사이버 보안 최신 동향 : AI의 득과 실, 보안 인력 수요, 도구 난립

인공 지능은 위협 환경뿐만 아니라 보안 팀의 방어 방법에도 변화를 일으키고 있다. 그러나 사이버 보안 전문가가 주시하는 트렌드는 AI뿐만이 아니다. 
 
다른 모든 분야와 마찬가지로 사이버 보안의 현재 최대 관심사는 AI와 생성형 AI다. 악의적 행위자는 AI와 생성형 AI를 사용해 더 교활한 악성코드, 더 진짜 같은 피싱 이메일, 더 현실적인 딥페이크를 만들고 있다.
 

보안 업체도 사이버 보안 툴에 AI 기능을 도입해 대응하고 있다. 목표는 많은 양의 위협 인텔리전스 데이터를 집계하고 분석해 추세를 파악하고 취약점을 드러내고 새로운 공격 벡터를 밝히는 것이다. 생성형 AI는 보안 담당자가 실시간으로 데이터를 쿼리해서 더 빠르게 사고를 탐지하고 대응할 수 있게 해준다.
 
주요 트렌드 중 첫 번째는 AI다. 그러나 AI가 전부는 아니다. 현재 사이버 보안에서 가장 강세인 트렌드와 저물어 가는 트렌드는 다음과 같다.
 

뜨거운 트렌드 : 악의적 AI 사용

위협 행위자들은 발빠르게 AI 기술이 가진 힘을 악의적인 목적으로 이용하고 있다. 생성형 AI는 사이버 공격의 급증을 유발하면서 조직의 대처 비용을 상승시키는 동시에 공격의 생산성을 높이는 역할을 하고 있다.
 
AI의 위협은 여러 범주로 분류된다. 딜로이트 연간 사이버 보안 위협 추세 보고서에서는 2024년에 다음과 같은 AI 기반 위협이 기승을 부릴 것으로 지목했다.
 

• 딥페이크 : 위협 행위자들은 AI를 사용해서 진짜 같은 영상으로 특정인을 가장하는 딥페이크 비디오를 제작하고 있다. 회사 경영진이나 감독관으로 위장한 비디오로 직원을 속여 위조 계정으로 돈을 송금하도록 할 수 있다. 또는 IT 직원을 위장해서 최종 사용자를 속여 비밀번호를 비롯한 기타 자격 증명을 노출하도록 하는 경우도 있다. 사이버 범죄자들은 여전히 딥페이크를 활용할 비즈니스 모델을 물색하고 있으며, 더 많은 상용 딥페이크 제작 툴이 온라인에 등장하면서 위협은 더 확대될 것이다.
• 피싱 : 문법도 맞지 않고 말투도 엉성했던 과거의 투박한 피싱을 생각한다면 오산이다. AI가 생성하는 피싱 이메일은 과거와 같은 결점이 없으며, 해커가 진짜와 구분하기 어려운 이메일을 빠르게, 대량으로 작성할 수 있게 해준다.
• 비싱 : 피싱의 변형으로, 금융 사기 및 보호되는 시스템에 대한 무단 액세스를 위해 AI를 사용해서 특정인의 목소리를 복제한다.
• 악성코드 : AI는 위협 행위자가 전보다 훨씬 더 정교하고 효과적인 유형의 악성코드를 생성하고 배포할 수 있게 해준다.

 

뜨거운 트렌드 : 선의의 AI 사용

IT-하베스트(IT-Harvest)의 최고 연구 애널리스트인 리차드 스티넌은 "AI는 사이버 보안 업계 최대의 화두"라고 말했다. 스티넌에 따르면 새로운 세대의 신생업체를 포함한 업체들은 대규모 언어 모델(LLM)을 각자의 제품에 통합해서 사용자가 자신의 데이터와 대화하면서 인사이트를 얻도록 한다.
 
스티넌은 "LLM은 텍스트를 해석하고 번역하는 데 뛰어나며 따라서 위협 사냥, 이상 탐지, 사고 대응에 도움이 될 것은 분명하다”라고 말했다.
 
현재 가장 인기 있는 배포 모델은 코파일럿 또는 자문 역할에 AI 기반 시스템을 사용하면서 사람이 감독하고 최종 결정을 내리는 형태다. 그러나 사이버 보안 전문가 다니엘 미슬러는 인간 에이전트를 모방하는 자율 AI SOC 에이전트를 사용하게 될 날이 멀지 않았다고 말했다. 실제로 드롭존.ai(Dropzone.ai), 살렘 사이버(Salem Cyber)를 포함한 몇몇 신생업체는 인간 에이전트를 복제하고 자동으로 알림을 조사할 수 있는 사전 학습된 SOC 에이전트를 제공한다.
 
사이버리스크 얼라이언스(CyberRisk Alliance)의 최고 기술자 겸 선임 프로그램 책임자인 더스틴 삭스는 인력 부족과 기술 공백 문제를 겪고 있는 조직은 AI를 활용해서 보안 팀을 보강하고 운영 효율성을 높일 수 있다고 말했다. 생성형 AI는 이미 이 같은 방식으로 초급 SOC 애널리스트가 업무 역량을 개선하는 데 도움이 되고 있다.
 
기술 미래학자 버나드 마는 "2024년의 사이버 공격과 방어가 체스 게임이라면 AI는 퀸이다. 즉, 체스 게임을 가장 잘 하는 사람이 강력한 전략적 우위를 점할 수 있다”라고 말했다.
 

저무는 트렌드 : 보안 툴 난립 

툴 난립은 불가피한 현상이다. 보안 실무자마다 선호하는 툴이 다르고, 회사에는 끊임없이 직원이 들어오고 나간다. 시간이 지나면서 대규모 팀은 서로 기능이 중복되는 수십 개의 툴을 사용하게 된다. 시장조사 업체 IDC는 툴 난립이 위험을 파악해 대처하기가 어렵게 하고 사고 대응 속도를 늦추고 비용을 높이는 등 예기치 못한 보안 문제를 일으킨다고 지적했다.

CSO의 생각도 동일하며 그러한 이유로 IT 툴 모음을 통합할 방법을 찾고 있다. 
 
보안 툴의 난립을 해소하려면 공백과 중복을 파악한 다음 보안 툴 합리화를 통해 통합한다. 많은 기업은 보안 툴을 통합하기 위해 플랫폼 접근 방식을 택한다.
 
IDC의 보안 및 신뢰 부문 부사장이며 "보안 툴 난립의 영향"이라는 IDC 보고서 저자 중 한 명인 크리스 키셀은 "볼 수 없는 것을 보호할 수 없다는 검증된 진리가 있다. 문제는 조직에 툴이 너무 많은 경우 애널리스트는 기술 부채에 빠져 새로운 대시보드, 구문, 절차를 배우는 데 급급하게 된다는 것이다. 툴 난립이 이제 툴의 통합으로 이어지고 있다”라고 말했다.
 
IDC는 플랫폼 접근 방법을 택해 보안 애플리케이션 포트폴리오를 축소하면 비용 절감, 전체적인 보안 아키텍처 복잡성의 감소에 따른 보안 운영 효율성 개선, 공유와 확장이 더 용이한 보안 정책을 포함한 부가적인 이점도 얻을 수 있다고 설명했다.
 

뜨거운 트렌드 : 사이버 보안 인력에 대한 수요

cyberseek.org에 따르면 현재 구인 중인 사이버 보안 전문가 공석은 약 47만 개다. 평균적으로 사이버 보안 역할은 다른 IT 직종에 비해 채용에 21% 더 많은 시간이 걸린다. 또한 2023년 5월부터 2024년 4월까지의 통계를 보면 사이버 보안 일자리 100개당 사이버 보안 전문가의 수는 85명에 그쳤다.
 
보안 인력 부족에 따른 영향은 세계경제포럼의 '전 세계 사이버 보안 전망 2024'에도 구체적으로 나온다. 올해 응답자의 36%는 사이버 회복탄력성 목표 달성에서 가장 큰 과제는 인력 부족이라고 답했으며 응답자의 78%는 사이버 보안 목표를 완전히 달성하는 데 필요한 내부 인력을 갖추지 못했다고 답했다. 또한 ISC2 사이버 보안 인력 설문조사에서 사이버 보안 인력 부족으로 인해 조직이 사이버 보안 공격을 받을 위험이 '보통'부터 '극히 높다'까지 답한 응답자 비율은 57%였다.
 
CISO 직급에서는 약 3분의 1(32%)이 사이버 보안 인력 부족이 조직에 상당한 영향을 미쳤다고 답했다. CISO들은 이 문제에 대처하기 위해 직원 보존에 초점을 맞추고 경영진과 이사회를 대상으로 이 빈 틈을 줄이는 것의 중요성을 알리고 자동화와 서비스 파트너 확대에 대한 전략을 재검토해야 한다.
 
인터넷 보안 센터(Center for Internet Security)의 사이버 보안 역량 부문 전략 자문 부사장인 제임스 글로브는 "숙련된 사이버 보안 및 정보 기술 인력의 수요와 공급 격차는 계속 커지고 특히 공공 분야 조직에서 그 현상이 두드러질 것"이라고 전망했다.
 

뜨거운 트렌드 : 인수 합병

사이버 보안 업체 간의 인수합병 활동은 지난 몇 년 동안 뜸했지만 2024년부터 다시 증가하는 추세다.
 
시스코는 280억 달러 규모의 스플렁크(Splunk) 인수를 마무리했다. 브로드컴은 2019년에 인수한 시만텍을 VM웨어를 인수하면서 획득한 카본 블랙(Carbon Black)과 합쳐 엔터프라이즈 보안 그룹(Enterprise Security Group)이라는 새로운 사업부를 만들 것이라고 발표했다. IBM은 큐레이더(QRadar) SIEM을 팔로알토 네트웍스에 매각할 계획임을 발표했다. ID 보안 업체 사이버아크(CyberArk)는 ID 관리 부문 리더인 베나피(Venafi) 인수에 합의했다.
 
그 외에도 많다. 로그리듬(LogRhythm)은 엑사빔(Exabeam)과의 합병을 발표했고 지스케일러는 아발로어(Avalor), 크라우드스트라이크는 플로우 시큐리티(Flow Security), 코히시티(Cohesity)는 베리타스 데이터 보호 비즈니스, 소닉월(SonicWall)은 반얀 시큐리티(Banyan Security), 아카마이는 노네임 시큐리티(NoName Security)를 인수했다.
 
HPE가 네트워킹 업계에서 오래 활동해온 주니퍼 네트웍스를 인수한 것은 보안과는 무관한 사례지만, 대형 업체가 적극적인 인수를 통해 보안 구성요소를 포함한 광범위한 플랫폼을 구축하는 현재 추세에 부합하는 움직임이다.
 
이처럼 인수합병이 활발한 가운데, CISO는 새로운 통합 툴셋이 미치는 영향, 회사가 의존하는 솔루션에 대한 새로운 감독 체계, 인수에 따른 업체 제품 및 전략의 변화에 대처해야 한다. 이를 위한 출발점은 적절한 질문을 하는 것이다.
 

저무는 트렌드 : 사일로화된 보안

보안이 사일로 형태로 존재했던 시절은 끝났다. 보안은 갈수록 기술 스택과 비즈니스의 전반에 통합되고 있다. 예를 들어 "시프트 레프트" 추세에 따라 보안을 소프트웨어 개발 프로세스 내에 통합해서 프로세스 전반에서 보안을 염두에 두고 코드를 작성, 테스트, 배포한다. 최근 깃랩의 글로벌 데브섹옵스 설문조사에서 데브옵스 또는 데브섹옵스를 사용한다고 답한 소프트웨어 개발, 보안 및 IT 리더는 56%로, 지난해 조사에 비해 9% 늘었다. 도입을 촉진하는 가장 큰 혜택은 보안 강화였다.
 
보안과 네트워킹은 네트워킹과 보안 툴(SD-WAN, 네트워크 방화벽, 제로 트러스트 네트워크 액세스, 클라우드 액세스 보안 브로커(CASB), 보안 웹 게이트웨이(SWG)를 결합하는 단일 업체 SASE 형태로도 병합되고 있다. 가트너에 따르면 통합 네트워크 및 서비스형 보안을 제공하는 솔루션의 인기가 높아지고 있다. 가트너는 2027년까지 새로운 SD-WAN 구매의 65%가 SASE 솔루션의 일부가 될 것으로 예측했다.
 
대대적인 보안 침해 사건이 끊임없이 발생하면서 보안은 SOC를 한참 넘어섰다. 새로운 앱을 안전하게 배포하기 위해 보안 팀과 비즈니스 팀이 협력하고 보안 경영진은 규정, 법률, 보험 및 위험 관리 팀과 보조를 맞춘다. 또한 많은 조직에서 보안 경력을 갖춘 사람을 이사회 임원으로 두는 것이 필수 사항이 됐다.
 

뜨거운 트렌드 : 갈취

랜섬웨어의 악질적인 사촌격인 갈취가 증가 추세다. 버라이즌 데이터 침해 보고서에 따르면 전체 침해 사고의 9%에 갈취가 포함된다. 랜섬웨어 공격은 공격 대상의 데이터를 잠그고 몸값을 지불하지 않으면 이 데이터를 삭제하거나 다크 웹에 판매하겠다고 협박하는 수법인 반면 갈취 공격은 민감하거나 당황스러운 정보를 공개하겠다며 피해자를 협박한다.
 
생성형 AI를 사용하면 이미지, 비디오 또는 오디오 등을 컴퓨터로 생성할 수 있으므로 정보가 진짜 정보일 필요도 없다. 갈취는 꼭 단독으로 일어나지는 않는다. 랜섬웨어와 결합되어 DDoS 공격, 데이터 암호화 및 유출, 민감한 기업 데이터 및 경영진 개인 데이터, 고객 정보 노출 위협까지 다면적 공격을 구성할 수도 있다.
 
랜섬웨어와 마찬가지로 갈취 시도에 대한 최선의 방어 역시 강력한 데이터 보호, 강력한 안티 피싱 정책과 절차, 그리고 공격을 감지하고 차단하는 역량이다.
 

뜨거운 트렌드 : IoT를 노린 공격

IoT는 기업이 연결된 센서를 통해 물리적 자산을 계측해서 성능 모니터링, 문제 해결, 예방적 유지보수를 수행할 수 있는 방법이다. 그러나 방어가 취약해 사이버 공격의 표적이 되기도 한다.
 
주요 외부 공격원을 묻는 포레스터는 설문조사에서 IoT 시스템이 32%로 1위를 기록했고, 기업 소유 컴퓨터(28%)와 직원 소유 디바이스(26%)가 뒤따랐다. 또한 IoT 디바이스가 표적이 된 경우 침해 비용도 더 높았다. 제대로 방어되지 않는 IoT 디바이스는 침해가 발견되기 전까지 더 오랜 기간 취약한 상태로 방치되기 때문이다.

따라서 IoT와 연결된 디바이스가 애플리케이션 공격 표면 증대의 가장 큰 원인으로 작용하는 것도 당연하다. 공격자들이 2016년의 미라이(Mirai) 봇넷과 같은 오래된 악성코드를 다시 끄집어내서 손을 본 다음 특히 의료 및 제조와 같은 업계의 IoT를 대상으로 새로운 공격을 시도할 정도로 현재 상황은 심각하다.

이에 대응해서 사이코그니토(CyCognito), 사이뮬레이트(Cymulate), 포스카우트(Forescout), 마이크로소프트, 랜스위퍼(Lansweeper) 등은 조직에서 현재 사용 중인 IoT 디바이스의 수를 파악할 수 있는 툴과 취약성 위험 관련 정보를 제공한다. 또한 키팩터(Keyfactor), 탈레스 그룹(Thales Group), 유티마코(Utimaco)와 같은 업체는 IoT 디바이스를 위한 ID 및 액세스 관리를 제공한다.
editor@itworld.co.kr