상당한 시간을 보낸 후 SIEM 업계를 살펴보면서 저는 업계의 지형을 규정하는 패턴과 진화를 목격했습니다. 가장 주목할 만한 변화 중 하나는 전통적이고 획일적인 방식에서 벗어난 것입니다. SIEM 조직이 큰 변화 없이 적응하고 성장할 수 있도록 보다 유연하고 확장 가능한 솔루션으로의 전환.
의 진화 SIEM 스토리지
역사적으로, SIEM ArcSight와 같은 솔루션은 제대로 작동하기 위해 전용 Oracle 데이터베이스가 필요했습니다. 예전에는 Oracle이 설치된 대형 SUN 서버 하나가 로그와 보안 이벤트를 저장하는 데 전용으로 사용되던 시절이 기억납니다. 이러한 수직적 확장이 증가하는 데이터 부하를 관리하는 유일한 방법이었습니다. 그러나 데이터 양이 증가함에 따라 시장에는 수평적 확장을 가능하게 하는 전용 로그 관리 솔루션이 등장하기 시작했습니다.
Splunk, Loglogic, ArcSight Logger는 데이터 스토리지용 최초의 데이터 레이크 레이어를 구축한 선구적인 기업들이었습니다. 이러한 솔루션들은 데이터 스토리지를 중앙 집중화하여 데이터 활용을 가능하게 했습니다. SIEM 데이터 관리의 복잡성보다는 상관관계 및 분석에 집중할 수 있는 플랫폼입니다.
멀티 데이터 플랫폼 시대가 도래했습니다 SIEM
15년이 지난 지금, 우리는 멀티 데이터 플랫폼 시대에 살고 있습니다. SIEM이러한 솔루션들은 데이터 중력의 힘을 인식합니다. 데이터 중력이란 마치 우주의 거대한 물체가 중력으로 다른 물체를 끌어당기는 것처럼, 데이터가 다른 데이터와 애플리케이션을 자신에게 끌어당기는 은유적인 개념입니다.
현대 SIEM 이러한 솔루션은 데이터 중력 개념을 도입하여 기존 시스템을 완전히 교체하는 복잡하고 비용이 많이 드는 방식을 피합니다. 대신, 기존 데이터 레이크에 분석 레이어를 원활하게 추가하는 핵심 가치를 제공합니다. 이 접근 방식은 데이터와 애플리케이션을 원천에 가깝게 유지함으로써 최적의 성능, 스토리지/보존 비용 절감, 그리고 간소화된 데이터 관리를 보장합니다.
자체 데이터 레이크 가져오기(BYODL)
Stellar Cyber가 최근 발표한 "BYODL(Bring Your Own Data Lake)" 지원은 이러한 진화에 있어 중요한 이정표입니다. Splunk, Snowflake, Elastic 또는 AWS와 같은 플랫폼에 데이터 스토리지를 표준화한 조직은 이제 Stellar Cyber의 AI 기반 솔루션을 원활하게 통합할 수 있습니다. Open XDR 기존 시스템을 완전히 교체하지 않고도 이러한 데이터 저장소를 갖춘 플랫폼을 활용할 수 있습니다. Stellar Cyber는 기존 데이터 레이크를 활용하기 위해 최적화된 데이터 수집, 정규화 및 보강과 같은 데이터 사전 처리 과정을 거친 후, 머신 러닝을 통한 자동화된 위협 탐지 또는 상황별 경고 조사에 데이터를 완전히 활용하는 방식을 강조합니다. 이러한 구조화된 접근 방식이 기존 방식보다 분명한 이점을 제공하는 이유는 다음과 같습니다.
최적화된 수집 및 턴키 통합
Stellar Cyber의 분리 배포는 최적화된 데이터 수집 및 필터링으로 시작됩니다. 이를 통해 보안과 관련된 고품질 데이터만 시스템에 입력되어 잡음이 줄어들고 신호 대 잡음비가 향상됩니다. 즉각적인 이점은 다음과 같습니다.
- 향상된 성능 : 프로세스 초기에 관련 없는 데이터를 필터링하면 시스템이 보다 효율적으로 작동하여 다운스트림 프로세스의 부하를 줄일 수 있습니다.
- 향상된 데이터 품질: 깨끗하고 관련성이 높은 데이터만 수집되도록 하면 오탐 가능성이 줄어들고 분석의 정확성이 향상됩니다.
정규화 및 강화
데이터가 수집되면 Stellar Cyber는 이를 정규화하고 강화하여 위협 인텔리전스, 지리적 위치, 사용자 정보 및 취약점 세부 정보와 같은 귀중한 컨텍스트를 추가합니다. 이 단계는 다음과 같은 여러 가지 이유로 필수적입니다.
- 상황화된 데이터: 강화된 데이터는 보안 이벤트에 대한 보다 풍부한 컨텍스트를 제공하므로 잠재적인 위협의 상관관계를 파악하고 분석하기가 더 쉬워집니다.
- 간소화된 분석: 정규화된 데이터를 통해 일관되고 정확한 쿼리가 가능하므로 보안 분석가는 보다 효과적인 조사를 수행할 수 있습니다. 또한 동일한 기계 학습 알고리즘을 원본 형식이 다른 여러 데이터 소스에 적용할 수 있습니다.
탐지 및 분석
Stellar Cyber의 접근 방식은 탐지 및 분석 도구를 위해 깨끗하고 풍부한 데이터의 사용을 극대화합니다. 이 통합은 다음을 제공합니다.
- 즉시 사용 가능한 분석: 머신 러닝으로 구동되는 즉시 사용 가능한 분석 도구는 구조화된 데이터를 신속하게 검색하고 분석하여 신속한 위협 탐지 및 대응을 가능하게 합니다.
- 복잡성 감소: 표준화된 데이터 형식을 사용하면 데이터 레이크와 분석 도구 간의 통합이 간단해지며 맞춤형 통합 및 임시 솔루션의 필요성이 줄어듭니다.
비용 효율성을 위한 유연한 데이터 관리
Stellar Cyber의 유연한 데이터 관리 접근 방식을 통해 조직은 경고만 보낼지, 아니면 정규화되고 강화된 모든 이벤트를 제3자 데이터 레이크에 보낼지 결정할 수 있습니다. 이러한 유연성은 특히 Splunk와 같이 비용이 많이 드는 타사 데이터 레이크의 소비를 최적화하는 데 필수적입니다. 주요 이점은 다음과 같습니다.
- 비용 효율성 : 고품질의 유용한 데이터만 선택적으로 저장함으로써 조직은 불필요한 데이터 저장 비용을 크게 줄일 수 있습니다. 이를 통해 스토리지 투자가 최적화되어 관련 없는 방대한 양의 데이터를 유지 관리하는 데 드는 비용을 피할 수 있습니다.
- 향상된 데이터 품질: 정규화되고 강화된 데이터만 저장하면 데이터 레이크에 높은 무결성과 가치 있는 정보가 포함됩니다. 이를 통해 쿼리 및 데이터 검색의 효율성이 향상되어 의미 있는 통찰력을 더 쉽게 추출하고 전반적인 데이터 분석 기능이 향상됩니다.
향상된 맞춤형 애플리케이션
데이터 레이크의 구조화되고 강화된 데이터는 보안 데이터에 대한 액세스가 필요할 수 있는 맞춤형 애플리케이션에도 도움이 됩니다. 주요 이점은 다음과 같습니다.
- 최적화된 위협 사냥: 컨텍스트가 포함된 고품질의 표준화된 데이터는 관련 정보를 쿼리하고 검색하는 프로세스를 단순화합니다.
- 더 나은 보고: 보고와 같은 맞춤형 애플리케이션이 깨끗하고 풍부한 데이터를 수신하도록 하면 성능과 정확성이 향상되어 전반적인 보안 결과가 향상됩니다.
전통적인 방법과의 비교
반면, 전통적인 하이브리드 SIEM 배포 과정에서 종종 상당한 어려움에 직면합니다.
- 임시 통합: 원시 데이터를 탐지 및 분석 도구와 통합하려면 맞춤형 임시 솔루션이 필요한 경우가 많아 복잡성과 운영 오버헤드가 증가합니다.
- 특수 제작된 탐지: 정규화되고 강화된 데이터가 없으면 기계 학습을 통해 효과적인 탐지 규칙과 분석을 생성하는 것이 더욱 어려워지고 전문화된 맞춤형 솔루션이 필요합니다.
- 원시 데이터 문제: 원시 데이터 레이크를 탐지 도구와 직접 통합하면 데이터에 필요한 컨텍스트와 정규화가 부족하므로 비효율성과 부정확성이 발생할 수 있습니다.
맺음말
Stellar Cyber는 BYODL(Bring Your Own Data Link) 방식을 통해 데이터 소비 및 저장 전에 데이터를 처리하고 분석하는 체계적인 접근 방식을 제공하여 성능, 정확성 및 운영 효율성 측면에서 분명한 이점을 제공합니다. Stellar Cyber를 통해 조직은 보안 태세를 크게 강화하고 프로세스를 간소화할 수 있습니다. SIEM 통합 데이터 저장소를 활용한 운영은 데이터가 저장되기 전 또는 머신 러닝을 통한 탐지 및 분석 후 정제, 정규화 및 보강되도록 보장함으로써 효율성을 높입니다. 이 방법은 복잡성과 비용을 줄이고 보안 데이터에서 얻을 수 있는 가치를 극대화하여 효과적인 위협 탐지 및 대응을 위한 견고한 기반을 제공합니다.
이러한 구조화된 접근 방식을 채택하면 보안 운영을 최적화하고 데이터 레이크의 잠재력을 최대한 활용하려는 조직에 획기적인 변화가 될 수 있습니다.
핫 테이크:
- 깨끗한 데이터가 왕입니다: 당신의 품질 SIEM'의 출력은 수집하는 데이터의 품질에 정비례합니다. 정확한 위협 탐지와 효율적인 운영을 위해서는 데이터 레이크가 탐지 및 분석 도구에 도달하기 전에 깨끗하고 풍부한 정보를 담고 있는지 확인하는 것이 매우 중요합니다.
- 원활한 통합으로 복잡성 감소: 데이터를 정규화하는 구조화된 접근 방식은 데이터 레이크와 분석 도구 간의 원활한 통합을 보장합니다. 이를 통해 맞춤형 임시 솔루션의 필요성이 줄어들고 운영이 간소화됩니다.
- 문제 없는 확장성: 통합 데이터 레이크 접근 방식에서 구조화된 데이터를 활용하면 기존의 전면적인 시스템 교체 방식과 관련된 복잡성과 비용 없이 수평 확장이 가능합니다. 이를 통해 귀사는 다음과 같은 이점을 누릴 수 있습니다. SIEM 이 솔루션은 조직의 요구 사항에 맞춰 확장될 수 있습니다.
생각을 폐쇄
유연성을 통해 보안 수준을 한 단계 높일 준비가 되셨습니까? SIEM 해결책이 필요하신가요? 저희 전문가 팀이 다양한 옵션을 안내해 드리고, 고객님께 맞는 최적의 구축 전략을 수립해 드립니다. 지금 바로 문의하시거나 맞춤 상담을 예약하세요. 고객님의 보안을 탄력적이고 유연하며 어떤 상황에도 대비할 수 있도록 만들어 드리겠습니다.
자체 데이터 레이크 가져오기에 대해 자세히 알아보려면 다음을 읽어보세요. 컴패니언 블로그 or 스텔라 사이버에 문의하세요 플랫폼에서 전문가와 개인 상담을 설정합니다.
