클라우드플레어, 비정형 보안 인텔리전스를 자동 분석하는 위협 시그널 출시

위협 인텔리전스 자동화의 도입

클라우드플레어가 공개 출처 기반의 비정형 위협 보고서를 실행 가능한 데이터로 변환하는 위협 시그널(Threat Signals) 기능을 출시하고 모든 계정에 제공하기 시작했다. 이 기능은 보안 분석가의 분석 방식을 모사한 에이전트 스킬을 바탕으로 보고서 요약, 핵심 맥락 추출, 침해 지표 정규화, 태그 지정을 자동으로 수행한다.

그동안 보안 조직은 구조화된 위협 피드를 보안 정보 및 이벤트 관리(SIEM) 시스템이나 웹 애플리케이션 방화벽(WAF)에 연동해 활용해 왔다. 반면 보안 연구 블로그나 공개 보고서 같은 비정형 데이터는 유의미한 지표를 추출하고 그 배경 맥락을 유지하는 과정에서 많은 수작업이 요구되어 대규모 확장이 어려웠다.

맥락 상실 문제와 수작업의 한계

보안 연구원들은 취약점, 악성 인프라, 피싱 캠페인, 악성코드 군 등에 관한 상세한 분석 보고서를 정기적으로 게시한다. 단순한 피드 구독 도구로 새로운 보고서를 발견할 수는 있지만, 이를 실질적인 방어 조치로 연결하기 위해서는 분석가의 전문적인 판단이 필수적으로 개입되어 왔다.

분석가는 보고서를 읽고 요약하며, 연관 지표를 식별해 일관된 형식으로 변환하고, 내부 분류 체계에 맞춰 태그를 붙인 뒤 위협 인텔리전스 플랫폼에 입력하는 과정을 거친다. 수십 개의 출처를 대상으로 이 작업을 반복하면 지표가 원래의 보고서 맥락과 분리되어, 수 주 뒤 차단 목록에 등록된 도메인이 왜 위험한지 추적하기 어려워지는 문제가 발생한다.

위협 시그널의 구체적 동작 과정

위협 시그널은 RSS 2.0, Atom, RSS 1.0(RDF)의 세 가지 규격을 지원하여 조직이 지정한 외부 보고서 피드를 주기적으로 모니터링한다. 등록된 피드는 워크플로를 거쳐 브라우저 런의 마크다운 변환 기능을 통해 정제된 텍스트로 가공된 뒤 클라우드플레어 R2 저장소에 저장된다.

저장된 본문은 침해 지표 추출기와 클라우드포스 원(Cloudforce One) 기본 스킬을 거쳐 요약문 생성, 침해 지표별 맥락 추가, 계정 설정 기반 태깅 작업을 거친다. 추출된 침해 지표는 계정 전용 위협 시그널 데이터셋 내부의 위협 이벤트로 생성되며, 원래의 출처 보고서 및 태그와 영구적으로 연결되어 유지된다.

실무 적용을 위한 데이터 신뢰성 확보

초기 개발 과정에서 자유로운 인공지능 태깅 방식은 조직 내부의 분류 체계와 충돌하여 혼란을 초래하는 것으로 확인되었다. 이에 따라 위협 시그널은 각 계정에 이미 등록된 기존 태그 목록 범위 내에서만 인공지능이 분류를 적용하도록 제한되었다.

또한 태그가 시스템에 의해 자동으로 부여되었는지 분석가가 수동으로 입력했는지 여부를 메타데이터로 명시하여 결과물의 신뢰도를 높였다. 분석가들은 단순 요약보다 지표와 원문 보고서 사이의 연결 고리를 통해 특정 지표가 왜 위험한지 근거를 즉시 검증할 수 있게 되었다.

방화벽 연동과 계층별 제공 조건

위협 이벤트를 통해 확보된 침해 지표는 클라우드플레어 방화벽(WAF) 정책에 직접 연동되어 애플리케이션 및 인프라 보호에 즉시 활용될 수 있다. 전용 데이터셋 형태로 격리 저장되므로 다른 계정과 데이터가 섞이지 않으며, 대시보드와 응용프로그램 인터페이스(API)를 통해 통합 조회가 가능하다.

기본 제공 범위에서 모든 계정은 1개의 피드를 등록할 수 있으며 가공된 데이터는 최대 30일간 보관된다. 더 많은 피드 등록, 장기 보관, 독점 위협 인텔리전스 데이터셋 접근, 맞춤형 에이전트 스킬 생성, 사용자 정의 방화벽 규칙 적용 등의 확장 기능은 엔터프라이즈 계층에 한해 차등 제공된다.