클라우드플레어, 실시간 학습형 봇 탐지 엔진 출시

클라우드플레어(한국 대표 조원균)는 자동화된 사이버 공격에 대응하는 봇 탐지 엔진 ‘어댑티브 인텔리전스(Adaptive Intelligence)’를 출시했다고 2일 밝혔다.

어댑티브 인텔리전스는 기존 ‘클라우드플레어 봇 관리(Cloudflare Bot Management)’에 적용되는 탐지 엔진이다. 정해진 주기에 맞춰 탐지 모델을 업데이트하는 대신 실제 인터넷 트래픽을 바탕으로 기계학습(ML) 모델을 지속적으로 다시 학습한다.

클라우드플레어는 하루 1조건이 넘는 요청에서 자동화 공격과 관련한 신호를 분석한다. 새로운 봇 도구나 기존 탐지를 우회하는 기법이 나타나면 이를 학습 데이터에 반영해 봇을 판별하는 점수에 적용하는 방식이다.

공격자가 여러 인터넷주소(IP)와 기기를 이용해 요청을 분산하는 공격에도 대응한다. 특정 IP에서 짧은 시간 동안 많은 요청이 발생하는지만 보는 대신 여러 시간대의 행동을 함께 분석한다. 이를 통해 적은 요청을 장시간 분산하는 계정정보 재사용 공격(크리덴셜 스터핑)이나 웹 콘텐츠 자동 수집(스크래핑) 등을 탐지한다.

새 탐지 모델을 실제 트래픽에 적용하기 전 오탐 여부를 확인하는 절차도 자동화했다. 새 모델은 기존 모델과 함께 실제 트래픽을 분석하지만 이용자에게 영향을 주지 않는 방식으로 먼저 작동한다. 정상 이용자를 봇으로 잘못 판단하는 비율 등이 기존 모델보다 나빠지면 새 모델을 적용하지 않는다.

클라우드플레어는 어댑티브 인텔리전스에 특정 공격을 겨냥한 단기 탐지 규칙을 자동 생성하고 일정 시간이 지나면 폐기하는 기능도 추가할 계획이다. 공격자가 고정된 탐지 규칙을 반복해서 시험하며 우회 방법을 찾기 어렵게 만들려는 목적이다. 회사에 따르면 31일 먼저 적용된 기능은 ML 모델의 지속적인 재학습이다. 단기 규칙 자동 생성과 실제 고객 트래픽의 피드백을 학습에 반영하는 기능은 이후 순차 적용할 예정이다.

기업용 봇 관리 고객은 관리 화면에서 ‘머신러닝 자동 업데이트(Auto Update Machine Learning)’를 활성화하면 어댑티브 인텔리전스를 적용할 수 있다.

데인 크넥트 클라우드플레어 최고기술책임자(CTO)는 “기존 방어 체계는 공격자가 지속적으로 분석할 수 있는 고정된 표적을 제공한다”며 “어댑티브 인텔리전스는 계속 변하는 표적을 만들어 공격자가 공격 규모를 확대하기 전에 기존 우회 작업을 다시 하도록 하는 것이 목표”라고 말했다.