OWASP 세미나 정리: AI SOC, 침해사고 대응의 의사결정, 보안 컴플라이언스 엔지니어

OWASP 세미나에서 들은 발표를 정리했습니다. 발표자분들의 내용을 제가 이해한 대로 적은 노트입니다.

Knowledge-based Context-Aware AI SOC — 배경석, 조성환

SOC의 업무는 알람 발생 → 원인 조사 → 필요하면 추가 조사 → 맥락 검색·공유로 이어집니다. 조사에는 플레이북이 있지만 반드시 그대로 따르는 것은 아니고, 대응 절차, 데이터에 대한 지식, 관련 엔티티를 기본으로 알고 있어야 합니다. 이 지식을 AI가 맥락으로 활용하게 하는 것이 발표의 주제였습니다.

침해사고 대응 현장에서 배우는 의사결정 — 유안지

서비스 장애로 발견된 서버 프로그램, 웹 셸, RDP 접근으로 생긴 사고 같은 사례를 바탕으로, 대응 중에 내려야 하는 판단을 다뤘습니다.

판단	발표에서 들은 기준
보안 사고인가	CPU·메모리 점유, 서버 속도 같은 현상에서 시작하지만 흑백으로 나뉘지 않음
악성 프로세스를 언제 종료하나	바로 종료하면 프로세스 정보가 사라지므로, 현상을 유지하며 정보를 최대한 확보. 단, 랜섬웨어처럼 예외가 있음
어디까지 조사하나	지금 찾은 경로가 다른 시스템에 영향을 줄 수 있는지를 중심으로 판단
침해가 시작됐다고 보는 기준	여러 증거로 침해 가설을 세워 판단. 증거가 많다고 모두 같은 공격은 아님

대응은 증거로 가설을 세우고 → 결정하고 → 조치하고 → 새 단서가 나오면 다시 가설을 세우는 반복입니다. 그 과정에서 시간, 서비스 연속성, 증적 보존, 인력과 범위, 불완전한 로그를 함께 고려해야 합니다.

질의응답에서 나온 것: 정해진 시간 안에 근본 원인을 못 찾으면, 확인한 현상을 바탕으로 기술적 원인을 막을 보완책과 같은 공격을 막을 방법을 대안으로 제시한다. 학생에게는 다양한 시스템과 분야의 배경지식을 쌓는 것을 추천했다.

SCE: 보안 컴플라이언스 엔지니어

SCE(Security Compliance Engineer) 는 정책을 알고, 시스템을 이해하고, 그것을 구현하는 보안 담당자입니다.

• API 연동으로 정책 준수 여부를 자동 확인
• GRC 도구로 인증 업무 자동화
• AI 시대의 역할은 prototyper, builder, sweeper, grower, maintainer 다섯 가지로 바뀔 것

발표에서 제안한 준비는 세 가지였습니다. 규제 한 항목을 클라우드 설정으로 옮겨 보기, 자동화를 직접 만들어 보기, AI와 함께 작업해 보기.

정리

침해사고 대응 발표에서 "바로 지우지 말고 먼저 남겨라"는 판단이 인상 깊었습니다. 리버싱을 하면서 프로그램을 멈춰 두고 상태를 살피던 것과, 실제 사고 현장에서 증거를 보존하는 것이 같은 감각이라고 느꼈습니다.