보안정보
전문화된 보안 관련 자료, 보안 트렌드를 엿볼 수 있는
차세대 통합보안관리 기업 이글루코퍼레이션 보안정보입니다.
[I² AXIS 시리즈 ①] 경계 보안의 한계, 내부 보안 자동화로 대응하다
2026.06.02
723
클라우드 컴퓨팅, 원격 근무, 개인 기기의 업무 활용(BYOD)의 확산으로 사용자와 장비의 수가 늘어나면서 공격 벡터는 더욱 다양해지고 있다. 네트워크 엣지 장비의 취약점을 통한 내부 침투, ID/패스워드 기반 인증을 노린 자격 증명 탈취 공격이 빈번해지면서 기존 경계 보안 체계에는 균열이 발생하고 있다. 성곽형(Castle-and-Moat) 접근 방식, 즉 외부의 위협으로부터 내부를 보호하는 데 집중하는 경계 보안 모델은 공격자가 내부로 진입한 이후의 Lateral Movement에는 효과적으로 대응하기 어렵다는 점이 있다.
이러한 시스템적 사각지대로 인해 경계 보안이 끝나는 지점부터 발생하는 내부 이상 행위 탐지는 여전히 사람의 판단에 의존하는 경우가 많다. 장비 로그는 쌓이고 있지만, 그 로그가 누구의 행위인지, 그 행위들이 어떤 흐름을 만들고 있는지를 실시간으로 파악하는 것은 생각보다 어려운 문제다.
아이스퀘어 액시스(I² AXIS)는 조직의 보안관제 운영을 위한 SOC 인텔리전스 플랫폼으로, 위협 탐지부터 대응, 가시성 확보까지 하나의 체계 안에서 운영할 수 있도록 구현되었다. 이번에 소개하는 내부 보안 자동화는 그 핵심 서비스 중 하나로, 사용자 행위를 탐지 대상으로 정의하고 탐지부터 대응, 가시성 확보까지 하나의 흐름으로 연결한다. 이 서비스의 구조와 실제 작동 방식을 소개한다.
01. 흩어진 행위를 하나의 위협으로 읽다
탐지 도구가 아무리 정교해도, 그 도구들이 생성하는 로그를 행위 흐름으로 연결하는 것은 별개의 문제다. 비업무시간 SSH 로그인 성공, Open에서 Classified 영역으로의 대용량 데이터 전송, 로그 통제 및 우회 의심 행위는 각각 충분히 설명 가능한 이벤트다. 개별로는 위협으로 판단할 근거가 없다. 그러나 이 세 건이 동일한 출발지 IP에서, 동일한 사용자 계정으로 발생했다는 사실이 확인되는 순간 이야기가 달라진다. 흩어져 있던 로그들이 한 사람의 행위 흐름으로 재구성되고, 위협의 윤곽이 드러난다.
결국 이 지점에서는 탐지 도구 자체보다 어떤 정책을 수립하느냐가 핵심이 된다. 이에 본 서비스는 N2SF 통제항목을 기반으로 사용자 행위 단위의 탐지 정책을 설계하고, 개별 행위가 발생할 때마다 사용자별로 점수를 누적하는 체계를 구현했다. 흩어진 행위들을 하나의 위협 흐름으로 연결하는 것, 그것이 이 서비스가 기존 관제 체계와 구별되는 출발점이다.
02. 이벤트에서 행위 흐름으로, 탐지의 범위를 넓히다
기존 보안 체계에서 EDR과 SIEM은 내부 시스템의 이상을 감지하는 역할을 해왔다. 방화벽, IPS 등 네트워크 보안 장비와의 연동을 통해 내부에서 발생하는 비정상 트래픽이나 비인가 접근 시도도 탐지 대상에 포함된다. 그러나 탐지의 단위가 장비와 이벤트에 머물러 있는 한, 동일한 사용자가 여러 시스템에 걸쳐 남긴 행위 흐름을 하나의 위협으로 포착하기는 어렵다. 내부 보안 자동화는 이 지점에서 탐지 범위를 사용자 단위로 확장하고, 흩어진 행위들을 하나의 위협 시나리오로 연결한다.
이 확장의 기준이 되는 것이 N2SF 보안가이드라인 1.0이다. 2025년 국가정보원(NIS)이 발표한 이 가이드라인은 전산망을 업무 중요도에 따라 공개(Open), 민감(Sensitive), 기밀(Classified) 세 등급으로 분류하고, 각 등급에 차등화된 보안 통제를 적용하는 방향을 제시했다. 정보의 성격에 따라 위협의 수준도, 적용해야 할 통제 수단도 달라진다는 것이 N2SF가 그리는 보안의 방향이다.
I² AXIS 내부 보안 자동화 서비스는 이 등급 체계를 탐지의 기준으로 삼는다. 중요한 것은 영역 자체가 아니라 영역 간의 이동이다. 업무상 필요 없는 사용자가 기밀(C) 등급 영역에 접근하거나, 민감(S) 등급 영역의 데이터가 공개(O) 등급 방향으로 흘러나가는 순간, 그것은 단순한 이동이 아니라 위협의 징후가 된다. O 등급에서 S나 C 등급으로의 무단 접근, 혹은 C 등급에서 외부 방향으로의 데이터 흐름까지 모두 탐지 대상으로 정의된다. 경계 보안이 멈추는 바로 그 지점에서 내부 탐지가 시작된다.
03. 이상 행위를 수치로 정의하다
탐지의 기준은 N2SF 통제 항목을 기반으로 구성된 100여 개의 탐지 정책이다. 방화벽, 서버, NAS, EDR, VPN 등 내부 보안시스템 전반에 적용되며, 각 정책은 사용자의 특정 행위가 발생했을 때 Trigger로 작동한다. 통제 항목은 권한, 인증, 분리 및 격리, 통제, 데이터, 정보자산 등 N2SF가 정의한 6개 보안 영역을 망라하고 있으며, 각 항목은 등급별 보안 수준에 따라 차등 적용된다. 탐지 범위가 장비 단위가 아니라 사용자 단위로 설계되어 있기 때문에, 동일 사용자가 여러 시스템에 걸쳐 남긴 파편화된 흔적들을 하나의 유기적인 흐름으로 포착할 수 있다.
이러한 탐지 정책은 조직의 환경과 운영 방식에 따라 유연하게 조정할 수 있다. 운영자는 통제 항목 관리 화면을 통해 항목명과 점수 기준을 직접 설정할 수 있으며, 이를 통해 획일적인 방식을 벗어나 각 조직의 업무 특성과 보안 정책에 최적화된 탐지 체계를 능동적으로 구성하게 된다.
이렇게 탐지된 행위는 Scoring Database에 정의된 기준에 따라 점수로 환산된다. 각 통제항목에는 위반 행위의 위험도별 가중치가 사전에 설정되어 있으며, 행위의 종류와 발생 영역의 등급, 접근 자산의 중요도 등이 복합적으로 점수에 반영된다. 여기서 핵심은 단일 이벤트의 차단이 아닌 '누적'에 있다. 최초의 이상 행위 탐지 시 점수가 부여된 후, 동일 사용자나 IP를 기준으로 추가 행위가 포착될 때마다 점수가 합산되며 위험 수준이 단계적으로 상승한다. 이러한 누적 구조는 공격자가 탐지를 피하기 위해 행위를 잘게 쪼개어 분산시키는 시나리오에도 효과적인 대응을 가능하게 한다. 개별적으로는 무해해 보이던 행위들이 누적의 관점에서 재구성되는 순간 위협의 실체가 명확히 드러나며, 최종적으로 산출된 누적 점수는 자동 대응을 실행하는 정교한 판단 기준이 된다.
04. 탐지에서 대응까지, 자동으로 이어지다
탐지된 이벤트는 SOAR Playbook을 통해 체계적으로 처리된다. 시스템은 출발지와 목적지 IP의 점수를 각각 조회하고, N2SF 정책 이력, EDR 정보, 그리고 과거 7일간의 행위 이력까지 교차 검증하여 점수 구간별 대응 수위를 결정한다. 특히 최초 탐지 이전부터 축적된 패턴을 판단의 근거로 삼기 때문에, 단발성 이벤트처럼 보이는 행위도 전체 맥락 안에서 위협으로 정확히 식별될 수 있다.
이때 기준이 되는 '7일'이라는 시간 범위는 내부 위협의 고유한 특성을 반영한 것이다. 내부 위협은 단번에 정체를 드러내기보다 수일에 걸쳐 점진적으로 경계를 넓혀가는 방식을 취하기 때문이다. 따라서 파편화된 행위들을 하나의 맥락으로 묶어 그 전체 흐름을 관찰하는 것이 이번 탐지 체계의 핵심이다.
대응 조치 또한 점수 구간에 따라 자동으로 세분화된다. 예를 들어 목적지 점수가 100점 이상인 고위험 상황에서는 네트워크 및 EDR 격리가 즉시 실행되며, 메일 발송과 유선 통보까지 일련의 과정이 중단 없이 처리된다. 즉각적인 격리가 불필요한 구간에서는 메일 권고와 사용자 확인 절차가 진행되며, 모든 처리 결과는 I² AXIS에 자동 기록된다. 대응 수위의 차이는 있으나, 어떤 구간에서도 '사람의 개입을 기다리지 않는다'는 원칙은 동일하게 적용된다.
이러한 플레이북 자동화가 가져오는 가장 실질적인 변화는 대응의 일관성 확보에 있다. 보안 담당자의 경험이나 숙련도에 따라 동일한 위협이 다르게 처리되거나, 공백 시간에 대응이 지연되는 상황은 조직 보안 체계의 취약한 고리다. 플레이북은 이러한 인적 변수를 근본적으로 제거한다. 기준치를 초과한 이벤트는 야간이나 주말에 관계없이 정의된 절차에 따라 즉각 처리되며, 그 과정은 투명한 이력으로 남는다. 이처럼 탐지와 대응 사이의 공백을 최소화하는 것이 이 체계가 조직의 내부 보안 수준을 실직적으로 끌어올리는 방식이다.
05. 탐지와 대응, 그리고 설명할 수 있는 보안
모든 탐지와 대응의 결과는 I² AXIS에 기록된다. 내부 보안시스템 전반에서 발생한 이벤트가 실시간으로 수집되고, 출발지 IP, 사용자, 누적 점수, 경보 등급이 한 화면에서 확인된다. 보안관제 담당자는 수집된 이벤트를 검토하고 티켓 처리를 진행하며, 네트워크 격리, 방화벽 차단, 소명 완료 여부 등 모든 조치 내역은 단계별 이력으로 투명하게 관리된다.
기존 보안 관제가 이벤트 단위의 대응에 머물렀다면, 사용자 점수 현황은 그 시선을 사람 중심의 연속적인 흐름으로 확장한다. 단일 이벤트만으로는 위협의 징후가 불분명할 수 있으나, 동일 사용자가 수일에 걸쳐 점진적으로 점수를 쌓아가는 행위는 그 자체로 명확한 공격 패턴이 되기 때문이다. 운영자는 고객사, 조회 기간, 사용자 등을 필터로 설정하여 IP별 위협 점수를 누적 집계할 수 있으며, 이를 통해 총점과 당일 점수, 전일 대비 증감 추이를 직관적으로 파악할 수 있다.
위협이 고도화될수록 단순한 탐지 사실만으로는 충분하지 않다. 위협의 원인과 경로, 그리고 판단의 근거가 되는 전체 흐름을 데이터로 증명할 수 있을 때, 보안은 비로소 담당자 개인의 직관을 넘어 조직 전체가 신뢰하고 공유할 수 있는 '체계'가 된다. 장비가 아닌 사람을 추적하고, 단발성 이벤트가 아닌 유기적인 흐름을 파악하며, 모든 대응의 근거를 객관적 데이터로 기록한다.
이러한 보안 논리는 '탐지 보고서'를 통해 하나의 완성된 문서로 집약된다. 보고서에서는 사용자의 특정 행위가 어떤 경위로 위협으로 간주되었는지, 그리고 누적 점수가 어떤 세부 행위들로 구성되었는지를 상세히 확인할 수 있다. 이는 단순한 처리 결과를 넘어 위협이 형성된 전 과정을 데이터로 재구성하는 작업이다. 이를 통해 사고 발생 시에도 '언제, 누가, 무엇을, 어떤 순서로 수행했는지'에 대한 명확한 근거를 바탕으로 조직 내 소통과 소명을 원활하게 지원한다.
나아가 내부 위협에 대한 이러한 통찰은 외부 위협 데이터와 결합될 때 더욱 유기적인 대응 체계로 진화한다. I² AXIS는 공격 표면 관리(ASM) 및 위협 인텔리전스(TI) 기능을 제공하며, SPiDER ExD(SIEM)와 SPiDER SOAR 등 이글루코퍼레이션의 보안 플랫폼과 유기적으로 연동된다. 각 서비스는 긴밀히 연결되어, 조직은 필요에 따라 기능을 유연하게 결합하여 일관된 탐지 및 대응 체계를 유지할 수 있다. 이와 같은 연동 구조를 바탕으로 I² AXIS는 궁극적으로 '자율형 보안 운영 센터(Autonomous SOC)' 실현을 목표로 그 영역을 지속적으로 확장해 나가고 있다.
