엘라스틱은 ‘엘라스틱 엔드포인트 시큐리티’와 ‘엘라스틱 SIEM’의 강점을 결합한 통합 인터페이스로, ‘엘라스틱 시큐리티 7.6’을 출시했다고 3일 밝혔다.

통합 ‘엘라스틱 시큐리티 7.6’은 IT시스템을 공격하는 각종 보안 위협 탐색을 자동화하기 위해 새로운 통합보안관리(SIEM) 탐색 엔진을 도입, 평균 진단 시간(MTTD)을 최소화한다. 

이에 따라 기업 보안팀이 다른 업무에 할애하던 시간을 줄여 사람의 직관과 기술을 필요로 하는 보안 업무에 집중할 수 있는 시간을 갖게 해주는 것이 특징.

‘엘라스틱 시큐리티 7.6’의 핵심 기능 가운데 하나인 ‘엘라스틱 SIEM’은 ‘엘라스틱 서치’를 기반으로 하기 때문에, 보안 조사의 속도를 높여 소요시간을 수 시간에서 수 분으로 단축시켜준다.

새로운 엘라스틱 SIEM 앱 개요 페이지와 폭넓은 워크플로 개선으로 보안 실무자들은 위협을 빨리 헌팅하고 조사할 수 있다.

사용자는 타임라인을 열어 최근의 탐색 신호를 보고, 엘라스틱 엔드포인트 시큐리티, 팔로알토네트웍스, 수리카타, 지크 등 외부 소스의 알림을 검토해 바로 조사에 들어갈 수 있다.

SIEM 앱이 어디에 있든, 클릭 한 번으로 통합된 위협 탐색과 이상 징후 탐색 기능을 이용할 수 있는 것이다.

즉, 이 자동 탐색 기능은 만약 이 기능이 없었더라면, 놓치게 될 위협을 찾아내 지연 시간을 줄여준다.

엘라스틱은 또한 다른 도구가 종종 놓치는 위협의 신호를 포착하기 하기 위해 엘라스틱의 ‘어택(ATT&CK)’이라는 참조 자료와 맞춘 약 100개의 기본 규칙 시작 세트를 제공해준다.

특히, 엘라스틱의 보안 전문가들이 만들고 유지 관리하는 이 규칙은 위협 활동을 가리키는 도구, 전술 및 절차를 자동으로 탐색하고 새로운 위협에 대처하기 위해 계속 업데이트된다.

탐색 엔진이 생성하는 신호와 관련된 위험과 심각도 점수 덕분에 분석가들은 문제를 빠르게 분류한 뒤 가장 중요한 작업에 집중할 수 있게 된다.

스카이텍커뮤니케이션즈의 맥심 베로 보안책임자는 “엘라스틱은 우리 보안팀이 관리할 수 있는 볼륨으로 알림의 수를 줄이면서도 수백만 개의 로그를 효율적으로 검색하는 데 필요한 도구를 갖추게 해줘 보안팀이 중요한 업무에 집중하도록 도와주었다. 엘라스틱 시큐리티 7.6의 출시로, 엘라스틱 SIEM의 기본 신호 탐색을 통해 우리는 가시성 데이터에 걸쳐 분석을 자동화하고 위협이 발생하는 순간, 그 위협을 탐색해 대응할 수 있다. 또한 ‘엘라스틱 시큐리티 7.6’은 커뮤니티가 연계를 가질 수 있는 훌륭한 방법을 제공하기도 한다. 스카이텍커뮤니케이션과 같이 보안과 관련된 일을 하는 사람들이 사용자 지정 신호 탐색을 공유할 수 있게 돼 누구나 이로부터 혜택을 얻을 수 있고 새롭게 대두되는 위협을 탐색할 수 있다”고 말했다.

‘엘라스틱 SIEM’이 제공하는 규칙은 윈도, 맥OS, 리눅스 시스템에서 수집된 ‘엘라스틱 커먼 스키마(ECS)’ 준수 데이터 및 다른 소스의 네트워크 정보 상에서 운영되기 때문에 보안팀이 자체 환경에 추가되는 새로운 ECS 준수 데이터 소스에 대한 규칙을 다시 작성할 필요가 없다.

즉, 기본적인 ‘엘라스틱 SIEM’ 위협 탐색 규칙은 엘라스틱의 보안 전문가들이 개발하고 유지 관리하며, SIEM 앱의 머신 러닝 기반의 이상 징후 탐색 작업과 ‘엘라스틱 엔드포인트 시큐리티’의 호스트 기반 보호 양쪽 모두를 보완해준다.

이 밖에도 ‘엘라스틱 시큐리티 7.6’에 기본 탑재되는 새로운 탐색 기능은 이 데이터를 활용해 키보드 입력을 포착하고, 악성 코드를 다른 프로세서에 심으려는 시도 등을 탐색해준다.

실무자는 이러한 탐색 규칙이 생성하는 이벤트와 자동화된 대응을 연결하여 계층화된 방지를 확립할 수 있다.

맥OS와 리눅스 시스템에 대한 기존 방지, 탐색, 대응 기능과 이러한 가시성 및 보호를 결합해 엘라스틱 ‘엔드포인트 시큐리티’ 사용자에게 전체 환경에 걸쳐 완전한 보호를 제공해준다.

덧붙여 엘라스틱 SIEM은 HTTP 데이터에 대한 큐레이팅된 가시성을 제공, SIEM 앱 내에서 직접 엘라스틱 APM 데이터를 볼 수 있게 해주며, 중앙화된 시각화와 분석을 위해 ‘엘라스틱 스택’으로 데이터를 수집하는 일을 쉽게 처리할 수 있다.

마지막으로, ‘엘라스틱 시큐리티 7.6’은 AWS(아마존웹서비스) 클라우드 트레일 데이터에 대한 지원을 도입하며, 구글 클라우드 플랫폼에 대한 지원을 개선해 현대적인 공격을 파악하는 데 핵심적인 가시성을 제공해준다.

<김동기 기자>kdk@bikorea.net