웨비나속 Q&A

방화벽, Proxy, DRM, PC보안솔루션, IPS/IDS, DDoS, Virus, WAF 등이 될 것 같습니다.

안녕하세요. Splunk 기본적으로 키=밸류 경우 자동으로 파싱이 됩니다. 다만 정형화 되어 있지 않는 데이터 경우는 엔지니어가 직접 필드 추출을 진행 해야 합니다.

1) 실제적용 예시: 클라우드 사이트 업로드 (주말) 2) 효과: 임직원 이상행위에 대한 모니터링 및 대응, 보안 교육의 효과보다는 훨씬 좋을 것으로 판단됩니다.

1) 지원부서 임직원이 개인정보 문서를 출력 2) 퇴사자 계정으로 SVPN 접속 성공 건 추출 3) 업무시간 外 DB에 접속한 사용자 탐지 (업무시간 外 : 공휴일및평일오후10시~오전6시)

Splunk 는 실시간 이상행위 탐지 시나리오를 구동함으로써 동작을 하고 있구요, 빅데이터 플랫폼으로 분산검색에 의한 빠른 탐지를 제공합니다.

Splunk Deep Learning Tookit(DSDL) 을 이용하여 DGA 등과 같은 위협에 대해서 탐지를 하고 있습니다. 물론 지도학습 ML 로도 탐지 할 수도 있습니다.

네, 알겠습니다. 답변 감사합니다.

1) 위험점수는 개인별로 탐지된 시나리오에 대해서 전체 대비 탐지된 시나리오 카운트 및 위험도 값과 추가적으로 시나리오별 가중치를 두고 계산하고 임계값은 설정하기 나름입니다. 2) Splnk UBA 에서는 비지도 학습 기반으로 Unknown Anomaly Detection 을 수행하여 이상행위를 탐지하고 있습니다. 자세한 내용이 필요하시면 영업을 통해서 UBA 소개 자료를 전달하겠습니다.

SOAR 플레이북 작성시 말씀하시는것으로 판단되고 보안장비에 Action 할 경우 Prompt 에 의한 담당자 개입없이 진행될 경우 오류가 발생 할 것으로 판단됩니다.

임계치라고 하면 룰기반을 말씀하시는것 같은데요, 알려진 룰과 ML 기반 탐지는 다른 것이라서 알려진 룰은 정확도가 높구요, ML 기반은 모델에 따른 차이가 있을것 같습니다.

감사합니당

Purple AI는 자동 점검 결과에 따라 긴급 상황에 대한 알람을 직접적으로 보내는 기능을 제공하지 않습니다. 그러나 SentinelOne의 플랫폼 내에서 자동화된 경고 및 알림 시스템을 설정할 수 있는 방법이 있습니다.

Purple AI는 AI 기반의 사이버 방어 솔루션으로, 학습된 공격 패턴을 기반으로 새로운 공격 시나리오를 예측하고 선제적으로 방어 전략을 수립하는 데 다음과 같은 방식으로 기여합니다. 고급 데이터 분석: Purple AI는 대량의 보안 데이터를 실시간으로 분석하여 과거의 공격 패턴을 학습합니다. 이를 통해 AI는 특정 공격 유형의 전개 방식, 사용되는 도구 및 기법(TTPs)을 인식하고, 새로운 공격 시나리오를 예측할 수 있습니다. 패턴 인식 및 예측 모델링: 머신러닝 알고리즘을 활용하여 Purple AI는 공격 패턴을 인식하고, 이를 기반으로 예측 모델을 구축합니다. 이러한 모델은 과거 데이터를 기반으로 미래의 공격 가능성을 평가하고, 특정 환경에서 발생할 수 있는 위협을 사전에 식별합니다. 위협 인텔리전스 통합: Purple AI는 다양한 위협 인텔리전스 소스에서 정보를 수집하고 분석하여 최신 공격 동향을 반영합니다. 이를 통해 AI는 현재의 위협 환경을 이해하고, 새로운 공격 시나리오에 대한 예측을 더욱 정확하게 수행할 수 있습니다. 자동화된 방어 전략 수립: AI는 예측된 공격 시나리오에 따라 자동으로 방어 전략을 수립하고 실행할 수 있습니다. 예를 들어, 특정 공격이 발생할 가능성이 높다고 판단되면, Purple AI는 해당 공격에 대한 방어 조치를 미리 설정하고, 필요한 경우 자동으로 실행할 수 있습니다. 상황 인식 향상: Purple AI는 보안 팀에게 실시간으로 상황 인식을 제공하여, 공격이 발생하기 전에 미리 대응할 수 있는 기회를 제공합니다. AI는 공격의 징후를 조기에 탐지하고, 보안 팀에게 경고를 보내어 선제적인 조치를 취할 수 있도록 합니다. 지속적인 학습 및 개선: Purple AI는 새로운 공격 패턴과 방어 전략을 지속적으로 학습하여, 시간이 지남에 따라 예측의 정확성을 높입니다. 이는 AI가 새로운 위협에 적응하고, 방어 전략을 개선하는 데 기여합니다.

AI SIEM은 많은 작업을 자동화하여 보안 팀의 효율성을 높일 수 있지만, 사람의 개입이 필요한 부분이 존재하며 복잡한 사건 조사, 정책 설정, 상황 판단 등은 보안 전문가의 경험과 지식이 필요합니다.