XNUMX 부 : 사이버 건강 및 사이버 위협 사냥에 대한 이해
제프: 클라우드 엑스포에 오신 것을 환영합니다. 사이버 위협 탐지란 무엇인지 설명해 주시겠습니까?
스네할: 제프, 초대해 주셔서 감사합니다. 먼저 사이버 위협이란 무엇인지부터 이야기해 보겠습니다. 누군가가 여러분의 중요한 디지털 시스템에 침입하여 데이터를 탈취하려는 시도입니다. 사이버 위협은 크게 세 가지 유형으로 나눌 수 있습니다.
- 위협은 해커 국가의 IP 주소 일 수 있으며 해당 트래픽은 위반의 신호입니다.
- 위협은 누군가가 귀하의 이메일 시스템에 침입하여 신원을 도용하는 것일 수 있습니다. 이제 다른 시스템에 더 많이 액세스 할 수 있습니다.
- 위협은 중요한 서버에서 데이터를 제거하는 사람 일 수 있으며 이제는 랜섬웨어 문제가 있습니다.
제프: 그러니까 사이버 위협 탐지란 매우 복잡한 공격을 감지하고 실제 피해가 발생하기 전에 차단하는 활동이라는 말씀이시죠?
SNEHAL : Jeff를 수정하고 위협 사냥에는 SIEM 로그. 네트워크 트래픽, 행동 분석 및 애플리케이션 인식이 필요합니다. 다양한 도구를 통해 데이터를 상호 연관시킴으로써 모든 IT 인프라에 걸쳐 복잡한 공격을 사전에 파악하고 종합할 수 있습니다. SIEMs만이 이러한 포괄적인 가시성을 갖고 있지 않습니다. 우리는 인공지능(AI)이 더 많은 기업들이 첨단 기술을 활용할 수 있도록 지원하는 핵심 동력이라고 생각합니다. SOC 해결책을 제시합니다. 컴퓨터는 패턴을 파악하는 데 능숙하며, 머신 러닝은 이를 돕는 한 가지 방법입니다. SOC 팀 규모를 확장하여 전략적인 업무에 집중할 수 있도록 합니다.
제프: 홍콩에서 AI가 뜨거운 화두인 것 같군요. 기술적인 이야기를 좀 더 자세히 나누기 전에, 위협 탐지 서비스를 받기 전에 고객들이 겪었던 일반적인 어려움에 대해 말씀해 주시겠습니까?
스네할: 모든 적절한 도구를 갖추고 있음에도 불구하고, 많은 고객들이 성공보다는 실패 사례를 공유했습니다. 그 이유를 파악하기 위해 최근 ESG(Enterprise Strategy Group)와 협력하여 아시아 지역 고객들이 직면한 과제를 분석했습니다. 주요 결론을 살펴보겠습니다. 첫째, 위협이 증가하고 있습니다. 응답자의 70% 이상이 시간이 지남에 따라 더욱 복잡한 공격이 발생할 것으로 예상하지만, 어떻게 대처해야 할지는 여전히 확신하지 못하고 있습니다.
제프: 홍콩에서도 비슷한 어려움을 겪고 있습니다. 실제로 최근 개정된 금융감독원의 정책 매뉴얼에서는 위협 및 취약성 관리의 중요성과 체계적인 모니터링 프로세스의 필요성을 강조하고 있습니다.
SNEHAL : 두 번째 결과는 너무 많은 데이터가 유입되는 것에 대한 우려를 보여줍니다. SOC하지만 이렇게 하면 정작 중요한 데이터를 놓치거나, IT 인프라에 대한 정확한 정보를 제공하지 않는 로그를 뒤지는 데 많은 시간을 허비하기 쉽습니다.
제프: 그래서 홍콩의 보안 전문가 채용 시장이 그토록 경쟁이 치열한 이유가 바로 이거죠. 다들 엄청난 양의 데이터를 검색하기 위해 쿼리를 작성하느라 정신이 없거든요.
SNEHAL : 제프, 공유해 주셔서 감사합니다. 일리가 있네요. 마지막으로, 원격 근무가 보편화되고 인프라의 많은 부분이 온프레미스와 퍼블릭 클라우드 모두에 구축된 상황에서도 70% 이상의 고객이 여전히 사각지대가 있다고 생각한다고 합니다. 다시 한번 말씀드리지만, SIEMs만으로는 위협을 파악하는 데 도움이 되지 않을 것입니다.
제프: 새로운 시대에는 이기종 환경 전반에 걸친 확장성과 상호 운용성이 필수적입니다. 이제 보안 팀에 새로운 아이디어가 필요한 이유를 이해하고, 그에 대한 해결책을 살펴보겠습니다.
스네할: 오늘날의 해커들은 전통적인 방식으로 공격하지 않습니다. 이것이 핵심입니다. 경계선 접근 방식으로는 더 이상 안전을 확보할 수 없습니다. 이제 그들은 눈에 잘 띄지 않는 자산에 접근하여 더 중요한 시스템에 대한 정보를 수집하기 시작하고, 그 다음에는 더 가치 있는 정보를 노립니다.
제프: 슬라이드에 있는 예시를 설명해 주시겠어요?
SNHEAL: 네, 예를 들어 CEO를 중요 인물로 지정했는데, 그 사람이 도쿄에서 로그인한 후 두 시간 뒤 호주 시드니에서 로그인한 것을 확인했다고 가정해 봅시다. 이는 명백히 불가능한 이동 상황인데도 로그인이 유효했습니다. 그리고 그 사람이 명령어를 사용하여 애플리케이션에 접속하는 것을 확인했는데, 예를 들어 SSL을 사용하여 SQL 서버의 데이터에 접근하는 것입니다.
제프: CEO가 왜 SSL을 사용하고 SQL 데이터를 찾으려고 할까요? 뭔가 매우 의심스럽지만, 기존 도구와 데이터를 통해 파악할 수 있는 모든 것을 고려했을 때 세 가지 행동 모두 여전히 타당해 보이죠?
SNHEAL : 정확히 Jeff는 Threat Hunting에 정말로 필요한 것이 무엇인지 요약하면 모든 도구와 피드를한데 모아 AI로 처리하여 올바른 데이터를 찾기 위해 특별히 제작 된 패턴을 찾는 데 도움을줍니다. 우리는이 전화 열다-XDR 확장된 탐지 및 대응 어떤 시스템, 도구 또는 데이터 피드와도 통합할 수 있는 기능을 갖추고 있습니다. 마치 우리가 방화벽을 강화했던 것처럼 말입니다. SIEM그러므로 우리가 구축하는 방식을 재고할 때입니다. SOC. 도구 모음 -또는- 지능형 플랫폼이 핵심입니다.
제프: 제가 이해한 바로는, 핵심은 바로 '더 나은 가시성'을 확보하는 것이죠! AI를 활용해서 정확한 데이터를 얻고, 복잡한 공격을 더욱 효율적으로 파악하는 겁니다.
스네할: 제프, 말씀하신 대로입니다.
제프: 그럼 가시성과 AI라는 개념을 좀 더 자세히 살펴보죠.
SNEHAL : 물론 Jeff, 이것이 우리가 생각하는 방식의 기초입니다. 우리는 우리의 생각을 공유하게되어 기쁩니다. 먼저 왼쪽에서 보시는 것처럼 전통적인 방식이 있습니다. SOC 다양한 도구를 보유하고 있습니다. 이 도구들은 모두 각자의 특정 분야에서 뛰어난 성능을 발휘합니다. 예를 들어, SIEM 로그의 경우, UEBA 행동 분석에는 NTA를, 네트워크 트래픽 분석에는 NTA를 사용합니다. 이제 우리가 발견 한 문제는 이러한 도구와 복잡한 공격에 대해 알려주고 놓치고있는 중요한 탐지 사이에 여전히 사각 지대가 있다는 것입니다. 이러한 도구 중 일부가 기계 학습을 사용하는 경우에도 사각 지대는 응집력있는 접근을 방해합니다.
제프: 말씀하신 내용이 일리가 있네요. 고객들이 이러한 격차를 해소하고 정보와 포괄적인 가시성을 확보하기 위해 어떤 노력을 기울여야 할지 의견을 듣고 싶습니다.
스네할: 맞습니다. 오른쪽에 있는 것처럼 모든 도구를 통합하는 한 가지 방법은 플랫폼을 활용하는 것입니다. 현재 인프라 위에 구축되는 개방형 시스템을 사용하여 복잡한 공격을 분석하고 조합하는 데 도움을 줄 수 있습니다. 이제 모든 데이터가 수집 시 정규화되는 단일 데이터 레이크가 존재하며, 분석 속도가 훨씬 빨라졌습니다. 또한 AI를 통해 빅데이터 트렌드를 적용하여 단기 및 장기 추세를 파악할 수 있습니다. 요약하자면, 모든 탐지, 모든 데이터, 모든 소스, 로그, 트래픽, 클라우드, 네트워크, 엔드포인트, 사용자 및 애플리케이션에 대한 가시성을 시각화, 분석 및 대응할 수 있는 단일 통합 환경을 제공합니다.
제프: 스네할, 고마워요. 이제 제품이 실제로 어떻게 작동하는지 볼 시간인 것 같네요! 실제 사용 사례를 살펴볼까요? 간단한 데모를 보여주시겠어요?
스네할: 네, 제프. 지금 바로 위협 탐지를 시작해서 4가지 핵심 단계를 통해 해킹된 장치를 탐지하고 공격을 차단하는 방법을 보여드리겠습니다. 첫 번째로 , 방금 감염된 서버를 발견했습니다. 이 서버는 해킹당했습니다.
제프: 바로 그 점을 짚어주셨네요. 대시보드가 사용하기 쉬워 보입니다.
스네할: 제프, 감사합니다. 고객들도 동의하며 교육이 몇 주가 아닌 며칠 만에 끝난다고 말씀하십니다. 이제 두 번째 단계 를 보여드리겠습니다 . 읽을 수 있는 JSON 형식인 인터플로우 기록을 열어보겠습니다. 이제 그들이 어떻게 이 서버를 해킹했는지 확인할 수 있습니다.
제프: 한 파일에 너무 많은 세부 정보가 담겨 있는 것 같네요. 많은 고객들이 사건에 대한 전체적인 상황을 파악하려면 여러 도구를 사용해야 한다고 불평합니다.
스네할: 제프, 감사합니다. 맞습니다. AI가 각 이벤트를 어떻게 처리했는지도 포함되어 있어서 실행 가능한 기록을 확인할 수 있습니다. 이제 세 번째 단계로 넘어가서, 해당 기기의 트래픽 전송을 차단하겠습니다. 위협 탐지 라이브러리를 사용하여 포트를 닫는 응답을 트리거했습니다.
JEFF : 통합 플랫폼의 강력한 기능을 확인할 수 있었습니다. 몇 번의 클릭만으로 신속하게 조치를 취할 수 있다는 점이 인상적이었습니다. 바로 이러한 점이 기업들이 효율적인 운영을 할 수 있도록 지원하는 확실한 방법입니다. SOC 더 쉬워요!
SNEHAL : 맞습니다. Jeff는 고객이 생산성을 크게 향상 시켰다고 말합니다. 많은 경우 수십 배 —AI의 힘을 보여주는 가장 좋은 방법입니다.. 이제이 위협 사냥 사용 사례를 네번째 마지막 단계는 앞서 설명한 것처럼 서버가 현재 다른 장치를 감염시키는 지 확인하는 것입니다. 이것은 해커가 사용자 환경의 다른 장치를 감염시키는 일반적인 방법입니다.
이제 다른 많은 장치에주의가 필요합니다.
제프: 스네할, 고마워. 네가 정말 많은 일을 해냈다는 게 느껴져. 게다가 간단하기도 하고 몇 분밖에 안 걸렸어.
제프: 스네할, 이제 마무리할 시간인 것 같은데, 오늘 논의 내용을 요약해 주시겠어요?
SNEHAL : 물론 제프, 제가 말할 수있는 가장 중요한 것은 해커들이 새로운 접근 방식을 사용하고 있다는 것입니다. 고객은이를 방지하기 위해 새로운 도구를 찾아야합니다. 그리고 격리 된 도구 대신 도구를 하나로 묶는 플랫폼의 관점에서 생각하십시오. 이제 올바른 데이터를보고, 더 많이 알고, 더 빠르게 대응할 수있는 더 나은 방법이 있습니다. 우리는 고객이 폐쇄 된 시스템에 지쳤다 고 생각하고 공급 업체 종속에 불만을 느낍니다. 시스템은 개방되어야합니다. 또한 새로운 아이디어는 기존의 모든 도구와 데이터 피드를 사용하고 활용하여 더 나은 작업을 수행해야한다고 생각합니다. AI의 힘을 통해.
다음으로 스크립트가 아닌 앱에 대해 생각하십시오. 분석가가 더 빨리 움직이고 채용 할 수있는 인재를 확대하는 데 도움이되는 사전 구축 된 플레이 북 애플리케이션 라이브러리를 보유하십시오.
제프: 스네할, 감사합니다. 이번 세션의 목표는 고객/의뢰인이 이미 신뢰하는 도구와 데이터를 기반으로 의미 있는 새로운 탐지 결과를 확인할 수 있도록 하는 것입니다. 홍콩 시장에서 이러한 접근 방식이 호응할 것이라고 생각합니다!
