SOAR가 중요한 이유

현대의 보안 운영 센터(SOC)는 경보에 파묻혀 있습니다. 중간 규모 기업의 SIEM은 하루에 수만 건의 경보를 생성할 수 있으며, 대부분은 신뢰도가 낮거나 오탐입니다.

분석가는 모든 경보를 직접 분류할 수 없습니다. 그 결과 경보 피로가 발생합니다. 실제 위협이 묻히고, 평균 대응 시간(MTTR)이 늘어나며, 번아웃으로 숙련된 인력이 조직을 떠납니다.

SOAR(보안 오케스트레이션, 자동화 및 대응)은 조사와 대응에서 the 반복적이고 결정적인 부분을 자동화하여 이 문제를 해결합니다.

SOAR는 세 가지 기능을 하나로 묶습니다.

• 오케스트레이션 — SIEM, EDR, 방화벽, 티켓 관리, 위협 인텔리전스 등 서로 다른 여러 도구를 하나의 제어 평면을 통해 조율합니다.
• 자동화 — 사람의 조작 없이 작업을 실행합니다. IP 정보를 보강하고, 호스트를 격리하며, 계정을 비활성화합니다.
• 대응 — 탐지부터 봉쇄와 사례 종결까지 the 전체 사고 수명 주기를 관리합니다.

목표는 분석가를 대체하는 것이 아니라 the 번거로운 작업을 제거하여 사람이 판단이 필요한 결정에 집중하도록 하는 것입니다.

피싱 신고를 처리하는 1단계 분석가의 업무를 살펴보십시오. 각 단계는 기계적이며 매번 동일합니다.

• 이메일에서 URL과 첨부 파일을 추출합니다.
• 샌드박스에서 첨부 파일을 실행하여 분석합니다.
• 발신자 도메인의 평판을 조회합니다.
• 다른 사용자가 the 동일한 이메일을 받았는지 확인합니다.
• 티켓을 열고 심각도를 지정합니다.

이 작업에는 사람이 필요하지 않습니다. API 호출이면 됩니다. SOAR는 이 단계를 한 번만 정의하고 매번 몇 초 안에 실행합니다.

SOAR는 탐지 및 실행 도구 위에서 이들을 연결하는 계층입니다. 일반적인 흐름은 다음과 같습니다.

SIEM 또는 EDR이 탐지 결과를 생성합니다. 이 탐지 결과는 SOAR 플랫폼이 수집하는 이벤트가 됩니다. 플레이북이 실행되어 정보 보강 소스를 호출하고, 조치를 결정하며, 명령을 the 방화벽, ID 공급자 또는 EDR로 다시 전송합니다.

개념적으로 SIEM은 무슨 일이 일어났는지 알려 주고, SOAR는 이에 어떻게 대응할지 결정하고 실행합니다.

확인된 악성 호스트를 자동으로 격리하는 경우를 생각해 보십시오. 사람이라면 EDR 콘솔에 로그인하여 격리를 클릭해야 합니다. SOAR 통합을 통해 the 동일한 동작을 수행하면 API 호출 한 번이면 됩니다.

아래는 SOAR 작업이 감싸는 the EDR 격리 호출의 예시입니다. 이는 보안 작업이며 독립적으로 실행할 수 있는 코드는 아닙니다.

평균 대응 시간(MTTR)은 SOAR가 개선하는 대표 지표입니다. 수동으로 피싱을 조사하면 분석가가 30~45분을 쓸 수 있습니다. 플레이북은 1분 이내에 정보 보강을 완료하므로 최종적인 사람의 결정만 남습니다.

더 빠른 대응은 공격자 체류 시간을 줄입니다. 공격자 체류 시간이란 침해와 봉쇄 사이의 시간입니다. 체류 시간이 1분 늘어날 때마다 공격자는 그 1분 동안 권한을 확대하고, 측면으로 이동하거나, 데이터를 탈취할 수 있습니다.

자동화는 속도뿐 아니라 일관성도 제공합니다. 두 분석가가 the 동일한 경보를 처리하더라도 서로 다른 단계를 밟을 수 있습니다. 플레이북은 매번 동일한 방식으로 실행되므로 규정 준수와 사고 후 검토에 매우 중요합니다.

모든 자동화된 작업은 타임스탬프, 트리거가 된 이벤트 및 행위 주체(the 플레이북)와 함께 기록됩니다. 이를 통해 수동 작업으로는 거의 얻기 어려운 깔끔한 감사 추적 기록이 만들어집니다.

• 압박 속에서도 단계가 누락되지 않습니다.
• 조사를 재현할 수 있습니다.
• 증거가 자동으로 보존됩니다.

자동화가 자율성을 의미하는 것은 아닙니다. 임원 계정을 비활성화하거나 중요한 서브넷을 차단하는 것과 같은 영향이 큰 작업은 승인을 위해 일시 중지해야 합니다.

SOAR 플랫폼은 사람 참여 게이트를 지원합니다. 플레이북이 모든 증거를 수집하고 제시한 후, 분석가가 위험한 단계의 실행 전에 승인 또는 거부를 클릭할 때까지 기다립니다.

이를 통해 되돌릴 수 없는 작업에서 the 사람 판단의 안전성과 속도 사이의 균형을 맞출 수 있습니다.

SOAR는 강력하지만 마법은 아닙니다. 일반적인 실패 유형은 다음과 같습니다.

• 쓰레기가 들어가면 쓰레기가 나온다 — 잘못된 프로세스를 자동화하면 잘못된 결정을 더 빠르게 내릴 뿐입니다.
• 취약한 통합 — API가 변경되고 토큰이 만료되며 플레이북이 아무런 알림 없이 중단됩니다.
• 과도한 자동화 — 신호가 약한데도 자동 차단을 실행하면 스스로 장애를 일으킬 수 있습니다.

원칙은 충분히 이해된 신뢰도 높은 대응 경로부터 자동화한 다음 범위를 넓히는 것입니다.

팀이 SOAR 기능을 확보하는 방법은 두 가지입니다. 전용 플랫폼(Splunk SOAR, Cortex XSOAR, Tines, Torq)은 커넥터 라이브러리와 시각적 플레이북 편집기를 함께 제공합니다.

소규모 팀은 때때로 스크립트와 작업 스케줄러로 시작합니다. 이 경우 커넥터, 재시도 로직, 감사 로깅을 직접 다시 구현해야 한다는 위험이 있습니다.

결정은 대개 필요한 통합 범위와 사용자 지정 코드를 유지 관리하는 데 사용할 수 있는 엔지니어링 시간 중 어느 쪽이 더 중요한지에 따라 내려집니다.

첫날부터 모든 경보에 플레이북이 필요한 것은 아닙니다. 성과가 가장 크고 위험이 가장 낮은 영역부터 시작하십시오.

• 대량 발생 — 피싱 분류, 악성 코드 경보, 무차별 대입 시도입니다. 자주 실행할수록 절약되는 시간이 누적됩니다.
• 충분히 파악됨 — the 수동 단계가 이미 문서화되어 있고 일관됩니다.
• 결정적임 — the 동일한 증거가 안정적으로 the 동일한 결론으로 이어집니다.

드물고 모호하며 영향 범위가 큰 사고부터 시작하지 마십시오. 지루하고 반복적인 사례에서 신뢰를 쌓은 다음 더 어려운 영역으로 확장하십시오.

SOAR의 핵심 동기에 대한 이해도를 테스트해 보십시오.

SOAR가 중요한 이유에 대한 핵심 내용은 다음과 같습니다.

• SOC는 감당하기 어려운 경보량과 분석가의 번아웃에 직면하며, SOAR는 대응에서 반복적인 부분을 자동화합니다.
• SOAR = 오케스트레이션(도구 조율), 자동화(작업 실행), 대응(사고 수명 주기 관리)입니다.
• SOAR는 탐지 도구 위에 위치하여 무슨 일이 일어났는지를 무엇을 할지로 전환합니다.
• 주요 효과는 MTTR 감소, 일관되고 감사 가능한 작업, 체류 시간 감소입니다.
• 되돌릴 수 없는 작업에는 사람을 참여시키고, 스스로 장애를 일으키지 않도록 신뢰도가 높은 경로만 자동화하십시오.