경보 소음을 줄이고 AI 판단 과정을 투명하게 기록하는 보안 운영 센터를 직접 구축하는 방법
보안 팀이 매일 마주하는 수천 개의 경보 속에서 진짜 위협을 가려내는 일은 여전히 사람의 손에 달려 있습니다. 이 저장소는 경보를 수집하고, AI 에이전트가 그 경보를 조사하며, 모든 판단 근거를 감사 가능한 기록으로 남기는 시스템을 제공합니다. 외부 API 키 없이 로컬에서 돌아가며, 보안 운영의 핵심 흐름을 내 서버에서 통제할 수 있게 합니다.
경보에서 대응까지의 흐름
생성된 경보는 관련 항목끼리 묶여 사건이 되며, AI 에이전트가 이를 조사합니다. 에이전트는 도구 호출과 프롬프트를 모두 기록하며, 최종적으로 대응 방안을 제안합니다. 이때 모든 단계는 사람이 승인해야만 실제 조치로 이어집니다. 새로운 위협 정보가 들어오면 기존에 수집한 데이터를 다시 스캔해 놓친 흔적을 찾기도 합니다.
투명한 판단과 감사 기록
AI의 판단은 단순히 결과만 보여주는 것이 아닙니다. 에이전트가 어떤 데이터를 보고, 어떤 도구를 호출했으며, 어떤 근거로 결론을 내렸는지는 '조사 원장'에 상세히 기록됩니다. 이 기록은 서명된 증거 번들로 내보낼 수 있어, 나중에 판단의 적정성을 검증하거나 감사할 때 사용할 수 있습니다. 또한 AI가 근거 없는 주장을 하면 자동으로 인간 검토로 전환되도록 설계되어 있어, 잘못된 자동 처리를 방지합니다.
로컬 모델과 데이터 연결
시스템은 외부 클라우드 API에 의존하지 않고, 로컬에서 실행되는 약 2GB 크기의 언어 모델을 기본으로 사용합니다. 이는 네트워크 비용과 데이터 유출 우려를 줄여주며, CPU만으로 추론이 가능하도록 최적화되어 있습니다. 데이터 연결은 91개의 클릭형 커넥터를 지원하며, Splunk, CrowdStrike, AWS 등 주요 보안 및 클라우드 플랫폼의 로그를 직접 가져올 수 있습니다. 기존에 사용하던 탐지 규칙을 변환하는 도구도 포함되어 있어, 이전 환경의 자산도 활용할 수 있습니다.
구축 전 확인 사항
이 시스템은 SIEM의 대체재가 아니라, 경보 상관관계와 조사 과정을 돕는 도구입니다. 연결하지 않은 데이터는 볼 수 없으며, 자동 대응은 명시적인 정책과 인간 승인이 없으면 작동하지 않습니다. Docker Compose v2와 8GB 이상의 메모리, 20GB의 디스크 공간이 필요하며, 초기 실행 시 약 2GB의 모델 다운로드가 발생합니다.
