계산하는 신뢰에서 판단하는 신뢰로의 진화: AI 기반 제로 트러스트

접근 허용 이후에도 검증하는 제로 트러스트

경계 기반 보안은 내부망에 접속한 사용자를 상대적으로 신뢰해 왔다. 제로 트러스트는 네트워크 위치에 관계없이 사용자 신원과 단말 상태를 명시적으로 검증하고, 업무에 필요한 애플리케이션과 데이터에만 최소 권한으로 접근하도록 제한한다. 접근을 허용한 뒤에도 계정과 단말이 침해될 가능성을 고려해 보안 상태와 행위의 변화를 확인한다.

이 원칙을 실제 접근 통제에 적용하는 핵심 구성 요소가 PDP(Policy Decision Point)와 PEP(Policy Enforcement Point)다. PDP는 사용자 권한과 인증 정보, 단말 보안 상태, 접속 환경, 위협정보 등을 바탕으로 접근 허용 여부와 통제 수준을 결정한다. PEP는 그 결정에 따라 접근을 허용하거나 차단하는 등 정책을 집행한다. 접근을 허용한 뒤에도 새로운 위험 신호가 확인되면 PDP가 정책을 재평가하고 PEP가 변경된 결정을 집행할 수 있다.

규칙과 위험점수는 알려진 조건을 빠르고 일관되게 평가하는 데 효과적이다. 하지만 동일한 점수라도 위험을 발생시킨 원인이나 보호 대상의 중요도는 서로 다를 수 있으며 접속 이후 여러 신호가 연이어 나타나는 경우에는 개별 이벤트만으로 현재 위험을 판단하기 어렵다. AI는 다양한 보안 신호를 종합적으로 분석해 접근 위험을 판단하는 데 필요한 근거를 제공할 수 있다.

같은 위험점수, 다른 접근 판단

위험점수는 사용자와 단말, 접속 환경 등에서 수집한 정보를 수치화해 접근 위험을 평가하는 지표다. 같은 점수라도 위험 요인과 접근 대상의 중요도가 다를 수 있어, 점수만으로 적절한 통제를 결정하기는 어렵다.

예를 들어 동일한 위험점수를 받은 사용자 A가 회사에서 관리하는 단말로 승인된 해외 출장지에서 평소 사용하는 업무 애플리케이션에 접속했고 다중 인증(MFA)도 정상적으로 완료되었으면 단말의 보안 상태와 인증 결과, 출장 승인 내역 등을 고려하면 정상적인 업무 접근으로 판단해 허용할 수 있다. 반면 같은 점수를 받은 사용자 B는 등록되지 않은 단말에서 익명 프록시 IP를 이용해 중요 서버에 처음 접속했으며, 대량의 파일 다운로드를 시도한 기록도 확인됐다. 이 경우 단말의 보안 상태를 확인하기 어렵고 접속 경로와 데이터 접근 행위에서도 위험 징후가 나타나기 때문에 접근 제한과 계정 탈취 여부에 대한 조사를 검토할 수 있다.

동일한 점수에 서로 다른 통제를 적용하는 것은 기존 규칙 기반 정책으로도 가능하지만 보안 담당자가 여러 시스템에 분산된 인증 기록과 단말 상태, 접속 환경, 접근 대상의 중요도 등을 직접 확인하고 분석해야 하기 때문에 상당한 시간이 소요된다. AI는 점수에 반영된 신호와 다른 보안 시스템의 탐지 결과를 함께 분석해, 추가 검증이나 접근 제한이 필요한 근거를 제시해 빠른 대응을 지원한다.

로그인 이후의 위험 변화를 연결하는 세션 재평가

접근을 허용한 뒤에도 사용자 행위나 단말 상태가 달라지고 새로운 위협정보가 확인될 수 있다. 세션의 위험을 재평가하려면 새로 발생한 신호가 기존 접근과 어떤 관계인지 확인해야 한다.

회사에서 사용자가 평소와 다른 IP에서 접속했다고 가정해 보자. 접속 IP가 달라진 것만으로는 위험하다고 단정하기 어렵다. 하지만 뒤이어 해당 단말의 EDR에서 이상 행위가 탐지되고 DLP에서 민감 데이터의 대량 다운로드까지 확인된다면 이 신호들이 동일한 사용자와 단말, 세션에서 발생한 이벤트인지, 서로 연관된 위험 징후인지 분석하고 기존 접근 권한을 재평가할 필요가 있다.

이러한 분석에는 사용자 계정과 인증 상태, 단말의 보안 상태, 접속 위치와 IP 평판, 접근 대상의 민감도, 위협 탐지 정보 등 여러 보안 시스템의 데이터가 활용된다. AI는 각 시스템에 흩어진 로그를 연결해 이벤트 간 연관성을 분석하고, 운영자가 위험을 판단하는 데 필요한 정보를 신속하게 제공할 수 있다. PDP는 이 분석 결과를 참고해 재인증이나 다운로드 제한 등 추가 통제가 필요한지 판단할 수 있다.

AI 분석 결과 검토와 정책 적용

평소와 다른 위치에서의 접속은 정상적인 외부 업무 중에도 발생할 수 있어, 위치 변화만으로 계정 탈취 여부를 판단하거나 접근을 차단하기는 어렵다. AI는 접속 위치뿐 아니라 단말 상태, EDR 탐지 결과, 위협 인텔리전스 등 관련 신호를 함께 분석해 위험 판단의 근거와 재인증, 권한 제한, 세션 종료 등의 정책 후보를 제시할 수 있다.

이와 같이 제시된 보안 조치는 사전에 정의된 조건에 따라 자동화할 수 있지만, 업무 영향이 크거나 예외 판단이 필요한 조치에는 운영자의 검토와 승인이 필요하다. 운영자는 AI가 제시한 근거를 실제 업무 상황과 대조하고, 조치가 미칠 영향과 예외 사유를 확인해 정책 적용 여부를 결정해야한다.

AhnLab XTG와 AI PLUS의 연계

제로 트러스트 접근 통제 솔루션 AhnLab XTG는 외부 IdP의 인증 정보, 단말 보안 상태, 위협 탐지 정보와 위협 인텔리전스, 네트워크 접속 환경, 세션 이력 등을 활용해 접근 위험을 평가한다. 이를 바탕으로 PDP로서 접근 정책을 결정하고, PEP로서 해당 정책을 집행한다.

안랩은 XTG에 AI PLUS를 연계해 사용자, 단말, 행위, 위협정보 사이의 관계를 분석하는 기능을 개발하고 있다. AI PLUS가 접속 위험의 원인과 대응 후보를 제시하면, XTG가 분석 결과를 정책 판단에 반영해 재인증, 권한 제한, 세션 종료 등 필요한 통제로 연결하는 구조이다.

Assist, Analyze, Reason 기반 보안 운영

안랩은 XTG에 Assist, Analyze, Reason의 세 영역으로 AI 기능을 확장해 보안 운영을 지원할 계획이다. Assist는 운영자의 자연어 질문을 바탕으로 제품 도움말, 운영 자료, XTG 설정 및 이벤트 로그에서 관련 정보를 찾아 답변을 제공한다. Analyze는 XTG의 접근 정보를 AhnLab XDR과 연계하고, XDR에서 사용자, 디바이스, 이상행위, 위협 정보를 종합적으로 분석한다. Reason은 분석 결과를 바탕으로 위험도를 해석하고 판단 근거와 적용 가능한 정책 후보를 함께 제시한다.

XTG는 자연어로 정책을 설정하고 이벤트 로그를 조회할 수 있는 기능을 개발하고 있다. 운영자가 특정 출발지와 목적지 사이의 서비스 포트 차단을 요청하면 AI가 필요한 객체와 정책 조건을 구성하고 API 호출을 준비하며, 운영자는 설정 내용을 확인하거나 수정한 뒤 정책 적용을 승인하는 방식이다. 같은 자연어 인터페이스를 로그 조회에도 적용해, 운영자가 웹 필터 이벤트에서 발생 빈도가 높은 URL을 요청하면 AI가 관련 로그를 검색해 결과를 제시하고, 이어 해당 이벤트의 출발지와 목적지 주소를 질문하면 앞선 조회 맥락을 바탕으로 필요한 정보를 제공할 수 있도록 개발하고 있다.

다중 신호 분석은 PC와 모바일 등 서로 다른 단말에서 발생한 인증 및 접근 정보를 사용자 계정을 기준으로 연결한다. 이를 통해 개별 이벤트만으로는 파악하기 어려운 접속 위치의 변화와 민감 데이터 접근 행위 등의 연관성을 분석하고, 추가 검증이 필요한 위험 상황을 식별할 수 있다. 또한 최신 위협 인텔리전스에 포함된 공격 징후를 현재 접속 정보와 연계해 접근 위험을 재평가하는 데 활용할 수 있다.