보안 리스크 예측 시리즈-전체 개요

• 공격 가능성(Threat likelihood) : 지금 이 자산이 공격받을 확률

• 영향도(Impact) : 공격이 성공했을 때 업무/데이터/금전 손실 규모

• 노출면(Exposure) : 외부 노출, 권한 과다, 계정 공유, 공개 포트 등

• 탐지·대응 능력(Detect/Respond) : 현재 가시성(로그)과 대응 속도

• 시간 요인(Time-to-risk) : “앞으로 며칠 안에” 위험이 커질 조짐

• 알림 과잉 : 이벤트는 쏟아지는데, 진짜 위험이 묻힘

• 우선순위 혼선 : “중요한 취약점”과 “지금 당장 터질 것”이 다를 때가 많음

• 증거 부족 : 데이터 품질(수집/정규화/자산 태그)이 흔들리면 예측도 흔들림

• 조치 지연 : 승인/역할/책임 경계가 모호하면 리스크가 커지는 속도를 못 따라감

1) 관측 데이터(로그·텔레메트리) 기반의 신호화

• 인증/권한 이벤트(SSO, AD, IAM), 네트워크 흐름, EDR 행위, 클라우드 감사 로그 등

• 핵심은 “많이 모으기”가 아니라 필드 표준화(누가/어디서/무엇을/결과)와 자산 태깅(중요도/노출/소유자)입니다.

2) 분석/모델링: 위험 점수의 “근거” 만들기

• 규칙 기반(룰/상관분석): 빠르게 시작 가능, 설명 가능성이 높음

• 통계/ML 기반(이상탐지, 분류, 시계열): 변화 감지와 우선순위 정교화에 강점

• 그래프 기반(관계/권한/경로): “이 계정이 뚫리면 어디까지 번지는지” 같은 확산 리스크에 유리

3) 실행(Automation): 예측을 “조치”로 연결

• 자동 티켓 생성, 증거 수집, 임시 제한(세션 리셋/MFA 재요구), 격리/차단 등

• 중요한 건 안전장치(승인 게이트, 범위 제한, 원복 루틴)입니다. 예측이 맞아도 조치가 위험하면 운영이 멈춥니다.

1) “취약점” 우선순위 재정렬

• 점수(CVSS)만 보는 대신, 외부 노출 + 실제 공격 징후 + 자산 중요도를 결합해 “지금 패치해야 할 목록”을 만듭니다.

2) 계정 탈취/권한 남용 조기 감지

• 신규 지역 로그인, 비정상 세션 길이, 권한 상승 패턴 등 “전조”를 묶어서 경보를 선제화합니다.

3) 클라우드 설정 드리프트 리스크 예측

• 수동 변경, 권한 과다, 공개 스토리지/보안그룹 같은 조합을 위험 신호로 잡고 사전 차단합니다.

4) 랜섬웨어/내부 확산 리스크 완화

• 자산 간 연결(공유 폴더, AD 권한, 관리 포트)을 기반으로 “확산 경로”를 예측하고, 먼저 끊어냅니다.

Q1. 예측형 보안은 SIEM이랑 뭐가 다른가요?

• SIEM은 주로 수집·상관분석·가시화가 중심이고, 예측형 보안은 거기에 미래 리스크(우선순위) 추정 + 선제 조치 연결이 더해진 개념입니다. SIEM은 예측형 보안의 “허브”가 될 수 있지만, 예측 자체는 데이터 품질/모델/운영 루틴에 달려 있습니다.

Q2. 예측이 안되면(정확도가 낮으면) 무엇부터 손봐야 하나요?

• 대부분 모델 문제가 아니라 데이터 문제입니다.

• 자산 태깅(중요도/노출/소유자), 2) 핵심 필드 누락(사용자/호스트/IP/시간), 3) 로그 지연·누락부터 정리하면 예측 품질이 먼저 올라갑니다.

Q3. 리스크는 뭐가 가장 큰가요?

• 가장 큰 리스크는 예측 점수를 ‘진실’로 착각하는 것입니다. 점수는 의사결정을 돕는 신호이지 판결문이 아닙니다. 그래서 운영에서는 (1) 설명 가능성, (2) 검증 루프, (3) 조치 안전장치가 같이 필요합니다.

Q4. 자동 조치가 오탐으로 실행되면 원복(롤백)은 어떻게 하나요?

• 원복은 “사람이 수동으로 되돌리는 절차”가 아니라, 같은 자동화 체인 안의 롤백 플레이북이어야 합니다.
  차단/격리/권한 변경은 “무엇을 바꿨는지”가 기록돼야 즉시 되돌릴 수 있고, 원복 실행 권한과 승인 기준도 사전에 정의돼 있어야 안전합니다.

Q5. 작은 조직도 예측형 보안을 할 수 있나요?

• 가능합니다. 처음부터 ML로 시작하기보다, 룰 기반 우선순위(노출+자산 중요도+최근 이벤트)로 시작해도 효과가 큽니다. 그 다음 데이터가 쌓이면 이상탐지/시계열 같은 고급 기법을 단계적으로 얹는 방식이 안정적입니다.