AI-Native SOC 시대, 안랩이 그리는 AI 보안관제의 미래

월 61만 건에서 114만 건으로, SOC가 마주한 임계점

2025년 1월 약 61만 건 수준이던 안랩 SOC(Security Operations Center, 보안 관제센터)의 위협 이벤트 티켓 발생량은 불과 1년여 만인 2026년 5월, 약 114만 건을 돌파했다. +87.66%라는 단기간 증가율은 공격자들이 AI와 자동화 도구를 무기로 공격의 양과 속도를 기하급수적으로 늘리고 있으며, 기업 IT 인프라가 복잡해지면서 보안 솔루션이 쏟아내는 알람의 양이 인간이 물리적으로 감당할 수 있는 한계치를 넘어섰다는 것을 의미한다.

방어자, 즉 SOC에서는 기존의 방식으로는 더 이상 이 속도를 따라갈 수 없는 임계점에 도달했다는 것을 보여주는 명백한 지표다.

레거시 SOC의 구조적 한계

과거 SOC는 개별 보안 솔루션에서 쏟아지는 하루 수만 건의 단순 경보(Alert)를 분석가가 일일이 수동으로 확인하는 방식으로 운영됐다. 경보 하나를 분석하는 데 5분만 잡아도, 하루 3만 건이면 구조적인 지연이 발생할 수밖에 없다. 위협의 95% 이상을 단순 수동 분석에 의존하다 보니, 정밀 포렌식이나 위협 헌팅에 투입할 시간을 확보하기 어려웠다. 인력 리소스는 고갈되고, 정작 중요한 고위험 이벤트는 수많은 알람 속에 묻혀버릴 위험이 컸다.

또한 기존 환경은 시그니처와 룰 기반 탐지에 의존하고 있어 변칙 위협과 알려지지 않은 제로데이 공격에 취약했으며, 네트워크 장비와 EDR 등 각 솔루션이 서로 고립되어 있어 통합적인 연계 분석과 맥락 추적이 어려웠다.

AI-Powered SOC, AI와 분석가의 협업 모델

이러한 한계를 극복하기 위해 도입된 것이 AI-Powered SOC다. 분석가가 AI를 활용할 수 있도록 설계된 전환 단계의 모델로, 기존 시스템은 유지하되 분석가가 가장 많은 시간을 빼앗기는 Triage(정탐/오탐 판별) 작업과 초기 분석을 AI가 대신 수행하는 협업 구조다.

기존에는 분석가가 경보 하나하나를 직접 들여다봐야 했다면, AI-Powered SOC에서는 AI가 수만 건의 무의미한 경보를 정제해 소수의 중요 인시던트(Incident)로 통합한다. AI가 초기 탐지와 분류를 맡고 플레이북을 통해 반복 업무를 자동화하면서, 분석가는 핵심 이벤트에 대한 심층 분석과 최종 의사결정에 집중할 수 있다. 그 결과 기존에 수 시간에서 수 일이 걸리던 대응 시간은 수십 분에서 수 시간 수준으로 단축된다.

AI-Native SOC, 안랩이 완성해 나갈 미래

AI-Powered SOC를 넘어 안랩이 지향하는 최종 단계는 AI-Native SOC다. 단순히 AI가 분석가의 업무를 보조하는 수준을 넘어, 탐지, 조사, 분석, 대응에 특화된 여러 자율형 AI 에이전트가 서로 소통하며 전 과정을 능동적으로 수행하는 체계다. 과거 수동 분석에 의존하던 방식에서 벗어나, 자연어 기반으로 위협을 추적하고 스스로 학습하여 방어 규칙을 진화시키는 진정한 의미의 자율형 SOC 모델이다.

이 단계에서는 특화된 역할을 가진 복수의 자율형 AI 에이전트들이 서로 상호작용하며 탐지부터 대응까지 자동 수행하는 '에이전트 메시(Agentic Mesh)' 환경이 구현된다. 사람의 개입은 최소화되고, AI가 자율 추론을 통해 위협을 헌팅하는 능동형 SOC 서비스로 진화할 예정이며, 이를 통해 대응 시간은 수 초에서 수 분 이내로 단축될 전망이다.

이 과정에서 분석가의 역할도 변화한다. 과거 이벤트를 직접 분석하던 역할에서, AI의 분석 요약을 검토하고 의사결정하는 단계를 거쳐, 궁극적으로는 AI 시스템을 감독하고 맞춤형 대응 시나리오를 설계하는 '아키텍트' 역할로 진화하게 된다.

AhnLab AI SOC 서비스: 컨텍스트와 노하우의 결합

안랩은 자체 개발한 AI 플랫폼 AhnLab AI PLUS를 기반으로 SOC 전용 에이전트를 설계하고, AI 기술을 실제 보안관제 서비스에 적용하고 있다. 안랩 AI SOC의 가장 큰 강점은 30년 이상 통합 보안 기업으로서 쌓아온 압도적인 보안 컨텍스트(Context)와 20년 이상의 SOC 운영 노하우의 결합이다.

이러한 강점은 '노이즈 제거' 과정에서 발휘된다. AI 에이전트는 수십억 개의 이벤트에서 의미 없는 알람을 걸러내고, 우선 분석이 필요한 핵심 위협만 선별해 TDIR(위협 탐지, 조사, 대응) 프레임워크 기반으로 구조화해 분석가에게 전달한다. 실제 침해 사고로 이어질 가능성이 높은 경보는 인시던트로 격상해 관리하고, AI의 분석 결과와 SOC 분석가의 분석 정보가 포함된 사건 보고서를 고객에게 전달한다. 이를 통해 고객은 수많은 경보 속에서 실제로 대응이 필요한 사건만 신속하게 파악할 수 있다.

기술력, 프로세스, 분석가 역량이 결합된 AhnLab AI SOC

안정적인 AI SOC 서비스는 Technology(기술), Process(프로세스), People(분석가) 세 축이 유기적으로 맞물릴 때 구현된다. AhnLab AI SOC 역시 기존 SOC의 핵심 설계 프레임워크를 토대로 기술과 프로세스, 분석가가 긴밀하게 연계되도록 설계됐다.

먼저 Technology 영역에서는 AhnLab Sefinity와 AhnLab XDR을 통해 다양한 보안 장비에서 발생한 대용량 로그를 수집하고, AhnLab AI PLUS와 연동해 이벤트를 처리한다. Process 영역에서는 SOAR 플레이북을 통해 반복 업무를 자동화하고 표준 대응 절차를 수립한다. People 영역에서는 L1, L2 분석가와 전문 분석가가 심층 분석과 최종 승인을 담당한다.

이처럼 기술과 프로세스, 분석가가 유기적으로 맞물리는 구조를 바탕으로 안정성을 확보하고, 기존 SOC에서 AI-Native SOC로 이어지는 진화된 관제 체계를 완성해 나가고 있다.

AI-Native SOC의 청사진

지금까지 살펴본 것이 현재 안랩이 고도화하고 있는 AI-Powered SOC의 모습이라면, 안랩이 완성해 나갈 미래는 AI-Native SOC다.

과거 레거시 환경의 네트워크 관제는 정형화된 이벤트의 85%를 플레이북이 처리했지만, 분석가는 여전히 나머지 15%에 많은 리소스를 투입해야 했다. MDR 서비스는 분석가 역량에 전적으로 의존해 전체 이벤트를 수동 분석했다. AI-Powered 단계에 이르러 분석가가 수행하던 15%의 영역까지 AI가 처리할 수 있도록 자동화됐고, MDR에서도 AI Triage가 정상 범위 이벤트를 걸러내면서 분석가는 핵심 위협과 고위험 이벤트 분석에만 집중할 수 있는 환경이 마련됐다.

안랩이 그리는 다음 단계는 여기서 한 걸음 더 나아간다. AI-Native SOC 환경에서는 AI와 Workflow, 분석가가 하나로 융합된 'Human-in-the-Loop' 생태계가 구축된다. 자동 대응 범위가 확장되고 수집하는 텔레메트리 범위도 획기적으로 넓어지며, 고객사의 비즈니스 환경에 맞는 맞춤형 대응 시나리오를 수행하는 Agentic AI로 진화할 예정이다.

SOC를 넘어, AI 기반 통합 보안 플랫폼으로

이러한 비전의 중심에는 안랩의 자체 AI 모델 AhnLab AI PLUS가 두뇌 역할을 한다. AI-Triage, AI-Insight, AI-Investigation으로 이어지는 AI-Native Operations가 작동하며, 최종적으로는 AI가 스스로 지식을 축적하고 워크플로우를 결정하는 AI Decision Intelligence 단계를 통해 조사, 분석, 대응 전 단계를 AI가 주도적으로 수행할 예정이다.

이 단계에서 AI는 SOC의 분석가가 되어 종합적인 분석과 보고서 작성, 초동 조치를 수행한다. 고객은 Portal Assistant를 활용해 간단한 기술지원 문의나 이벤트 검색, 보고서 생성 등의 업무를 진행하고, SOC 분석가는 침해사고 분석, 보안운영 지원, 그리고 AI의 파트너로서의 역할을 수행하는 형태로 서비스가 제공될 예정이다.

즉 안랩의 AI SOC는 단순히 고객의 경보를 모니터링하고 알려주는 아웃소싱 서비스가 아니라, 고객 인프라 전반을 통합적으로 보호하고 운영하는 AI 기반 통합 보안 플랫폼을 제공하는 것을 목표로 한다.

안랩이 그리는 SOC의 미래