[보안 따라잡기]내년 보안운영 자동화 플랫폼 뜬다는데…SOAR는 무엇

(자료=이글루시큐리티 제공)

[이데일리 이후섭 기자] 디지털 전환의 가속화로 사이버 위협도 급증하고 있다. 사이버 위협이 갈수록 늘어나고 다양해지면서 기업에서 도입하는 IT 시스템이 늘어나고 수많은 보안 솔루션을 사용하는 등 보안관제 환경은 점점 더 복잡해지고 있다. 보안관제 효율성을 높이고 보안관제센터의 복잡성을 해소하기 위한 해결책으로 보안 오케스트레이션·자동화·대응(SOAR) 기술이 부상하고 있다.

13일 보안 업계에 따르면 국내에서도 지난해부터 은행, 카드사 등 금융권과 인터넷기업, 대기업 등 보안관제센터를 운영하는 곳에서 SOAR 플랫폼을 도입하고 있다.

사이버 위협의 증가로 보안관제에서 탐지하는 이벤트도 기하급수적으로 증가하면서 오탐지가 늘어나고 탐지된 위협에 제대로 대처하는데도 어려움을 겪어왔다. 이에 탐지시간을 단축하고 가시성을 높이는 동시에 탐지부터 대응까지 모든 과정을 자동화하는 요구가 높아지면서 등장한 것이 SOAR 플랫폼이다.

SOAR은 보안관제 절차를 표준화한 `플레이북`을 만들어 자동화된 대응을 수행하고, 위협·보안 상황을 통합해 살펴볼 수 있어 보안관제를 맡는 전문가의 업무 생산성을 향상시킨다. 보안 업계에서는 SOAR을 통해 고도화된 지능형 위협에 보다 기민하게 대응하며, 보안 인력 부족과 인력간 역량의 격차에 따른 문제점을 해결할 수 있을 것으로 기대하고 있다.

SOAR 기술을 효과적으로 도입하기 위해서는 폭넓은 범주의 보안 요소가 뒷받침돼야 한다. △여러 보안 솔루션 간의 워크플로우를 하나의 과정으로 묶어 자동화하는 `보안 오케스트레이션 및 자동화(SOA)` △일관된 결과를 도출할 수 있게 대응 프로세스를 표준화하는 `보안 사고 대응 플랫폼 (SIRP)`, △위협 데이터를 수집하고 상관 분석해 대응 플랫폼에 연계하는 `위협 인텔리전스 플랫폼(TIP)` 등을 갖추고 이들을 결합할 수 있어야 한다.

국내에서는 안랩(053800)이 지난해 3월 출시한 `세피니티 에어(Sefinity AIR 1.0)`이 대표적이다. 세피니티 에어는 보안 담당자의 숙련도에 따른 편차없이 일정한 보안위협대응 역량을 제공할 수 있는 보안 운영 효율화 플랫폼으로, 상황별 대응 절차를 표준화한 플레이북에 기반해 대응을 자동화하고 안랩 및 주요 보안 솔루션과도 연동된다. 세피니티 에어는 최근 한국정보통신기술협회(TTA)로부터 GS인증 1등급을 획득하기도 했다.

또 글로벌 기업 팔로알토네트웍스는 지난 3월 확장형 SOAR 플랫폼 `코어텍스 XSOAR(Cortex™ XSOAR)`를 국내에 선보였다. 해당 제품은 팔로알토네트웍스가 지난해 3월 인수한 데미스토 제품을 고도화한 것으로, 350개 이상의 써드파티 제품에 대한 대응 조치 관련 오케스트레이션이 담긴 플레이북을 통해 수백여개의 보안 사용 사례를 손쉽게 자동화할 수 있다. 또 하나의 케이스 관리 프레임워크 내에서 모든 소스의 경보, 사고 및 지표를 통합해 사고 대응 시간을 단축할 수 있다.

포티넷도 자사의 보안 패브릭 파트너였던 사이버스폰스(CyberSponse)를 인수해 지난해 12월 인수해 주요 솔루션의 자동화 및 사고 대응 기능을 높이고 보안 운영 단순화를 지원하게 했으며, 이글루시큐리티(067920)는 올해에만 수십건의 인공지능(AI)·보안관제 관련 특허를 등록하면서 AI와 SOAR 기술 고도화에 주력하고 있다.