그린라이트 파이낸셜, 아마존 베드록 기반 자율 보안관제로 월간 사건 90% 무인 처리

자율 보안관제 도입과 운영 성과

그린라이트 파이낸셜이 아마존 베드록 에이전트코어(Amazon Bedrock AgentCore)를 활용해 자율 보안관제센터(SOC) 솔루션인 루나(Luna)를 구축하고 현업에 적용했다. 루나는 매월 유입되는 3,000건에서 4,000건 규모의 보안 및 금융 위험 알림 중 90% 이상을 사람의 개입 없이 자율적으로 처리한다. 기존에 분석가가 건당 15분에서 30분씩 소모하던 일상 사건 분류 시간을 단일 자릿수 초 단위로 단축시켰다.

이 시스템 도입을 통해 그린라이트는 월간 900시간에서 1,800시간에 달하는 반복적인 수작업 분석 부담을 덜어냈다. 초기 1계층 자동화 단계에서 83% 수준이었던 자율 해결률은 심층 추론 계층과 학습 파이프라인이 결합되면서 90% 이상으로 상승했다. 사람 분석가에게 이관되는 사건 비율은 전체의 10% 미만으로 감소하여 고도의 판단이 필요한 영역에 집중할 수 있는 환경이 조성되었다.

수작업 한계와 시스템 구축 배경

가족 대상 직불카드와 저축 도구 등 금융 서비스를 제공하는 그린라이트는 주요 시중 은행과 동일한 수준의 엄격한 금융 규제 요구사항을 준수해야 한다. 사내 보안관제센터에는 다크웹 유출 카드, 계정 및 접근 이상 징후, 엔드포인트 탐지 및 대응(EDR)과 보안 정보 이벤트 관리(SIEM) 인프라 경보, 결제 부정 징후 등 4개 주요 경로에서 매달 수천 건의 알림이 쏟아졌다.

각 알림을 판정하려면 카드 활성 상태 조회, 중복 접수 여부, 고객 접속 기록, 고객지원 문의 내역 등 다수의 분산된 시스템을 교차 검증해야 했다. 유입 알림 전수를 수작업으로 검증하는 기존 방식은 매월 1,000시간에서 2,000시간의 노동력을 요구해 처리 한계에 부딪혔다. 이에 따라 일상 사건을 기계적 속도로 분류하고 복합 사건은 맥락을 갖추어 전달하는 지능형 시스템이 필수적으로 요구되었다.

계층형 관리자와 메모리 기반 학습

루나의 아키텍처는 사람 보안관제 조직의 1선과 2선 분업 체계를 모방한 다계층 관리자(Tiered Supervisor) 패턴을 채택했다. 1계층 관리자는 가상 사설 클라우드(VPC) 환경에서 30개 이상의 특화 에이전트를 조율하여 계정, 단말, 자산, 결제 내역 등을 확인하고 수초 내에 결론을 도출한다. 기준치를 초과하는 복잡성을 가진 상위 10%의 사건은 확장 추론 기능을 갖춘 파운데이션 모델 기반의 2계층 관리자로 이관된다.

2계층 관리자는 3개에서 5개 출처의 데이터를 교차 연계해 인과관계를 밝혀내고 증거 사슬을 포함한 심층 보고서를 생성한다. 정기 실행 및 긴급 호출 방식으로 운영되는 2계층은 복합 사건의 오탐을 줄이고 분석 정확도를 높인다. 아울러 외부 알림 자동 유입 파이프라인, 엔지니어 전용 직접 호출 인터페이스, 대화형 데스크톱 확장 도구의 세 가지 경로를 마련해 다양한 직군의 접근성을 확보했다.

단순 분류기를 넘어선 지속적 역량 향상은 에이전트코어 메모리 계층을 통해 구현되었다. 30일 롤링 윈도우 기반의 에피소드 메모리는 매주 반복되는 정기 유지보수 계정 접근을 학습해 자동 허용 목록에 등록하는 식의 패턴 인식을 수행한다. 장기 메모리는 특정 유출 출처의 73%에 달하는 위양성 비율 같은 운영 지식을 축적하며, 동일한 처리 결과가 3회 누적되면 확정 패턴으로 저장해 1계층의 판정 기준으로 즉각 환류한다.

금융 위험 확장과 규제상 제약 조건

그린라이트는 보안관제 안착 이후 두 달 만에 아키텍처 전면 재구축 없이 도메인 특화 에이전트를 추가해 다크웹 유출 카드 등 금융 위험 분류로 범위를 확장했다. 유출 카드가 탐지되면 결제 처리사 데이터베이스 조회, 중복 제거, 접속 이력 및 고객지원 티켓 교차 검증을 수초 만에 마친다. 기존 도메인에서 검증된 자산 조회나 티켓 검색 에이전트를 재사용함으로써 유지보수 비용을 낮추고 일관성을 확보했다.

다만 금융 규제 환경의 제약으로 인해 시스템이 독자적으로 차단이나 취소 같은 최종 조치를 실행하지는 않는다. 루나는 증거 수집과 위험 수준 판정, 권고안 도출에 집중하며, 실제 대응 조치는 사전 승인된 자동화 정책이나 사람 분석가의 명시적 승인을 거치도록 설계되었다. 또한 향후 자동화 점검에 검토 중인 스크립트 실행 도구의 90초 실행 시간 제한 등 운영상의 경계 조건도 명확히 인지하고 단계적 확장을 추진 중이다.