CruxSIEM 개발일지

[CruxSIEM 개발일지 #1] 사후 분석을 넘어 선제적 대응으로: MITRE ATT&CK 기반 공격 시퀀스 탐지와 LLM 연계 아키텍처

PONERponix 2026. 11. 12. 00:49

1. 문제의식: 개별 보안 솔루션은 왜 최신 금융 침해사고를 놓쳤는가?

최근 금융보안원(금보원)의 '정보보호 상시평가 시스템' 침해사고(11월 9일 인지, 가짜 관리자 ID 생성 및 100여 개 IP 우회, 48개 금융사 자료 유출)와 금융당국이 발표한 37개 금융사 연쇄 침해 사례는 금융권 보안 아키텍처에 매우 중대한 질문을 던집니다.

"기업과 기관들은 이미 수많은 보안 솔루션(EDR, WAF, 방화벽, IAM, DLP 등)을 운영하고 있다. 그런데 왜 이 침해 행위들은 조기에 차단되지 못했는가?"

현업 엔지니어이자 솔루션 개발자의 관점에서 분석한 근본적인 한계는 다음 네 가지로 요약됩니다.

한계 요인 설정 복잡도 및 외주 위탁금융사 운영 부담으로 기본 정책만 유지정교한 교차 상관분석(Cross-Correlation) 룰 부재

예를 들어, IAM에서 "신규 계정이 생성되었다"는 것은 일반적인 인사·운영 이벤트입니다. 여기에 "관리자 권한이 부여되었다"는 것도 신임 관리자 발령일 수 있습니다. 하지만 "방금 생성된 관리자 계정이 평소와 다른 복수 IP를 통해 민감 개인정보 테이블을 대량 쿼리하고 외부로 반출한다"면 이것은 명백한 고위험 침해 시퀀스입니다.

개별 이벤트는 '정상'이거나 '경미'하지만, 이들이 연결된 공격 흐름(Sequence)을 실시간으로 추적하지 못하면 침해를 사전에 막을 수 없습니다.

2. CruxSIEM의 패러다임 전환: 개별 탐지에서 '공격 시퀀스 탐지'로

CruxSIEM이 지향하는 핵심 가치는 명확합니다.

"공격이 끝난 뒤 원인을 파헤치는 사후 SIEM이 아니라, 첫 번째 위험 신호가 잡히는 순간 다음 공격 단계를 예측하고 위험 신호가 이어질수록 선제 경고하는 통합 위협 탐지 플랫폼"

2.1 MITRE ATT&CK 기반 시퀀스 모델링

금보원 사고 유형과 같은 내부 권한 악용 시나리오를 기준으로, CruxSIEM은 공격의 전술과 기법을 다음과 같은 5단계 상태 전이(State Transition)로 모델링합니다.

[Step 1: Initial Access / T1136] 
  └─ 신규 계정 생성 (위험도: 관심 20)
       ↓ (30분 이내 동일 계정)
[Step 2: Privilege Escalation / T1098] 
  └─ 전체 관리자 권한 매핑 (위험도: 주의 50)
       ↓ (동일 세션 비정상 IP 분산 접근)
[Step 3: Defense Evasion / T1078] 
  └─ 다수 프록시/IP 우회 접근 (위험도: 경고 70)
       ↓ (특정 고객사 DB/문서 연속 호출)
[Step 4: Collection / T1213, T1119] 
  └─ 민감 데이터 대량 조회 (위험도: 심각 90 → 선제 알림 & 세션 일시정지)
       ↓
[Step 5: Exfiltration / T1041] 
  └─ 대량 파일 다운로드 / 외부 반출 시도 (위험도: 긴급 100 → 자동 차단)

2.2 상관분석 룰 개념 설계 (CRUX-FIN-001)

CruxSIEM 엔진 내부에서는 동일 사용자(user.id), 세션, 자산을 기준으로 슬라이딩 윈도우(Sliding Window) 내의 이벤트를 엮어 복합 룰을 평가합니다.

scenario_id: CRUX-FIN-001
name: Suspicious Privileged Account Activity Chain
correlation:
  entity: user.id
  window: 30m
  sequence:
    - event: account_created              # T1136
    - event: privileged_role_assigned     # T1098
    - event: sensitive_data_access        # T1213
conditions:
  - account_age_minutes <= 30
  - distinct_source_ips >= 3
  - document_access_count >= 20
response:
  - severity: critical
  - notify: SOC_URGENT
  - ai_prediction: generate_next_attack_candidates
  - action: revoke_session
  - approval: required_for_prod

3. 기술적 아키텍처: Wazuh + CruxSIEM + LLM의 실질적 역할 분담

영업적 수사와 엔지니어링 현실의 차이를 냉정하게 구분해야 합니다. Wazuh가 SentinelOne 같은 고가 상용 XDR의 행위 기반 커널 롤백을 100% 동일하게 대체할 수는 없습니다. CruxSIEM의 경쟁력은 각 오픈소스 및 레거시 솔루션의 장점을 유기적으로 연결하는 오케스트레이션 엔진에 있습니다.

3.1 컴포넌트별 명확한 역할 정의

컴포넌트 기술 스택 실질적 역할 및 기능 범위
Wazuh Agent / Manager Open Source Host IDS 호스트 레벨 로그 수집, 파일 무결성 감시(FIM), 시스템 감사, 1차 Active Response (스크립트 기반 차단)
CruxSIEM Core OpenSearch + Kafka/Flink 이종 로그 수집·정규화(ECS), 실시간 공격 시퀀스 상태 머신, MITRE ATT&CK 매핑, 시나리오 상관분석
Crux AI (LLM) 로컬 LLM (Ollama 등) 1단계 위험 발생 시 다음 예상 공격 시나리오 Top 3 추천, 관제사 브리핑 자연어 생성, 이상 징후 설명
Response Orchestrator SOAR 연동 모듈 금융권 컴플라이언스를 준수하는 승인 기반 API 자동 차단 (세션 강제 종료, 계정 Lock, IP 차단) 
[이벤트 소스]
  ├─ Wazuh Agent (호스트/OS 감사, FIM)
  ├─ 기존 EDR / XDR (엔드포인트 프로세스 트리)
  ├─ IAM / AD (계정 생성, 권한 변경 로그)
  └─ WAF / DB 감사 로그 (데이터 쿼리, 트랜잭션)
         │
         ▼
[CruxSIEM 수집 & 파이프라인 (Kafka / Flink)]
  └─ 이벤트 표준 정규화 (ECS 스키마 매핑)
         │
         ▼
[CruxSIEM 상관분석 엔진 (OpenSearch)]
  ├─ 엔티티(User, IP, Host) 기반 상태 머신 추적
  ├─ MITRE ATT&CK 다단계 시나리오 평가
  └─ 위험도 스코어링 (0 → 100)
         │
         ├──────────────────────────────┐
         ▼                              ▼
[Crux AI (LLM 엔진)]           [Response Orchestrator]
  ├─ 후속 공격 단계 3가지 예측      ├─ 금융 운영 승인 워크플로우
  └─ 관제 대응 가이드 자연어 생성    └─ API 자동 차단 (세션 킬, 계정 잠금)

3.2 LLM 도입의 기술적 원칙: "탐지는 확정적으로, AI는 예측과 설명에"

보안 시스템에서 LLM에게 직접 공격 차단 여부를 맡기면 환각(Hallucination)과 비결정론적 응답으로 인해 금융권 서비스 장애를 유발할 수 있습니다.

따라서 CruxSIEM은 다음 원칙을 고수합니다:

  1. 탐지 및 차단 판정은 결정론적 룰 엔진(Deterministic Rule Engine)이 수행합니다.
  2. LLM은 1단계 이벤트 발생 시 공격자의 다음 예상 경로를 가이드하고, 복잡한 다단계 로그를 관제사가 한눈에 파악할 수 있도록 상황을 요약하는 데 집중합니다.
  3. LLM 엔진이 다운되거나 지연되더라도 코어 SIEM의 시퀀스 탐지와 알림 파이프라인은 100% 정상 작동하는 Fail-safe 구조를 유지합니다.

4. 옵저버빌리티(Observability)와 보안 로그의 융합

금융권 대용량 통합로그 및 성능 모니터링 시스템인 CruxCPM을 개발·공급하면서 확인한 가장 큰 통찰은 "성능 장애와 보안 침해는 결국 같은 인프라에서 발생하는 동일한 신호의 양면"이라는 점입니다.

공격자가 침투하여 데이터베이스를 대량 쿼리하거나 파일을 외부로 반출할 때, 이는 보안 로그뿐만 아니라 APM 트랜잭션 급증, DB I/O 부하, 네트워크 트래픽 이상으로도 동시에 관측됩니다.

CruxSIEM은 기존 CruxCPM의 고성능 대용량 데이터 파이프라인 역량을 그대로 흡수하여, 인프라 옵저버빌리티 메트릭과 보안 시나리오를 단일 가시성(Single Pane of Glass)으로 결합하는 차별화된 아키텍처를 추구합니다.

5. 향후 개발 일정 및 PoC 검증 과제

  • [ ] PoC 데모 환경 구축: 금융보안원형 가상 감사 로그 생성기(Mock Generator) 및 Wazuh 이벤트 수집 파이프라인 연동
  • [ ] CruxSIEM 공격 시퀀스 룰 엔진 v1.0 구현: 30분 타임 윈도우 기반 User ID 상관분석 및 상태 전이 로직 검증
  • [ ] 로컬 LLM 연계 인터페이스: 1단계 이벤트 수신 시 후속 시나리오 프롬프트 엔지니어링 및 3초 이내 응답 레이턴시 확보
  • [ ] 승인 기반 대응(SOAR) 프로토타입: API 호출을 통한 테스트 계정 즉각 세션 만료 및 감사 로그 기록 기능 구현

기록일: 2026년 11월 12일
작성자: 예브게니 (CruxSIEM Tech Team)