SOAR란 무엇이며, 기관은 사이버 보안 활동에 이를 어떻게 활용할 수 있을까요?

F5 에코시스템 | 2020년 10월 07일

Gartner에 따르면, SOAR는 “조직이 보안 운영 팀에서 모니터링하는 입력 정보를 수집할 수 있도록 지원하는 기술…SOAR 도구를 통해 조직은 인시던트 분석 및 대응 절차를 디지털 워크플로 형식으로 정의할 수 있습니다.”*

그렇다면 SOAR란 정확히 무엇일까요? 위협을 완화하고 분석을 수행하기 위해 함께 작동하는 전지전능한 기술 모음, 즉 사이버 공격을 방지하는 현실판 터미네이터의 스카이넷 같은 기술일까요? 특정한 유형의 ‘SOAR 소프트웨어’가 있는 걸까요? 아니면 사이버 보안에 권장되는 접근 방식을 제시하는 프레임워크일까요?

SOAR: 강력한 보안을 위한 프레임워크

SOAR는 단순한 도구나 도구 모음 그 이상입니다. SOAR는 탄탄한 보안 계획을 수립하기 위한 모델입니다. 물론 기관이 특정 기술(예: 보안 정보 및 이벤트 관리자나 보안 로그 관리자와 같은 위협 인텔리전스 도구)에서 생성되는 보안 데이터와 분석 결과의 처리를 자동화하도록 요구합니다. 하지만 SOAR에는 사람의 개입을 장려하는 또 다른 요소인 보안 오케스트레이션도 있습니다.

보안 정보 및 이벤트 관리 솔루션이나 이와 유사한 도구가 잠재적 사고를 식별하면 어떤 일이 일어나는지 생각해 보세요. 해당 도구에서 시작해 보안 관리자에게 전달되는 전체 워크플로 프로세스가 생성됩니다.

이 프로세스에서는 조직이 이미 수립해 두었기를 바라는 보안 정책을 기준으로 인시던트를 평가합니다. 고려 사항에는 다음이 포함될 수 있습니다:

침해된 애플리케이션에 지정된 위협 수준은 무엇인가요?
해당 위협 수준을 바탕으로 잠재적인 피해를 줄이기 위해 어떤 자동화된 조치를 취해야 하나요?
문제를 해결하려면 어떤 추가 조치가 필요합니까?

그러면 보안 관리자는 포렌식 데이터에서 도출된 위협 인텔리전스를 활용하여 문제를 즉시 조사하고 해결하는 한편, 향후 공격에 대한 기관의 방어 체계를 강화하도록 보안 정책을 적절히 조정할 수 있습니다.

따라서 SOAR에서 인적 요소가 중요한 역할을 하게 됩니다. 자동화를 아무리 강조하더라도 사람은 최후의 방어선이자 보안 강화를 책임지는 주체이므로 SOAR 프레임워크의 필수 요소입니다. 이들의 전문성을 적합한 보안 솔루션과 결합하면 조직이 악의적인 공격자보다 한발 앞서 나가는 데 도움이 될 수 있습니다.

적응형 애플리케이션은 SOAR 모델에 필수적입니다

SOAR는 적응력이 뛰어나고 데이터를 활용해 조직의 위협 대응 방식을 지속적으로 개선하는 보안 프로그램을 구축하는 데 중점을 둡니다. 또한 인텔리전스를 활용해 현재의 위협을 정확히 식별하고, 해당 인시던트에 대응하며, 그로부터 교훈을 얻어 시간이 지남에 따라 적응하고 개선하도록 장려합니다.

F5는 조직이 보안 상태를 자동으로 조정할 수 있는 적응형 애플리케이션을 구축하도록 지원하는 데 주력하고 있습니다. 이러한 애플리케이션은 애플리케이션 트래픽이 애플리케이션에서 최종 사용자에게 전달되는 경로인 애플리케이션 데이터 경로의 다양한 접점에서 얻은 정보를 수집하고 분석합니다. 여기에는 사용자가 애플리케이션에 처음 액세스할 때(애플리케이션 인증 필요), 데이터가 인터넷을 통해 전송될 때(웹 애플리케이션 방화벽 사용) 등이 포함됩니다.

이러한 각 접점에서는 고유한 원격 측정 데이터와 분석 정보가 생성됩니다. 이 데이터는 애플리케이션이 예상대로 작동하는지 또는 침해를 나타낼 수 있는 이상 징후가 있는지를 탐지하는 데 사용됩니다.

후자의 경우 애플리케이션은 잠재적 위협을 완화하도록 자동으로 조정되어, 자동 대응이라는 SOAR의 요구 사항을 충족할 수 있습니다. 예를 들어 애플리케이션 데이터 경로의 특정 지점에서 의심스러운 트래픽이 갑자기 급증했다고 가정해 보겠습니다. 봇 관리 솔루션은 애플리케이션에 요청을 보내는 트래픽의 유형(예: 사람 또는 봇)을 기반으로 사기 행위를 자동으로 탐지할 수 있습니다. 그런 다음 애플리케이션은 사전 정의된 보안 정책에 따라 의심스러운 트래픽을 자동으로 차단할 수 있습니다.