왜 당신의 UEBA가 작동하지 않는가 (그리고 이를 고치는 방법)

Source: Dev.to

UEBA(사용자·엔터티 행동 분석)는 머신러닝과 분석을 활용해 사용자와 엔터티 행동 패턴을 분석함으로써 위협을 탐지하는 보안 레이어입니다.

예를 들어, 당신이 시카고에 살면서 거의 여행을 하지 않는데 갑자기 이탈리아에 있는 레스토랑에서 결제 내역이 나타난다고 가정해 보세요. 신용카드 회사는 충분한 과거 데이터를 바탕으로 해당 행동을 의심스러운 것으로 판단해 거래를 차단합니다. 이 간단한 예시는 충분한 베이스라인 데이터와 명확히 정의된 규칙이 있을 때 UEBA가 어떻게 작동할 수 있는지를 보여줍니다.

하지만 대부분의 위협은 훨씬 더 미묘합니다. 공격자는 정적이고 규칙 기반인 탐지를 회피하기 위해 지속적으로 진화하고 있어 전통적인 UEBA만으로는 충분하지 않습니다.

전통적인 UEBA의 종말 – 왜 당신의 UEBA가 더 이상 작동하지 않는가

많은 UEBA 도구는 정적 규칙 및 사전 정의된 행동 임계값을 중심으로 구축되었습니다. 예측 가능한 패턴을 잡아내는 데는 유용하지만, 사용자 활동, 애플리케이션, 공격자 전술이 끊임없이 변하는 현대 환경에서는 이러한 접근 방식이 한계에 부딪힙니다.

정적 규칙 기반 UEBA의 주요 한계

• 정적 임계값은 적응하지 않는다 – “X가 Y번 이상 발생하면 경고”와 같은 고정 가정은 행동이 변함에 따라 구식이 됩니다.
• 수동 규칙 튜닝이 필요하다 – 보안 팀은 오탐을 잡거나 규칙을 다시 작성하는 데 시간을 소비하게 되며, 이는 대응 속도를 늦추고 오버헤드를 증가시킵니다.
• 고립된 탐지는 컨텍스트가 부족하다 – 레거시 UEBA는 종종 이벤트를 사일로에서 분석하고, 아이덴티티, 엔드포인트, 네트워크, 애플리케이션 데이터를 연관시키지 않아 미묘한 이상 징후를 포착하기 어렵습니다.

그 결과, 정상 활동에 섞여 있는 정교한 위협이 이러한 시스템을 쉽게 통과하게 됩니다.

현대 기업이 UEBA에서 실제로 필요로 하는 것

현대 UEBA는 세 가지 핵심 역량을 제공해야 합니다:

1. 공격의 즉각적인 탐지 – 위협은 순간적으로 변형될 수 있으므로 보안 레이어는 그 속도를 따라가야 합니다.
2. 매우 정교하고 복합적인 공격 인식 – 단순 규칙 집합만으로는 충분하지 않습니다.
3. 기존 보안 운영과의 원활한 통합 – 인사이트는 이미 사용 중인 도구로 바로 흐르게 해야 합니다.

즉시 공격 탐지 (긴 학습 기간 없이)

전통적인 UEBA는 종종 3~6개월의 학습 기간을 필요로 하여 조직을 위험에 노출시킵니다. 첫날부터 탐지는 first‑seen와 outlier 규칙에 의존해 머신러닝 모델이 성숙하기를 기다리지 않고 즉시 이상 행동을 포착합니다.

대부분의 조직은 이미 필요한 데이터를 보유하고 있습니다: SIEM에 저장된 수년간의 로그. 현대 UEBA는 이 과거 정보를 몇 분 안에 흡수해 행동 베이스라인을 생성할 수 있습니다. 예를 들어, Sumo Logic은 “모든 로그를 수집”하는 접근 방식을 강조하고 강력한 베이스라인을 빠르게 만들 수 있는 도구를 제공합니다.

매우 정교한 공격 탐지

고도화된 공격은 정상 비즈니스 운영에 숨어 있어 연관 규칙만으로는 탐지하기 어렵습니다. 현대 UEBA는 first‑seen 활동, 예를 들어 비정상적인 OneDrive 파일 공유, 새로운 프록시 카테고리 접근, 혹은 과거와 다른 클라우드 서비스 사용 등을 탐지해야 합니다.

• Microsoft Sentinel은 비정형 Azure 아이덴티티 행동을 식별할 수 있어, 침해를 나타낼 수 있는 비정상적인 클라우드 서비스 접근을 감지합니다.
• Sumo Logic은 first‑seen 및 outlier 규칙 기능을 제공해 네트워크 스니핑 도구 사용, 엔드포인트 열거, 이상 이메일 포워딩 등과 같은 활동을 포착합니다.

기존 보안 운영과의 통합

UEBA는 현재 워크플로우에 자연스럽게 녹아들 때 비로소 가치를 발휘합니다. 분석가는 SIEM, SOAR, 아이덴티티 플랫폼, 엔드포인트 도구 등을 활용해 전체 활동을 파악합니다. 효과적인 UEBA는:

• 보안 스택 전체와 직접 통합돼 행동 이상을 로그, 아이덴티티 이벤트, 위협 인텔리전스와 연관시킵니다.
• 통합된 컨텍스트를 제공해 분석가가 콘솔을 전환하지 않고도 더 빠르고 정확한 결정을 내릴 수 있게 합니다.
• 탐지 로직과 임계값을 위험 허용도와 운영 요구에 맞게 조정할 수 있는 유연성을 제공해, 독립적인 시스템이 아니라 보안 워크플로우의 연장선이 됩니다.

AI 보안 에이전트의 기반으로서 UEBA

UEBA가 AI에 의해 대체된 것이 아니라 AI에 데이터를 공급합니다. AI 기반 탐지·응답 솔루션은 깨끗하고 포괄적인 행동 베이스라인을 흡수할 때 최고의 성능을 발휘합니다—즉, 성숙한 UEBA가 제공하는 바로 그 베이스라인 말입니다.

AI 에이전트는 고품질 행동 베이스라인이 필요

AI 보안 에이전트는 GIGO(garbage‑in, garbage‑out) 원칙을 따릅니다. 고품질 행동 데이터를 제공하면 AI가 제대로 작동하지만, 데이터가 부실하면 실패합니다—이는 비즈니스 가치를 제공하지 못하는 AI 파일럿 95 % 통계와 일맥상통합니다.

구조화된 UEBA 규칙은 AI 에이전트에게 전문 지식(예: 일반적인 서비스 계정 S3 연결, 야간 파일 볼륨)을 제공해, AI가 이를 학습하고 규칙 세트를 확장하도록 돕습니다.

AI가 탐지하고, AI가 대응한다

UEBA가 AI에 데이터를 공급하면 보안 워크플로우가 더욱 자동화됩니다:

• First‑seen 규칙이 자동 트리거가 되어, 분석가가 개입하기 전에 에이전트가 몇 초 안에 데이터와 컨텍스트를 수집합니다.
• AI가 위협을 순위화해, 인간의 주의가 가장 편차가 크거나 영향이 큰 사건에 집중되도록 합니다.
• UEBA에서 파생된 엔터티‑관계 맵은 에이전트가 횡 이동 위험을 모델링하고, 호스트 격리·자격 증명 폐기와 같은 대응 조치를 선택하도록 돕습니다.

신뢰할 수 있는 탐지가 확보되면 조직은 자동화된 대응 단계로 나아갈 수 있으며, AI 에이전트가 적절한 조치를 수행하고 분석가는 이를 감독하는 형태가 됩니다.