안랩 AI SOC, Agentic AI가 바꾸는 보안관제의 속도

급증하는 보안 경보, AI 기반 대응이 필요한 이유

안랩의 보안관제 티켓은 2022년 1분기 61만 건에서 2026년 2분기 329만 건으로 증가했다. 관제 대상 시스템이 다양해지고 보안 데이터가 늘어나면서 분석해야 할 정보의 규모도 지속적으로 확대되고 있다.

공격자의 움직임도 빨라지고 있다. 글로벌 위협 보고서에 따르면 2024년 하반기 보이스 피싱은 전반기 대비 442% 증가했다. 공격자가 최초 침투 이후 측면 이동에 이르기까지 걸리는 평균 시간인 '브레이크아웃 타임(Breakout Time)'은 2023년 62분에서 2024년 48분, 2025년 29분으로 단축됐다. 가장 빠른 사례에서는 27초 만에 측면 이동이 이루어졌다.

이는 보안관제에서 탐지 자체만큼이나 탐지 이후의 분석과 판단, 그리고 대응 속도가 중요해지고 있음을 보여준다.

하루 3만 건의 경보를 한 건당 5분씩 분석한다고 가정하면 총 15만 분, 약 2,500시간의 작업량이 발생한다. 물론 모든 경보가 동일한 수준의 분석을 필요로 하는 것은 아니다. 그러나 방대한 경보를 사람이 개별적으로 검토하는 방식만으로는 중요한 위협을 신속하게 선별하고 대응하기 어렵다.

따라서 AI SOC의 과제는 단순히 경보를 더 많이 처리하는 것이 아니다. 반복적인 분석 업무를 자동화하고, 실제 대응이 필요한 위협을 빠르게 식별해 분석과 조치에 걸리는 시간을 줄이는 것이다.

같은 랜섬웨어 공격, 다른 대응 결과: 대응 시간 6시간, 50분, 4분

동일한 랜섬웨어 공격이 발생하더라도 보안관제의 운영 방식에 따라 분석과 대응 과정은 어떻게 달라질까?

이를 살펴보기 위해 동일한 공격 조건을 가정한 가상 시나리오를 구성했다. 분석가의 수동 분석에 의존하는 Legacy SOC, AI와 분석가가 협업하는 AI-Powered SOC, AI 에이전트가 자율적으로 분석하고 대응하는 AI-Native SOC를 비교한 것이다.

가상 시나리오에서 공격 시작부터 대응 완료까지 소요된 시간은 각각 6시간, 50분, 4분이었다. 세 가지 방식 모두 위협을 탐지하지만, 탐지 이후 분석과 판단, 대응을 수행하는 과정에는 차이가 있다.

Legacy SOC: 분석과 대응에 약 6시간

피싱 메일의 첨부파일이 실행된 후 12분 뒤 엔드포인트에서 경보가 발생한다. 그러나 하루 3,832건의 경보가 쌓이는 상황에서 해당 이벤트는 3시간이 지나서야 분석가의 검토 대상이 된다.

분석가는 여러 보안 콘솔을 확인하고 관련 로그를 수동으로 대조해 공격자의 명령제어(C2) 서버와 통신한 정황을 파악한다. 이후 관계자와 차단 조치를 협의하고 방화벽 정책을 적용한다.

대응이 완료되기까지 약 6시간이 소요되며, 그 사이 서버 12대가 암호화된다.

이 시나리오는 기존 MSS의 실제 성능을 평가하기 위한 것이 아니라, 수동 분석과 시스템 간 연계가 제한된 환경에서 발생할 수 있는 대응 지연을 보여준다.

AI-Powered SOC: AI 분석과 전문가의 협업으로 50분

AI-Powered SOC에서는 AI가 초기 분석을 지원하면서 대응 과정이 달라진다.

파일 실행 2분 만에 XDR의 상관분석 기능이 위협을 포착하고, 해당 이벤트를 고위험 경보로 분류해 우선순위를 높인다. 5분 뒤에는 자동화 플레이북이 분석 결과를 바탕으로 단말 격리를 제안한다.

보안 전문가는 AI가 제공한 분석 결과와 판단 근거를 검토한 뒤 대응을 승인한다. 단말 격리가 완료되기까지 걸린 시간은 50분이며, 시나리오상 피해는 최초 감염 단말 1대에 국한된다.

AI가 초기 분석과 대응 절차를 지원하고, 보안 전문가가 중요한 판단을 담당하는 협업 구조다.

AI-Native SOC: AI 에이전트의 자율 대응으로 4분

AI-Native SOC에서는 탐지와 분석뿐 아니라 조사와 대응까지 AI 에이전트의 역할이 확대된다.

파일 실행 40초 만에 XDR의 AI 에이전트가 이상 행위를 포착한다. 90초에는 위협 인텔리전스 AI 에이전트가 침해지표(IoC)를 대조해 공격 여부를 판단한다.

2분 시점에는 AI 에이전트가 추가 로그를 수집하고 인접 자산 3대의 영향을 조사한다. 이어 3분에는 사전에 승인된 대응 권한 안에서 감염 단말을 격리하고 관련 세션을 종료한다. 필요한 긴급 패치 조치도 정의된 대응 절차에 따라 수행한다.

분석가에게 판단 근거와 조치 결과를 전달하는 데 걸린 시간은 4분이다. 시나리오에서는 서버 암호화와 추가 확산 피해가 발생하지 않는다.

세 가지 시나리오는 AI가 분석과 대응 과정에 참여하는 범위가 확대될수록 반복적인 확인과 조치에 소요되는 시간을 줄이고, 보다 신속한 위협 대응을 지원할 수 있음을 보여준다.

※ 본 비교는 SOC 운영 방식에 따른 대응 절차의 차이를 설명하기 위한 가상 시나리오이며, 실제 제품 또는 서비스의 대응 시간과 피해 규모를 측정한 결과가 아닙니다.

역할을 나눠 협업하는 AI 에이전트, Agentic AI의 작동 방식

AI-Native SOC의 핵심은 하나의 AI 모델이 모든 업무를 처리하는 것이 아니라, 전문 영역별 AI 에이전트가 협업해 복잡한 보안 업무를 수행하는 데 있다.

안랩이 지향하는 Agentic AI 아키텍처에서는 오케스트레이션 에이전트가 전체 업무를 조율한다. 분석 요청이 들어오면 필요한 작업을 구분하고, 로그 분석과 파일 분석, 위협 인텔리전스 조회, 대응 방안 수립 등을 담당하는 전문 에이전트에 작업을 분배한다.

각 에이전트는 자신의 역할에 따라 분석을 수행하고 결과를 전달한다. 오케스트레이션 에이전트는 개별 결과를 종합해 위협의 맥락을 파악하고, 필요한 추가 분석이나 대응 절차를 결정하도록 지원한다.

예를 들어 특정 단말에서 의심스러운 파일 실행이 탐지되면, 파일 분석 에이전트가 악성 여부를 확인하고 로그 분석 에이전트가 관련 행위를 추적한다. 위협 인텔리전스 에이전트는 확인된 침해지표와 기존 위협 정보를 대조하며, 대응 에이전트는 분석 결과를 바탕으로 필요한 조치를 검토한다.

이러한 협업 구조는 개별 경보를 분석하는 데 그치지 않고 여러 보안 이벤트의 연관성을 파악해 공격의 전체 맥락을 이해하는 데 목적이 있다.

다만 AI 에이전트의 자율성이 높아진다고 해서 모든 판단과 실행을 AI에 맡기는 것은 아니다. 고객 환경과 업무의 중요도, 대응 조치의 영향 등을 고려해 실행 권한을 설정하고, 필요한 경우 보안 전문가의 승인을 받도록 설계하는 것이 중요하다.

안랩 Agentic AI의 경쟁력, 30년 데이터와 26년 현장 경험

AI 에이전트의 협업 구조는 기술적으로 구현할 수 있지만, 보안 위협을 정확히 이해하고 적절히 대응하려면 이를 뒷받침할 데이터와 전문성이 필요하다.

안랩은 30년 이상 보안 위협을 분석하며 축적한 전문성과 AhnLab TIP의 위협 인텔리전스 등 다양한 보안 정보를 보유하고 있다. 안랩의 AI 기반의 위협 분석 인프라는 월평균 약 1억 7천만 건의 위협 데이터를 분석하고 있다.

이러한 위협 정보는 악성코드의 특성과 공격자의 행위, 침해지표 간 연관성을 파악하는 데 활용할 수 있다. AI가 개별 이벤트를 단순히 분류하는 수준을 넘어 공격의 맥락을 분석하려면 이러한 보안 전문 지식이 중요하다.

또 다른 경쟁력은 26년 이상 축적한 보안관제 운영 경험이다. 안랩은 다양한 고객 환경에서 위협을 분석하고 대응하며 관제 절차와 운영 노하우를 발전시켜 왔다.

실제 보안관제에서는 위협을 탐지하는 것만으로 대응이 끝나지 않는다. 경보의 신뢰도를 검증하고, 영향을 받는 자산을 확인하며, 대응 조치가 고객 업무에 미칠 영향까지 고려해야 한다. 이러한 판단에는 위협 정보뿐 아니라 현장에서 축적한 운영 경험이 필요하다.

안랩은 위협 분석 역량과 보안관제 노하우를 AI 기반 운영 체계에 반영해, AI 에이전트가 보다 풍부한 보안 맥락을 활용할 수 있도록 고도화하고 있다.

AI 모델 자체의 성능뿐 아니라 어떤 데이터를 활용하고, 어떤 절차에 따라 분석하며, 대응 결과를 어떻게 검증하느냐가 AI SOC의 실질적인 경쟁력을 결정한다.

AI-Powered에서 AI-Native로, 실제 관제 현장에서 시작된 변화

안랩이 지향하는 AI-Native SOC는 아직 발전시켜 나가야 할 목표이지만, AI를 활용한 보안관제는 이미 실제 운영 환경에 적용되고 있다.

현재 안랩 SOC에서는 AI Triage 엔진이 하루 3만 건 이상의 보안 경보를 1차 분류하고, 분석이 필요한 이벤트를 선별해 보안 전문가에게 전달한다.

AI는 반복적인 경보 분류와 초기 분석을 지원하고, 보안 전문가는 분석 결과를 검증하며 중요한 위협에 집중한다. 이를 통해 분석 업무의 부담을 줄이면서 대응이 필요한 이벤트를 보다 효율적으로 처리할 수 있다.

안랩이 제시한 MDR 운영 성과에 따르면 분석 시간은 기존 대비 절반 수준으로 단축됐고, 분석에 필요한 리소스도 60% 이상 절감됐다. 고객사 약 500곳을 대상으로 서비스를 제공하는 관제 환경에서 AI를 활용한 업무 효율화가 진행되고 있다.

또한 분석가의 검증 결과와 피드백을 AI 고도화에 활용해 분석 품질과 운영 절차를 지속적으로 개선하고 있다.

이러한 성과는 AI가 보안관제 현장의 반복 업무를 줄이고, 보안 전문가가 보다 높은 수준의 분석과 대응에 집중할 수 있도록 지원한다는 점에서 의미가 있다.

.

다음 단계는 '통제된 자율성'

안랩은 현재의 AI-Powered SOC를 기반으로 AI 에이전트의 분석과 대응 범위를 점진적으로 확대할 계획이다.

초기에는 경보 분류와 정보 조회, 분석 결과 요약 등 상대적으로 위험이 낮은 업무를 자동화하고, 검증된 업무를 중심으로 조사와 대응 절차까지 AI의 역할을 확대하는 방식이다.

이 과정에서 AI의 자율성과 보안 전문가의 통제는 함께 발전해야 한다. 단말 격리나 네트워크 차단과 같이 고객의 업무에 영향을 줄 수 있는 조치는 사전에 정의된 권한과 정책에 따라 수행해야 하며, 조치 결과를 확인하고 추적할 수 있는 체계도 필요하다.

AI-Native SOC가 지향하는 것은 사람의 개입을 무조건 없애는 것이 아니다. AI가 신속하게 처리할 수 있는 업무는 자동화하고, 보안 전문가는 중요한 판단과 감독, 복잡한 침해사고 대응에 집중하도록 역할을 발전시키는 것이다.

사이버 공격의 속도와 복잡성이 높아지는 상황에서 보안관제의 경쟁력은 단순히 더 많은 경보를 탐지하는 것만으로는 확보할 수 없다. 탐지된 위협의 맥락을 얼마나 신속하게 이해하고, 적절한 대응으로 연결하느냐가 중요하다.

안랩은 30년 이상 축적한 위협 분석 역량과 26년 이상의 보안관제 경험을 바탕으로 Agentic AI의 활용 범위를 확대하고 있다. AI의 분석·대응 속도에 보안 전문가의 판단과 통제를 결합해, 보다 신속하고 지능적인 AI-Native SOC를 구현해 나갈 계획이다.