SOAR(보안 오케스트레이션, 자동화 및 대응)란?

SOAR의 정의

SOAR은 Security Orchestration, Automation and Response의 약자로, 보안 오케스트레이션, 자동화 및 대응을 의미한다. SOAR은 여러 보안 솔루션에서 발생하는 알림과 데이터를 연결하고, 조사 절차를 표준화하며, 반복적인 대응 작업을 자동화하는 보안 운영 솔루션이다.

보안팀은 매일 수많은 알림을 확인한다. 문제는 알림의 양만이 아니다. 각 알림이 실제 침해인지, 단순 오탐인지, 낮은 위험의 이벤트인지 판단해야 한다. 이 과정에서 분석가는 알림을 분류하고, 관련 로그를 찾아보고, 위협 인텔리전스를 조회하고, 티켓을 만들고, 담당자에게 알리고, 필요하면 엔드포인트 격리 같은 조치를 수행해야 한다.

SOAR은 이러한 반복적인 과정을 하나의 대응 절차로 정리한다. 사람이 매번 같은 단계를 수동으로 반복하지 않도록, 조건과 절차에 따라 조사와 대응이 진행되도록 지원한다. 즉, SOAR은 보안팀의 반복 업무를 줄이고 대응 과정을 표준화하기 위한 솔루션이다.

SOAR이 필요한 배경

보안 운영 환경은 점점 복잡해지고 있다. 조직은 엔드포인트, 네트워크, 이메일, 클라우드, 계정 보안 등 다양한 보안 솔루션을 운영하고 있으며, 각 솔루션에서 매일 많은 알림과 이벤트가 발생한다. 보안팀은 이 중 실제 위협을 선별하고, 관련 정보를 확인하며, 필요한 대응 조치를 빠르게 수행해야 한다.

문제는 이 과정에 수동 작업이 많다는 점이다. 분석가는 알림을 확인한 뒤 관련 로그를 찾고, IP, 도메인, URL, 파일 해시 같은 위협 정보를 조회하고, 티켓을 생성하고, 담당자에게 알리고, 조치 결과를 기록해야 한다. 이러한 업무가 반복되면 분석 시간은 길어지고, 우선순위가 높은 위협에 대한 대응이 지연될 수 있다.

또한 여러 보안 솔루션이 따로 운영되면 대응 절차가 담당자마다 달라질 수 있다. 같은 유형의 알림이라도 누가 처리하느냐에 따라 확인 범위, 조치 순서, 기록 방식이 달라지면 사고 대응의 일관성을 유지하기 어렵다. 특히 SOC가 교대 근무를 하거나 여러 조직을 지원하는 경우에는 표준화된 대응 절차가 더 중요해진다.

SOAR은 이러한 문제를 줄이기 위해 활용된다. 반복적인 조사와 대응 절차를 플레이북으로 표준화하고, 여러 보안 솔루션과 업무 시스템을 연결해 필요한 작업을 자동으로 실행한다. 이를 통해 보안팀은 반복 업무를 줄이고, 우선순위가 높은 위협 분석과 의사결정에 더 집중할 수 있다.

SOAR의 세 가지 구성 요소

SOAR은 이름 그대로 보안 오케스트레이션, 자동화 및 대응으로 구성된다. 세 요소는 개별 기능으로 나뉘어 있기보다 하나의 보안 운영 흐름 안에서 함께 작동한다. 각 요소가 어떤 역할을 하는지 차례로 살펴보면 다음과 같다.

1. 보안 오케스트레이션

보안 오케스트레이션은 여러 보안 솔루션과 시스템을 연결해 조사에 필요한 정보를 한 흐름에서 활용할 수 있도록 하는 기능이다. 보안팀이 EDR, 이메일 보안, 방화벽, 위협 인텔리전스, 티켓 시스템을 각각 따로 확인해야 한다면 알림을 분석하는 데 많은 시간이 걸릴 수밖에 없다.

오케스트레이션의 핵심은 단순히 여러 솔루션을 연결하는 데 있지 않다. 어떤 정보를 먼저 확인하고, 어떤 조건에서 다음 단계로 넘길지 정해 조사 흐름을 일관되게 만드는 데 있다. 이를 통해 분석가는 여러 콘솔을 오가며 정보를 확인하는 시간을 줄이고, 하나의 흐름 안에서 사건을 파악할 수 있다.

2. 보안 자동화

보안 자동화는 반복 가능한 작업을 사람이 아닌 시스템이 실행하도록 만드는 기능이다. IP 평판 조회, 파일 해시 확인, 사용자 정보 조회, 티켓 생성, 담당자 알림, 중복 알림 병합 같은 작업이 대표적이다.

자동화는 모든 결정을 기계에 맡기는 방식이 아니다. 위험도가 낮고 반복적인 작업은 자동으로 처리하고, 업무 영향이 큰 조치는 승인 단계를 둔다. 예를 들어 악성 URL이 확인된 메일을 삭제하는 작업은 자동화할 수 있다. 반면 계정 잠금이나 주요 시스템 격리 같은 조치는 책임자의 승인을 거치도록 설정할 수 있다.

3. 보안 대응

보안 대응은 조사 결과를 바탕으로 실제 조치를 실행하는 단계다. 계정 잠금, 세션 종료, 악성 파일 격리, URL 차단, 방화벽 정책 반영, 티켓 업데이트, 담당 부서 알림 등이 여기에 포함된다.

모든 대응 조치를 자동으로 실행할 수 있는 것은 아니다. 악성 여부가 명확한 경우에는 빠른 조치가 필요하지만, 계정 잠금이나 주요 시스템 격리처럼 업무에 영향을 줄 수 있는 조치는 신중하게 실행해야 한다. SOAR은 플레이북을 통해 즉시 실행할 조치와 승인 후 실행할 조치를 구분할 수 있게 한다.

또한 대응이 끝난 뒤에는 기록이 남아야 한다. 어떤 알림이 발생했고, 어떤 정보가 확인됐으며, 어떤 조치가 실행됐는지 기록되어야 사후 분석, 감사 대응, 플레이북 개선에 활용할 수 있다. SOAR은 이러한 대응 이력을 체계적으로 남겨 보안 운영의 일관성과 추적성을 높인다.

White Paper

AhnLab SOAR Basic으로 구현하는 보안 운영 최적화

SOAR의 작동 방식

SOAR은 보안 알림이 발생한 뒤 필요한 정보를 모으고, 정해진 플레이북에 따라 조사와 대응 절차를 실행한다. 일반적인 작동 흐름은 다음과 같다.

1. 알림 수집

SOAR은 SIEM, EDR, NDR, 이메일 보안, 클라우드 보안 등 여러 보안 솔루션에서 발생한 알림을 수집한다. 각 솔루션에서 따로 확인하던 알림을 한곳으로 모아, 보안팀이 대응 대상을 통합적으로 확인하도록 지원한다.

이 단계에서는 알림의 출처, 유형, 위험도, 발생 시간, 관련 사용자와 자산 정보를 함께 확인한다. 이러한 정보는 보안팀이 어떤 알림을 먼저 처리할지 판단하는 데 활용된다.

2. 정보 보강

SOAR은 수집한 알림에 추가 정보를 연결한다. IP 평판, 도메인 정보, URL 분석 결과, 파일 해시, 사용자 부서, 단말 소유자, 최근 로그인 위치, 기존 티켓 이력 등이 여기에 포함된다.

이 과정을 정보 보강(enrichment)이라고 한다. 분석가가 여러 콘솔을 열어 확인하던 정보를 SOAR이 대신 조회한다. 이를 통해 보안팀은 단일 알림만 보는 것이 아니라, 해당 알림이 실제 위협인지 판단하는 데 필요한 정보를 함께 확인할 수 있다.

3. 플레이북 실행

플레이북은 특정 알림이나 사고 유형에 따라 어떤 순서로 확인하고 조치할지 정리한 대응 절차다. 피싱 신고, 악성 파일 탐지, 랜섬웨어 의심 행위, 계정 탈취 의심, 취약 서버 노출 등 사고 유형별로 플레이북을 만들 수 있다.

예를 들어 피싱 메일 대응 플레이북은 다음 흐름으로 구성될 수 있다.

• 신고된 메일의 발신자, URL, 첨부 파일을 확인한다.
• URL과 파일 해시를 위협 인텔리전스와 대조한다.
• 같은 메일을 받은 사용자를 검색한다.
• 위험이 확인되면 메일을 격리하거나 삭제한다.
• 클릭한 사용자가 있으면 계정과 단말 상태를 추가로 점검한다.
• 조치 결과를 티켓에 기록한다.

대응 절차가 문서로만 존재하면 담당자의 기억이나 경험에 의존하게 되고, 처리 방식이 사람마다 달라질 수 있다. SOAR에 플레이북으로 구현하면 정해진 절차를 일관되게 실행할 수 있다.

4. 대응 조치

SOAR은 플레이북에 정의된 조건에 따라 필요한 대응 조치를 실행한다. 계정 잠금, 세션 종료, 악성 파일 격리, URL 차단, IP 차단, 티켓 생성, 담당자 알림, 보고서 생성 등이 여기에 포함된다.

다만 모든 조치를 자동으로 실행하는 것은 위험할 수 있다. 악성 여부가 명확한 경우에는 즉시 실행할 수 있지만, 주요 계정 잠금이나 핵심 시스템 격리처럼 업무에 영향을 줄 수 있는 조치는 승인 후 실행하도록 설정할 수 있다. SOAR은 즉시 실행할 조치와 승인 후 실행할 조치를 구분해 대응 절차를 관리한다.

5. 기록 및 개선

SOAR은 누가 어떤 알림을 확인했고, 어떤 조치가 언제 실행됐는지 기록한다. 이 기록은 감사, 보고, 사고 재발 방지에 필요하다.

또한 SOAR은 한 번 구축하고 끝나는 솔루션이 아니다. 실제 운영 과정에서 플레이북이 적절했는지, 불필요한 단계는 없었는지, 승인 절차가 대응을 지연시키지는 않았는지 지속적으로 점검해야 한다. 이러한 개선 과정을 통해 SOAR의 플레이북과 운영 절차를 조직의 보안 운영 방식에 맞게 점차 정교화할 수 있다.

Case Study

AhnLab SOAR로 완성한 스마트 금융 보안 관제

FAQ