보안 위협 탐지 도구의 대시보드에 '배포됨'으로 표시된 탐지 규칙(detection rule)이 실제로는 제대로 작동하지 않는 경우가 많다는 연구 결과가 나왔습니다. 보안 기업 Conifers가 고객사 14,652개 탐지 항목을 분석한 결과, 평균적으로 47%의 탐지 규칙이 문제를 안고 있었습니다. 로직 오류, 데이터 수집 중단, 잘못된 테이블 참조, 중복 규칙, 과도한 오탐 등 다섯 가지 유형의 결함이 있었으며, 이 모두가 대시보드에서는 정상으로 보입니다. 또한 조직이 자체 위협 인텔리전스(threat intelligence, 내부적으로 파악한 위협 정보)로 식별한 위협 중 평균 37% 이상에 대해 실질적인 탐지 대응이 없는 것으로 나타났습니다. MITRE ATT&CK(공격 기법 분류 체계) 기준으로도 관련 공격 기술의 약 3분의 1에 신뢰할 수 있는 탐지가 없는 상태입니다.
Conifers가 고객사 탐지 규칙 14,652건을 분석한 결과, 평균 47%가 실제로는 작동하지 않는 결함 상태였다. 대시보드에는 '배포됨'으로 표시되지만, 공격자가 해당 기법을 사용해도 알림이 발생하지 않는 구조적 문제다.
조직이 자체 파악한 알려진 위협의 약 37%에 대해 탐지·헌팅·가시성이 전혀 없었으며, MITRE ATT&CK 관련 기법 기준으로도 약 36%가 실질적 탐지 없이 방치되어 있다.
텔레메트리(telemetry, 보안 장비로부터 수집되는 로그·이벤트 데이터)가 변경·중단되어도 탐지 규칙은 그대로 남아 '작동 중'처럼 보이기 때문이다. 또한 벤더가 제공하는 탐지 규칙은 보안팀이 내부 로직을 볼 수도, 수정할 수도 없다.
연구진은 위협 인텔리전스와 탐지 로직을 자동으로 연결하는 AI 기반 접근법을 제안하며, 탐지 엔지니어가 전략을 지휘하고 시스템이 인텔리전스→헌팅→탐지→텔레메트리 보정의 전 과정을 처리하는 구조를 권고했다.
대시보드 지표(규칙 수, 배포 비율)만으로 탐지 커버리지를 측정하는 것은 신뢰할 수 없다. 탐지 규칙이 실제로 발화(fire)하는지 지속적으로 검증하고, 위협 인텔리전스 대비 탐지 공백을 주기적으로 점검해야 한다.
본문
탐지 규칙은 커버리지 대시보드에 '배포됨'으로 표시될 수 있지만, 실제로 해당 규칙이 잡도록 설계된 공격 기법을 공격자가 사용해도 전혀 발화하지 않을 수 있다.
Conifers는 고객사 전체에서 14,652건의 탐지 항목을 평가했다. 여기에는 고객이 직접 작성한 규칙과 SIEM(보안 정보·이벤트 관리), 엔드포인트, 클라우드, 아이덴티티, 이메일, 네트워크 도구에서 벤더가 관리하는 탐지 항목이 포함된다. 연구 결과, 평균적인 조직에서 47%의 탐지 항목이 개선이 필요한 상태였다.
다섯 가지 유형의 결함
로직 버그(logic bug)는 탐지가 실행은 되지만, 잘못된 연산자·파싱 오류·절대 참이 될 수 없는 조건 때문에 대상 기법이 사용되어도 발화하지 않는 문제다. 텔레메트리 누락(missing telemetry)은 탐지가 데이터 흐름이 중단됐거나, 애초에 수집이 설정되지 않았거나, 형식이 변경된 데이터 소스를 대상으로 계속 실행되는 경우다.
탐지가 필요한 이벤트가 없는 잘못된 테이블이나 인덱스를 쿼리하면서도 대시보드에서는 모든 것이 정상으로 보일 수도 있다. 중복 탐지(duplicated detection)는 약간의 변형만 있을 뿐 같은 행위를 다루는 규칙이 여러 개 존재해 커버리지를 늘리지 않으면서 알림 양과 유지 관리 부담만 증가시킨다. 노이즈가 많은 탐지(noisy detection)는 너무 자주, 너무 낮은 정밀도로 발화해 분석가들이 무시하는 법을 배우게 만드는 규칙이다.
Conifers에 따르면 이 다섯 가지 유형 모두 한 가지 공통점이 있다. 이들 탐지 항목은 모두 커버리지 대시보드에 '배포됨'으로 표시된다.
DTX의 CTO Rutger de Boer는 "위협 탐지의 근본적인 문제는 탐지 규칙이 잘못 작성된 것이 아니라, 그 아래에 깔린 텔레메트리가 변화하면서 누구도 인지하지 못한 채 탐지가 오래되고 무력해진다는 것"이라고 말했다.
그는 이번 연구가 "매일 고객들을 통해 목격하는 것을 검증해 준다"고 덧붙였다.
de Boer는 "탐지를 지속적으로 대규모로 테스트함으로써 조직은 보안 태세에 대한 확신을 얻는 동시에 분석가의 수작업 부담을 크게 줄일 수 있다"고 했다.
보안팀이 편집할 수 없는 탐지 규칙
연구 결과에 따르면, 탐지 영역에서 SIEM이 차지하는 비중은 소수에 불과하다. 엔드포인트 플랫폼, 클라우드 보안 도구, 아이덴티티 공급자, 이메일 게이트웨이, 네트워크 센서가 각자 탐지 기능을 내장하고 있으며, 이것들이 분석가 큐에 올라오는 대부분의 알림을 만들어 낸다.
보안팀은 벤더가 통제하는 탐지 항목의 내부 로직을 확인하거나 변경할 수 없다. 연구진에 따르면, 이 경우 탐지가 노이즈가 심할 때 선택지는 두 가지뿐이다. 해당 탐지를 억제(suppress)하고 탐지 공백을 감수하거나, 계속 알림이 큐를 넘치게 두는 것이다.
커버리지 없는 알려진 위협
Conifers는 각 조직이 자체 위협 인텔리전스로 식별한 위협 환경 중 매칭되는 탐지·헌팅(hunting)·보완 가시성이 얼마나 되는지도 측정했다. 평균적으로 조직들은 자체 인텔리전스가 관련 있다고 식별한 위협의 63%에 대해서만 커버리지를 갖추고 있었으며, 이는 알려진 위협의 3분의 1 이상이 운영 방어 체계 없이 방치되어 있음을 뜻한다.
연구진에 따르면, 이 공백은 인텔리전스 보고서·피드·브리핑을 탐지 로직과 헌팅 가설로 전환하는 과정이 수작업에 의존하고 느리기 때문에 발생한다.
연구진은 이 공백을 메우기 위해 위협 인텔리전스와 직접 연결되어 탐지와 헌팅을 자동으로 생성하는 AI가 필요하다고 주장한다. 이 접근법에서 탐지 엔지니어와 헌터는 전략을 지휘하고 판단을 내리며, 시스템은 인텔리전스→헌팅, 헌팅→탐지, 커버리지 공백→텔레메트리 보정으로 이어지는 전 과정을 처리한다.
각 조직의 위협 환경, 기술 스택, 도구 및 통제 수단을 기준으로 관련 있는 MITRE ATT&CK 기법 대비로 측정했을 때, 평균 보호율은 64%였다. 이는 관련 기법 3건 중 1건에 신뢰할 수 있는 탐지가 없음을 의미한다.
Conifers의 CEO Tom Findling은 "수년간 업계는 규칙과 도구의 수로 탐지 역량을 측정해 왔다. 하지만 배포됨(deployed)은 보호됨(protected)과 같지 않다"고 말했다.
Findling은 보안팀이 "어떤 탐지가 작동하고, 어떤 위협이 아직 미탐지 상태이며, 인텔리전스가 얼마나 빠르게 보호 체계로 전환되는지"를 파악해야 한다는 입장이다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
