인포시즈 “보안은 처음인데, ML로 위협 찾아냈다”

편명장 머신러닝(ML) 리드 인터뷰

기업의 보안 시스템에는 하루에도 수많은 로그(기록)가 쌓인다. 보안 담당자는 PC와 서버, 네트워크 등에서 발생한 기록을 분석해 실제 위협을 찾아야 한다. 그러나 공격자가 정상적인 업무 행위로 위장하거나 기존 탐지 규칙에 없는 방식으로 침투하면 위협을 발견하기 어렵다. 모든 기록을 대규모언어모델(LLM)에 입력해 분석하는 방법도 비용 문제가 따른다.

온톨로지 기반 기업용 인공지능(AI) 전문기업 인포시즈(대표 탁정수)는 이 문제를 머신러닝(ML) 기술로 풀어냈다. 자체 개발한 그래프 기반 AI 보안 솔루션 ‘고스(GOS·Graph Optimized Security)’를 통해서다. 인포시즈는 최근 GOS를 국내 대기업의 보안 환경에 공급했다. 회사에 따르면, 별도의 탐지 규칙을 추가하지 않고도 검증 대상 위협을 모두 찾아냈으며, 기존 탐지체계에서 경보가 발생하지 않았던 공격 행위도 추가로 식별했다.

이 기술의 개발을 주도한 인물은 편명장 인포시즈 ML 리드다. 그는 보안이 아닌 머신러닝을 전공했다. LG AI연구원에서 AI 모델을 연구하고 개발하는 등 머신러닝 분야에서 경력을 쌓았다.

편 리드는 “저는 보안을 잘 모른다. 이 회사에 와서 처음 접했다”고 말했다. 보안을 전공하지 않은 그가 주목한 것은 새로운 공격 규칙을 만드는 일이 아니라 방대한 데이터에서 평소와 다른 행동을 찾아내는 것이었다.

방대한 보안 로그, ML로 분석 대상부터 줄여

인포시즈는 본래 기업의 AI 전환(AX)을 지원하는 회사다. 여러 업무 시스템에 흩어진 데이터를 연결하고, AI가 데이터의 의미와 업무 맥락을 이해할 수 있도록 만드는 온톨로지 기술을 주력으로 개발해 왔다. 온톨로지는 데이터의 개념과 의미를 정의하고 서로 어떤 관계를 맺는지 체계적으로 정리하는 방법이다. 기업마다 사용하는 용어와 업무 방식이 달라도 AI가 해당 기업의 데이터를 이해하도록 돕는다.

인포시즈는 기업 현장에서 이러한 기술을 적용하는 과정에서 대규모 보안 로그를 분석해야 하는 문제를 접했다. 기업의 보안 장비가 수집하는 데이터는 양이 방대하다. 개별 PC에 설치된 보안 프로그램만 해도 파일 실행과 네트워크 접속 등 다양한 행위를 기록한다. 수많은 임직원이 사용하는 단말기와 서버에서 발생하는 로그를 모두 LLM으로 분석하려면 상당한 비용이 필요하다.

편 리드는 “보안 데이터는 양이 너무 많아서 LLM이 모두 분석하도록 할 수 없었다”며 “LLM이 봐야 하는 것만 추려주는 방법을 고민했다”고 설명했다.

그가 선택한 방법은 머신러닝이었다. 대규모 데이터를 먼저 학습해 평소와 다른 행동을 찾아내고, 추가 분석이 필요한 대상만 LLM에 전달하는 방식이다. 다만 머신러닝을 적용하는 것만으로 충분한 성능을 얻기는 어려웠다. 개별 로그에 나타난 행동만 살펴보면 정상적인 업무로 위장한 공격을 구분하기 어려울 수 있기 때문이다.

편 리드는 인포시즈가 축적한 관계 중심의 데이터 설계 경험을 보안 탐지에 접목했다. 계정과 프로세스, 파일, 접속 기록 등의 연결 관계를 그래프로 구성한 뒤 머신러닝을 적용했다. 그는 “ML을 그냥 쓰는 거는 또 성능이 안 나온다”며 “연결 관계를 함께 고려해서 머신러닝을 적용했기 때문에 성능이 나올 수 있었다”고 설명했다.

온톨로지 방식에 그래프 ML 접목, 정상행위 학습해 이상행위 탐지

GOS의 핵심은 기업의 업무 행위를 그래프 형태로 구성하고, 그래프 머신러닝(Graph ML)으로 정상행위를 학습해 이상행위를 탐지하는 것이다.

예를 들어 직원이 특정 파일을 실행하거나 외부 서버에 접속하는 행동은 정상적인 업무 과정에서도 발생한다. 각 행위만 보면 보안 위협인지 판단하기 어렵다. 하지만 평소 접근하지 않던 파일을 읽은 뒤 특정 프로그램을 실행하고, 해당 프로그램이 외부 서버와 통신했다면 분석이 필요할 수 있다. 행위 자체는 정상으로 보여도 연결된 흐름이 기존 업무 패턴과 다를 수 있기 때문이다.

편 리드는 “개별 사건으로는 이상이 아닌데 연결해서 보면 이상할 수 있다”고 설명했다.

여러 보안 이벤트의 연결 관계를 분석하는 기술 자체는 새로운 개념은 아니다. 기존 확장형 탐지·대응(XDR) 제품들도 여러 경보와 행위를 연결해 공격 흐름을 분석한다. 그래프 머신러닝을 활용한 침입 탐지 역시 이전부터 연구돼 왔다.

인포시즈가 GOS에서 강조하는 부분은 이러한 분석 방식을 실제 기업의 대규모 로그 처리에 적용한 방법이다. 이미 발생한 보안 경보를 연결하는 데서 나아가, 정상적인 업무에서 발생하는 로그까지 활용한다.

GOS는 보안 로그를 읽어 계정과 프로세스, 파일, 접속 등의 관계를 그래프로 구성한다. 이후 각 고객사의 업무 환경에서 발생하는 정상행위를 그래프 ML로 학습한다. 이를 통해 기존 업무 패턴에서 벗어나는 이상행위를 선별하는 방식이다.

고객사마다 업무 환경과 행동 패턴이 다르기 때문에 학습도 각 기업의 데이터를 바탕으로 진행한다. 다만 기업의 업무 규칙을 일일이 온톨로지로 구축해야 하는 것은 아니다. 기존 로그에서 관계를 구성하고 머신러닝을 적용하는 구조다.

인포시즈는 여기에 LLM을 결합했다. 그래프 ML이 대규모 데이터에서 이상행위를 먼저 추려낸 뒤 분석용 LLM인 ‘애널라이저 LLM(Analyzer LLM)’이 해당 행위의 맥락과 실제 위협 가능성을 추가로 검토한다. 이상행위가 반드시 공격을 의미하는 것은 아니기 때문에, 직원이 새로운 업무를 맡으면서 평소 사용하지 않던 시스템에 접속할 수도 있다. 따라서 기존 행동 패턴과 다르다는 사실만으로 공격이라고 단정하기는 어렵다.

편 리드는 “이상 행위와 위협은 다르다”며 “머신러닝이 평소와 다른 행동을 선별하면 LLM이 그 행동의 맥락을 추가로 분석한다”고 했다.

인포시즈는 이 구조를 통해 LLM이 분석해야 하는 대상을 전체 행위 그래프의 0.068% 수준으로 줄였다. 방대한 데이터를 모두 LLM에 입력하지 않고 머신러닝으로 분석 대상을 먼저 선별해 비용을 낮추는 방식이다. 이처럼 GOS는 온톨로지 기술을 개발하면서 축적한 관계 중심의 데이터 설계 경험과 머신러닝을 결합했다. 보안 분야에서 이미 활용해 온 그래프 분석 개념을 실제 대규모 기업 환경에 적용하면서 탐지 성능과 분석 비용을 최적화하는 데 초점을 맞췄다.

대기업에서 성능 검증, 기존에 놓친 위협도 찾아내

인포시즈는 GOS의 탐지 성능을 실제 국내 한 대기업의 엔드포인트 탐지·대응(EDR) 환경에서 검증했다. EDR은 PC나 서버 등의 단말기에서 발생하는 행위를 수집하고 악성코드 감염이나 침입 시도 등을 탐지하는 기술이다. 기업은 EDR에서 수집한 데이터를 활용해 단말기에서 발생하는 위협을 분석한다.

인포시즈에 따르면, 해당 검증에서 GOS는 별도의 탐지 규칙을 등록하지 않고 검증 대상 위협을 모두 탐지했다. 미탐률은 0%를 기록했다. 정상 로그의 99.998%는 후속 분석 대상에서 제외했으며, 기존 탐지체계에서 경보가 발생하지 않았던 공격 행위도 추가로 식별했다.

편 리드는 “시그니처 규칙을 한 개도 추가하지 않았다”라며 “대기업의 보안 담당자 분들도 신기해 했다”고 회상했다. 그는 “GOS는 새로운 공격 규칙을 추가하는 대신 각 기업의 정상적인 업무 행위를 학습해 평소와 다른 행동을 찾아내는 데 초점을 맞췄다”며 “다만 미탐률 0%는 인포시즈가 공개한 특정 검증 환경의 결과다. 모든 기업 환경에서 모든 공격을 탐지한다는 것은 아니여서, 검증 대상의 규모와 구성, 공격 유형 등에 따라 탐지 성능이 달라질 수 있다”고 덧붙였다.

기존 보안 시스템 유지하면서 탐지·분석 기능 고도화

GOS는 기존 보안 시스템을 교체하지 않고도 사용할 수 있게 설계됐다. 기업이 이미 운영 중인 EDR과 보안정보·이벤트관리(SIEM) 시스템 등을 유지하면서 추가하는 방식이다. GOS는 기존 시스템이 수집한 데이터를 그래프 ML로 분석한 뒤 이상행위와 위험도, 관련 행위 등의 정보를 SIEM에 전달한다.

보안 담당자의 조사 업무를 지원하는 기능도 제공한다. GOS는 탐지한 이상행위와 관련된 계정, 프로세스, 파일, 네트워크 접속 등의 관계를 그래프로 시각화한다. 담당자는 이를 통해 어떤 행위가 발생했고, 관련 행동이 어떤 순서로 이어졌는지 살펴볼 수 있다. 분석용 LLM은 탐지한 이상행위의 맥락과 위협 가능성을 설명한다. 보안 담당자가 수많은 로그를 하나씩 확인하는 대신 연관된 행위를 중심으로 사건을 조사하도록 돕는 방식이다.

인포시즈는 앞으로 GOS의 위협 탐지와 조사·분석 기능을 고도화하고, 보안 담당자의 개입을 줄일 수 있도록 분석 자동화 수준을 높일 계획이다. 위협을 자동으로 차단하는 기능은 향후 개발 과제로 남겨뒀다. 사업 측면에서는 대기업에서 확인한 성과를 바탕으로 적용 범위를 넓힐 방침이다. 편 리드는 현재 통신사와 금융사, 보안기업 등을 대상으로 사업 확대를 논의하고 있다고 밝혔다.

인포시즈는 2018년 설립한 온톨로지 기반 기업용 AI 전문기업이다. 기업의 데이터와 업무 지식을 연결하는 ‘액시엄(Axiom)’, 산업 도면의 정보를 그래프로 구조화하는 ‘델타플로우(DELTAflow)’, 그래프 기반 보안 솔루션 ‘GOS’ 등을 개발했다. 지난 4월 IMM인베스트먼트와 한국투자파트너스, 넥스트랜스 등으로부터 130억원 규모의 투자를 유치했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network