카스퍼스키, 악성코드 유전자 잡는 TI로 ‘네이티브 XDR’ 승부수
[인터뷰] 이효은 카스퍼스키 한국 대표
독자적 ‘위협 귀속 엔진‘으로 공격 그룹 추적…XDR의 핵심은 초고도화된 ‘TI’
인공지능(AI)이 공격자의 손에 더 깊이 스며들면서 현대의 사이버전은 예측하기 어려운 속도로 변하고 있다. 폐쇄망으로 여겨지던 운영기술(OT) 영역까지 공격이 번지고, 지능형지속위협(APT) 그룹은 오랜 잠복 끝에 산업·금융·정부 인프라를 노린다.
카스퍼스키는 이런 변화 속에서 빠르게 사이버 위협의 징후를 포착하는 대표 글로벌 보안 기업 중 하나다. 1997년 설립 이후 ‘글로벌 위협 리서치 팀(GReAT)’을 포함한 5개 전문 센터를 중심으로 매일 40만개 이상의 신규 악성코드를 탐지하며 위협 분석과 대응 지형을 기록해 왔다.
바이라인네트워크와 만난 이효은 카스퍼스키 한국 대표는 “공격은 더 빨라지고 더 조용해지고 더 모호해졌다”며 “이제는 단일 제품이 아닌, 고도화된 위협 인텔리전스(Threat Intelligence, TI)를 중심에 둔 통합 대응이 필요한 시점”이라고 강조했다.
OT로 번지는 공격, AI가 만든 새로운 그림자
카스퍼스키가 꼽은 올해의 가장 큰 위협 트렌드는 국가 기반의 OT 영역으로의 공격 확장이다. 과거 정부, 금융, 통신에 집중됐던 지능형 지속 위협(APT)이 이제는 제조, 에너지, 건설 등 사회 기반 시설로 넓어지고 있다.
강민석 카스퍼스키 기술이사는 “OT망은 기밀성보다 가용성이 최우선이라, 공장이 멈추는 것을 막기 위해 보안 패치를 하지 않거나 윈도우 XP 같은 노후된 운영체제(OS)를 그대로 쓰는 경우가 많다”며 “공격자 입장에선 뚫기는 쉬운데 멈추면 돈이 되는 가성비 좋은 타깃”이라고 설명했다.
IT와 OT의 경계가 희미해지면서 공격 표면은 더 넓어졌다. 강 이사는 “통신사망 역시 거대한 OT의 성격을 띠고 있는데, 최고정보보호책임자(CISO)가 정보기술(IT)망은 관리해도 OT망까지는 관할하지 못하는 사각지대가 존재한다”고 지적했다.
여기에 생성형 AI가 더해지면서 공격은 더욱 교묘해졌다. 강 이사는 “과거 스피어 피싱 메일이 어색한 번역투였다면, 지금은 AI를 이용해 원어민 수준의 자연스러운 문장으로 접근한다”며 “심지어 악성코드 변종을 AI로 빠르게 찍어내면서, 코드에 남던 개발자의 고유한 흔적(DNA)마저 희석되고 있다”고 우려했다.
라자루스·블루노로프…‘AI 무기화한 APT 그룹 등장’
카스퍼스키는 매년 전 세계 APT 지형을 분석한다. 올해도 라자루스(Lazarus), 김수키(Kimsuky), 블루노로프(BlueNoroff) 등 북한 연계 조직이 가장 활발한 위협 행위자로 꼽혔다.
특히 강 이사는 ‘블루노로프’ 그룹의 최근 행보에 주목했다. 그는 “최근 호주와 인도 등을 타깃으로 한 캠페인을 분석한 결과, 이들이 초기 접근부터 악성코드 제작까지 공격 전 단계에 걸쳐 AI를 적극적으로 활용하는 정황이 포착됐다”고 밝혔다.
이어 “예를 들어 ‘고스트 하이어(GhostHire)’ 같은 캠페인은 채용을 미끼로 접근하는데, AI를 활용해 프랑스어 등 비영어권 언어까지 유창하게 구사하며 피해자를 속인다. 국가 배후 공격 그룹이 자금력과 기술력을 갖추면서 공격의 기술 장벽이 사라지고 있는 것”이라고 설명했다.
카스퍼스키의 분석력, ‘악성코드 유전자’까지 잡아낸다
공격자가 AI를 활용할수록, 방어하는 쪽은 더 깊은 곳을 봐야 한다. 카스퍼스키가 내세우는 핵심 경쟁력은 바로 ‘위협 귀속 엔진(Threat Attribution Engine)’이다. 카스퍼스키는 전 세계 4억명 이상의 사용자와 22만여개 기업 고객으로부터 수집한 위협 데이터를 분석해 일종의 ‘악성코드 유전자 게놈 지도’를 완성했다.
이효은 대표는 “파일 하나를 분석할 때 거기서 약 8000개 이상의 유전자 조각을 추출해 데이터베이스와 대조한다”며 “이를 통해 해당 악성코드가 ‘라자루스’ 계열인지, 과거 어떤 공격 캠페인과 연관되어 있는지, 변종은 무엇인지 수초 안에 파악할 수 있다”고 설명했다.
단순히 악성 여부를 가리는 것을 넘어, 공격의 배후와 의도를 파악해야만 선제적인 대응책을 수립할 수 있다는 논리다.
XDR의 완성은 결국 ‘고도화된 위협 인텔리전스’
이러한 TI 역량은 카스퍼스키가 그리는 ‘확장형 탐지 대응(XDR)’ 전략의 근간이 된다. XDR은 원래 엔드포인트, 네트워크, 이메일·클라우드 등 여러 보안 영역에서 발생하는 이벤트를 하나의 플랫폼에서 통합 분석해, 알려진 위협뿐 아니라 ‘행위 기반의 이상 징후’까지 탐지하기 위한 아키텍처로 출발했다.
가트너는 XDR을 ‘복수의 보안 영역에서 데이터를 수집·상관 분석해 탐지 정확도를 높이고 대응 자동화를 구현하는 통합 분석 플랫폼’으로 정의한다. 단순히 로그를 모으는 기능이 아니라, 분석·상관관계·자동화까지 포함한 ‘보안운영의 재구조화’에 가깝다.
하지만 현실적으로 대부분의 XDR은 각 벤더가 보유한 기술 한계에 따라 엔드포인트 중심형, 네트워크 중심형, 애플리케이션 프로그래밍 인터페이스(API) 연결형(오픈 XDR) 등으로 나뉘어 있고, 통합의 깊이에도 큰 차이가 난다. 글로벌 시장 역시 이미 크고 작은 XDR 제품이 포화된 상황이지만, 엔드포인트·네트워크·TI를 모두 자체 기술로 보유한 네이티브 XDR은 극히 드문 편이다.
이효은 대표는 이점을 짚으며 “많은 보안 기업이 XDR을 내세우지만, 엔드포인트 탐지 대응(EDR), 네트워크 탐지 대응(NDR), 그리고 고도화된 TI를 모두 자체 기술로 보유한 ‘네이티브 XDR’ 벤더는 극히 드물다. 각 영역이 유기적으로 연결되어 있지 않으면 탐지 정확도와 대응 속도가 떨어질 수밖에 없다”고 강조했다.
이어 그는 네트워크 중심 XDR의 구조적 한계를 강조했다. 이 대표는 “대부분의 트래픽이 암호화(TLS)된 환경에서는 네트워크 패킷만으로 위협을 들여다보기 어렵다”며 “결국 공격자의 최종 목적지인 엔드포인트에서 프로세스와 행위를 보는 것이 핵심이다. 그래야 TI와 결합한 대응 자동화가 가능하다”고 설명했다.
XDR이 목표로 하는 최종 단계는 경보가 아니라, 행위를 중심으로 위협을 이해하고 초동 대응을 자동화하는 것이다. 이때 TI는 단순한 보조 기능이 아니라 행위의 의미를 해석하는 고도화된 지능의 역할을 한다.
예를 들어, 동일한 프로세스 실행이라도 특정 APT 그룹의 전형적 패턴인지, 특정 URL 접속이 ‘과거 라자루스 캠페인의 C2 서버 패턴’인지, 파일 해시가 변종 악성코드 계열과 어떤 유전자(DNA)를 공유하는지 등 이러한 맥락이 있어야 한다. 그래야 XDR의 상관분석이 실제 위협 판단으로 이어진다.
즉, XDR의 눈이 EDR과 NDR이라면, 그 눈이 본 것을 해석해주는 두뇌가 TI다. TI가 없으면 XDR은 단순 이벤트 집합에 머무르지만, TI가 결합하면 공격자 식별·행위 예측·자동 대응까지 연결되는 구조가 된다.
카스퍼스키는 EDR에서 수집한 행위 정보에 NDR, 이메일 보안, 클라우드 워크로드 보안 데이터를 통합하고, 여기에 자사의 글로벌 TI를 결합해 오탐을 줄이고 분석 정확도를 높이는 전략을 고도화하고 있다.
이 대표는 “한국 기업이 XDR을 논의하기 시작한 지금이 TI의 중요성을 다시 확인해야 할 시점”이라고 말했다.
브랜드 인지도 제고, 한국 시장서 재도약
이 대표는 한국 시장에서의 과제로 ‘브랜드 인지도 확장’을 꼽았다. 이 대표는 “카스퍼스키를 ‘PC용 백신’ 정도로만 기억하는 고객들도 있다”며 “실제로는 EDR, XDR, OT 보안, 클라우드 보안, TI까지 포괄적인 B2B 포트폴리오를 갖추고 있다는 점을 알리는 데 주력하고 있다”고 강조했다.
카스퍼스키는 스위스 투명성 센터를 통해 소스코드와 데이터 처리 과정을 공개하며 고객에 대한 신뢰도를 높이는 한편, 한국인터넷진흥원(KISA) 등 국내 기관 및 수사 당국과도 긴밀히 공조하며 최근 발생한 다양한 사이버 범죄 대응도 지원하고 있다.
이 대표는 “우리가 가장 잘하는 것은 결국 위협을 보는 눈인 TI”라며 “이 독보적인 인텔리전스를 바탕으로 XDR과 OT 보안 시장에서 한국 고객에게 실질적인 가치를 제공하는 파트너가 될 것”이라고 포부를 밝혔다.
카스퍼스키는 1997년 설립된 글로벌 보안 기업로, 전 세계 4억명 이상의 사용자와 22만여개 기업 고객을 보유하고 있다. 악성코드 분석·산업제어시스템(ICS) 보안·AI 기반 연구·사이버 위협 대응 등 5개의 전문 연구센터를 운영하며, 매일 40만개 이상 신규 위협을 탐지하는 글로벌 위협 인텔리전스 기업으로 평가받는다.
글. 바이라인네트워크
<곽중희 기자> god8889@byline.network
