 원천이 느리면 전체 플레이북이 지연됩니다.
스키마 변경을 감시하십시오. 공급업체는 예고 없이 응답 형식을 변경합니다.

통합을 자체 SLA와 경보 체계를 갖춘 운영 환경의 종속 항목으로 취급하십시오.

보강의 부작용 주의

보강은 대체로 안전하지만 일부 조회에는 통제해야 할 부작용이 있습니다. 샌드박스에서 URL을 실행하거나 단순한 WHOIS 또는 HTTP 요청을 보내는 것만으로도 공격자에게 자신이 발견되었다는 사실을 알릴 수 있습니다.

활성 원천을 사용하기 전에 수동 원천(캐시된 인텔리전스, 수동 DNS)을 사용하십시오.
실시간 실행이 필요하면 조직을 드러내지 않는 인프라를 통해 라우팅하십시오.
자동 보강 단계 자체가 적대자에게 경보를 보내는 트리거가 되지 않도록 하십시오.

빠른 확인

호출 제한 상황에서 보강 설계를 어떻게 해야 하는지 생각해 보십시오.

요약

통합과 보강의 핵심:

통합은 이벤트를 수집하고 작업을 전달하는 연결기이며, 대부분의 개발 노력과 장애가 발생하는 지점입니다.
보강은 컨텍스트(평판, 내부 소유 정보, 샌드박스 결과)를 추가하여 플레이북이 충분한 정보를 바탕으로 의사 결정할 수 있게 합니다.
외부 위협 인텔리전스를 내부 컨텍스트와 결합하고, 모든 원천을 공유 표현으로 정규화하십시오.
최소 권한과 비밀 저장소를 사용하여 통합 자격 증명을 보호하십시오. SOAR는 높은 권한을 가진 주체입니다.
캐싱과 중복 제거로 호출 제한을 준수하고, 상충하는 원천을 종합하며, 통합 상태를 적극적으로 모니터링하십시오.

자주 묻는 질문

“통합 및 정보 보강” 강의는 무료인가요?

네 — “통합 및 정보 보강” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“통합 및 정보 보강”에서 뭘 배우나요?

도구를 연결하고 컨텍스트를 추가합니다. 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 3번째 강의입니다.

“통합 및 정보 보강” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Cyber Security Academy(으)로 돌아가기