오픈소스 AI SOC로 보안 대응을 자동화하다

핵심 요약

• 보안 도구에서 수집한 로그를 정규화한 후 2535개의 탐지 규칙을 실행해 위협을 자동 분류하고 AI 에이전트가 조사하며 사람이 승인한 후 대응 조치를 취하는 자체 호스팅 가능한 오픈소스 SOC이다.
• 도입에 명령어 한 줄로 Docker, Python, 필요한 보안 자격증을 모두 설치할 수 있으며 8GB 메모리와 20GB 디스크, Python 3.9+ 그리고 bash만 있으면 된다.
• Splunk, Sentinel, Elastic, CrowdStrike, Okta, AWS, Kubernetes 등 87개의 데이터 커넥터를 지원하며 클라우드 환경에서는 S3-SQS, GCP Pub/Sub, Azure Event Hubs, syslog/CEF 리스너로 로그를 수집한다.
• 번들로 제공되는 Ollama 기반 llama3.2 모델이 로컬에서 실행되어 API 키 없이 작동하며 모든 AI 추론은 조사 원장에 기록되어 감사 가능하다.
• 새로운 위협 정보가 도착하면 이미 수집한 로그를 다시 검색하여 인시던트를 찾고 자동 헌팅을 수행하며 닫힌 스키마로 SQL 주입을 방지한다.
• 대응 플레이북은 세 가지 스위치(배포, 테넌트, 플레이북)가 모두 활성화되어야 실행되고 기본값은 비활성화이며 모든 변경은 승인자의 수동 승인 후 실행된다.
• 탐지 규칙은 실제 이벤트를 거쳐 작동하는 것을 직접 관찰한 것만 실행 규칙으로 포함하며 현재 2535개가 검증됐고 Splunk 규칙 1711개 중 1734개가 변환 가능하다.
• SAML, OIDC, SCIM 프로비저닝, MFA(TOTP), 행 수준 보안, 테넌트 격리, 속성 조건 기반 접근 제어를 지원한다.
• 일반 프로필은 16개 서비스와 약 8GB 메모리로 기본 경고 파이프라인을 제공하고 풀 프로필은 22개 서비스와 12GB 메모리로 이벤트 레이크, 엔티티 그래프, 전문 검색을 추가한다.
• MIT 라이선스이며 Cyble이 개발을 후원하지만 특별 기능이나 제한된 모듈은 없고 원격 측정도 전송하지 않는다.