‘태니엄 아틀라스’, 엔드포인트 취약점 탐색부터 패치까지 AI로 한번에

태니엄이 ‘태니엄 아틀라스(Tanium Atlas)’를 통해 기업의 엔드포인트 보안과 정보기술(IT) 운영에 인공지능(AI) 적용을 확대한다. 아틀라스는 실시간 엔드포인트 데이터를 AI가 분석해 사용자의 자연어 질문에 따라 위협을 조사하고 대응 방법까지 제시하는 태니엄의 AI 시스템이다.

김도현 태니엄 시큐리티 솔루션 아키텍트 상무는 15일 진행한 바이라인플러스 웨비나 ‘AI 해커가 움직인다, 지금 보안팀이 알아야 할 것’에서 엔드포인트 보안에 AI가 필요한 이유와 아틀라스의 활용 방식을 소개했다.

태니엄은 보안·정보기술(IT) 운영이 어려워진 배경으로 데이터의 양과 종류, 변화 속도 증가를 꼽았다. 과거에는 관리자가 소수의 기기를 직접 파악할 수 있었지만 네트워크와 클라우드 환경이 확산되면서 기업이 관리해야 할 엔드포인트가 늘었다. 각 기기에서 사용하는 운영체제(OS)와 소프트웨어도 다양해졌다. 보안 담당자가 사용하는 솔루션도 많아졌다. 자산과 취약점, 패치, 소프트웨어 현황을 확인하려면 여러 관리 도구를 오가야 한다.

김 상무는 “운영자는 더 많은 엔드포인트에서 더 많은 이상 신호를 마주하지만 인력으로는 해결할 수 없을 정도로 증가했다”며 “진짜 병목은 데이터 자체가 아니라 사람이 일을 처리할 시간과 역량이 부족해졌다는 점”이라고 말했다.

공격은 빨라지는데 조사에는 시간이 걸린다

태니엄은 AI로 공격 속도가 빨라진 점을 엔드포인트 보안에 AI가 필요한 핵심 이유로 꼽았다.

새로운 취약점이 공개되면 보안 담당자는 먼저 취약점의 내용을 확인해야 한다. 이후 회사에서 영향을 받는 제품과 장비를 찾고 실제 공격 흔적이 있는지 조사한다. 패치가 있다면 시험 적용과 배포 계획까지 세워야 한다. 질문 자체는 단순하다. “우리 회사도 영향을 받았는가”를 확인하면 된다. 하지만 답을 얻으려면 취약점 정보와 자산 현황, 소프트웨어 정보, 침해 흔적 등을 여러 시스템에서 확인해야 한다.

반면 공격자가 취약점을 실제 공격에 활용하는 시간은 짧아지고 있다. 김 상무는 “공격자는 이제 사람의 속도가 아니라 머신 스피드로 움직이고 있다”며 “대응도 AI 기반 인텔리전스로 바뀌고 있다”고 말했다.

이에 태니엄은 공격 속도와 사람이 조사하는 속도 사이의 간극을 실시간 엔드포인트 데이터와 AI로 줄이는 전략을 세웠다. 아틀라스는 태니엄이 확보한 엔드포인트 데이터를 바탕으로 사용자의 자연어 질문을 분석한다. 필요한 데이터를 찾고 위협을 평가한 뒤 대응 우선순위와 조치 방법을 제안한다.

아틀라스의 핵심 요소는 ▲실시간 데이터 ▲AI 추론 ▲정책 기반 조치다. 먼저 엔드포인트의 현재 상태를 확인한다. AI는 이를 토대로 위협을 평가하고 조사해 대응 우선순위를 정한다. 실제 엔드포인트 환경을 변경하는 작업은 관리자의 승인을 받은 뒤 수행한다.

김 상무는 “AI라고 해서 모두가 자동화되고 관리자의 범위를 벗어나서 알아서 작동하는 방식은 아니다”며 “실제 조치까지 넘어가되 고객의 운영자가 중요한 사안을 최종 승인하는 방식”이라고 설명했다.

자연어 질문 하나로 위협 조사 가능

아틀라스의 작업은 ‘질문→추론→승인→해결’ 순으로 진행된다. 사용자는 별도의 쿼리 문법이나 교육 없이 자연어로 원하는 결과를 요청한다. 아틀라스는 기업 환경을 분석해 결과를 정리한다. 시스템 변경이 필요한 작업에서는 잠시 멈추고 관리자의 승인을 기다린다. 승인 이후 실제 조치와 결과 확인까지 하나의 작업 흐름에서 이어진다.

태니엄은 이날 아틀라스를 활용한 위협 탐지와 대응 과정을 시연했다. 사용자가 “우리 환경에서 의심스러운 활동을 찾아달라”고 입력하자, 아틀라스는 인증정보 수집과 관련된 행위를 분석했다. 이어 해당 행위를 찾기 위한 탐지 조건을 만들고 내부 엔드포인트를 조사했다.

그 결과 아틀라스는 4대의 기기를 긴급 대응 대상으로 식별했다. 각 장비에서 수행할 대응 작업도 함께 제시했다. 실제 대응은 관리자가 내용을 확인하고 승인한 뒤 시작됐다. 핵심은 탐지 기능 자체보다 여러 도구에서 데이터를 따로 찾아야 했던 조사 과정을 하나의 작업 흐름으로 묶는 데 있다.

아틀라스의 활용 범위는 위협 탐지에만 국한되지 않는다. 자산 인벤토리와 소프트웨어 현황, 취약점, 규제 준수, 패치, 소프트웨어 배포 등 엔드포인트 보안과 인프라 운영 업무에 사용할 수 있다는 게 태니엄의 설명이다.

특정 장비에서 성능 문제가 발생하면 관련 데이터를 조사해 원인을 찾고 대응 방안도 제시할 수 있다. 소프트웨어 배포 실패나 패치되지 않은 자산, 업데이트 에이전트 오류, 소프트웨어 라이선스 관리에도 적용할 수 있다.

이날 태니엄은 특정 조사 업무에 사용하는 ‘스킬(Skill)’ 기능도 시연했다. 아틀라스는 의심스러운 파워셸(PowerShell) 실행 기록을 조사한 뒤 결과를 보고서 형태로 정리해 제공했다.

취약점 확인부터 침해 흔적·패치까지

새로운 취약점이 발견됐을 때 기업 내부의 실제 영향을 확인하는 데도 아틀라스를 활용할 수 있다.

먼저 특정 취약점이 무엇인지 아틀라스에 질문한다. 이어 해당 취약점을 이용한 공격이 발생했을 때 엔드포인트에 어떤 흔적이 남는지 확인한다. 이후 사내 단말에 같은 흔적이 있는지 조사하도록 요청하는 식이다.

태니엄이 강조한 것은 취약점이 있는지를 확인하는 데서 조사를 끝내지 않는다는 점이다. 취약점이 실제 공격에 사용됐을 때 나타나는 흔적을 찾고, 사내 엔드포인트에서 같은 흔적이 발견되는지까지 조사한다. 침해 흔적이 없다면 패치 단계로 넘어갈 수 있다.

김 상무는 가상의 취약점 대응 사례도 제시했다. 아틀라스로 취약점 정보를 확인하고 사내 단말에서 공격 흔적을 조사한 뒤 패치가 필요하면 중요도가 낮은 장비를 대상으로 먼저 적용 계획을 세우는 방식이다. 패치 대상과 재부팅 여부 등 주요 조건은 관리자가 확인하고 승인한 뒤 실행한다.

기존에는 이 과정에서 취약점 정보와 자산 관리, 위협 탐지, 패치 관리 등을 위해 여러 콘솔을 확인해야 했다. 태니엄은 이를 하나의 자연어 기반 작업 흐름으로 연결하는 데 아틀라스의 의미가 있다고 설명했다.

아틀라스가 모든 조치를 스스로 결정하는 것은 아니다. AI는 대규모 엔드포인트에서 데이터를 찾고 분석하는 과정을 맡고, 실제 환경을 변경하는 작업은 관리자의 승인을 거친다.

김 상무는 “AI라고 해서 모두가 자동화되고 관리자의 범위를 벗어나서 알아서 작동하는 방식은 아니다”라며 “아틀라스는 질문이 바로 답이 되는 보안 인프라 운영 AI”라고 강조했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network