상태정보의 한계: ‘추정’에 머무는 보안 판단
오늘날 대부분의 보안 운영은 상태정보 위에서 이루어집니다. 로그, 알람, 이벤트는 모두 “특정 시점에 무언가 일어났다”는 사실의 기록입니다. 문제는 판단입니다. 상태정보만으로는 그 사건이 실제 위협인지, 어떤 경로로 진행됐는지, 피해가 어디까지 미쳤는지를 확인할 수 없기 때문에, 분석가와 AI 모두 결국 ‘추정’에 기대게 됩니다. 추정에 기반한 판단은 오탐 처리 부담을 키우고, 정작 실제 위협 앞에서는 대응을 지연시킵니다.
AI 기반 보안관제도 이 구조를 벗어나지 못합니다. 모델이 아무리 정교해도 입력 데이터가 상태정보 수준에 머문다면 판단의 근거가 부실해집니다. 필요한 것은 이 공백을 채우는 3계층 맥락데이터, 곧 원본 트랜잭션/세션과 행위기준선과 탐지설명성(XAI)이 AI 분석의 직접 입력으로 들어와야 판단이 성립한다는 관점의 전환입니다.
이 글은 보안 AI가 신뢰성 있는 분석을 수행하기 위해 어떤 데이터 기반이 필요한지를, 쿼드마이너가 정의하는 3계층 맥락데이터 아키텍처를 중심으로 기술적으로 설명합니다. 로그, 알람 중심 분석의 구조적 한계에서 출발해, 원본 트랜잭션/세션, 행위기준선, 탐지설명성(XAI)이 AI 판단 근거로 어떻게 작동하고 하나의 데이터 흐름으로 연결되는지를 순서대로 다룹니다.
로그와 알람만으로는 ‘왜’에 답할 수 없다
SIEM(Security Information and Event Management)은 조직 내 보안 장비와 시스템의 로그, 이벤트를 수집하고 상관분석하여 위협을 탐지하는 보안 이벤트 통합관리 플랫폼입니다. 이 정의에서 이미 한계가 드러납니다. SIEM이 수집하는 로그와 이벤트는 특정 시점에 어떤 현상이 발생했다는 상태정보를 제공하지만, 실제 통신 내용과 공격자의 행위 순서, 피해 범위를 단독으로 설명하기는 어렵습니다.
보안 분석가가 이벤트를 확인한 뒤 겪는 현실적인 문제가 여기서 시작됩니다. 알람 하나를 받으면 해당 이벤트의 원인을 파악하기 위해 방화벽 로그, IDS/IPS 이벤트, 엔드포인트 기록 등 여러 보안 장비를 차례로 뒤져야 합니다. 각 시스템이 서로 다른 형식으로 데이터를 저장하고 있어 연관분석에 시간이 걸리고, 그 사이 공격자는 이미 다음 단계로 이동한 상태일 수 있습니다.
로그가 남지 않은 행위를 사후에 확인하는 것은 더 어렵습니다. 기존 보안 장비는 사전에 정의된 시나리오나 시그니처에 해당하는 이벤트만 기록하기 때문에, 알려지지 않은 공격 패턴이나 정상 프로토콜을 악용하는 내부자 행위는 로그 자체가 생성되지 않는 경우가 많습니다. 이 구조에서 로그 기반 SIEM 운영은 오탐 경보 과다, 수동 조사 의존, 원시 패킷 분석 역량 부재라는 부담을 구조적으로 수반합니다.
결국 로그 중심 분석은 ‘무엇이 발생했는가(WHAT)’를 기록하는 데 그칩니다. 보안 AI가 위협의 원인과 영향을 판단하려면 ‘왜 발생했는가(WHY)’를 설명할 수 있는 데이터가 별도로 필요합니다.
맥락데이터란 무엇인가: 3계층 구조 개요
맥락데이터는 보안 AI가 위협 여부를 판단할 때 근거로 삼는 원본 트래픽, 행위 패턴, 탐지 설명 정보의 집합입니다. 탐지 결과가 아니라 ‘판단의 근거’를 제공하는 데이터 기반이라는 점이 핵심입니다.
쿼드마이너는 이 맥락데이터를 세 계층으로 구조화하며, 풀패킷 수집 기반의 데이터 계층이 생성하는 각 계층은 AI 분석에서 서로 다른 판단 근거를 담당합니다.
세 계층은 각각 독립적인 역할을 하면서도 하나의 데이터 흐름으로 연결됩니다. 아래 각론에서 계층별 역할을 데이터 흐름 순서대로 살펴봅니다.
원본 트랜잭션/세션 데이터: ‘어떻게 발생했는가’의 증거
로그가 ‘무엇이 발생했는가’를 기록한다면, 원본 트랜잭션/세션 데이터는 ‘무엇이 어떻게 발생했는가’를 확인하는 데이터입니다. 이 차이는 실제 조사 상황에서 결정적으로 드러납니다. 로그에는 특정 IP에서 대용량 데이터 전송이 발생했다는 사실이 기록되지만, 어떤 파일이 어떤 경로로 어디에 전송됐는지는 원본 패킷과 세션을 분석해야 확인할 수 있습니다.
이 계층은 네트워크 트래픽을 풀패킷으로 수집하고 L7 수준에서 세션, 파일, 메일, 콘텐츠를 재구성하여 실제 행위의 확정적 증거(definitive evidence)를 제공합니다. 이 계층의 전제는 수집 구간 내 트래픽을 선별 없이 전량 저장하는 풀패킷 캡처 구조입니다. 탐지 시점에 중요해 보이는 데이터만 남기는 선별 저장은 조사 시점에 정작 필요한 증거가 빠져 있는 공백을 만듭니다.
Rebuild(소급 재검사) 기능도 이 계층에서 중요한 역할을 합니다. 새로운 위협 지표(IOC)가 발견됐을 때 저장된 과거 패킷과 세션을 다시 분석하면, 해당 위협이 이미 내부 네트워크에서 활동했는지 여부를 사후에 확인할 수 있습니다. PCAP(Packet Capture) 단위의 증거 확보는 침해사고 대응과 포렌식 분석에서 공격 경로를 재현하는 근거가 됩니다. 다만 풀패킷 보관 범위와 보존 기간은 구축 환경과 사양에 따라 달라지므로, 도입 시 실제 운영 환경을 기준으로 설계해야 합니다.
행위기준선 데이터: ‘평소와 얼마나 다른가’를 측정하는 기준
행위기준선은 자산과 사용자별 정상 통신 패턴을 학습하여 이탈 여부와 이탈 정도를 판단하는 기준 데이터입니다. 고정된 룰이나 시그니처 방식과 근본적으로 다른 점은, 사전에 정의된 공격 패턴이 없어도 ‘평소와 다른 행위’를 포착한다는 데 있습니다.
구체적으로는 시간대별 활동 이력을 누적하고 자산별 정상 패턴을 학습하여, 통신량, 접속 시간, 사용 프로토콜, 세션 수, 접속 대상 같은 행위 특성에서 기준선 대비 이탈을 탐지합니다. 주요 프로토콜 기반의 비정상 통신과 비정상 업로드, 비정상 세션 급등이 대표적인 포착 대상입니다. 예를 들어 특정 서버가 평소에는 업무 시간대에만 소량의 외부 통신을 하다가 새벽 시간에 대용량 데이터를 외부로 전송하기 시작한다면, 시그니처 기반 탐지는 이를 놓치기 쉽지만 행위기준선은 이탈로 포착합니다. 내부자 이상행위나 정상 프로토콜을 악용하는 공격처럼 시그니처가 존재하지 않는 위협에서 이 차이가 두드러집니다.
행위기준선이 AI 분석에 제공하는 가치는 단순한 이상 여부 표시가 아닙니다. ‘평소와 비교했을 때 언제, 얼마나 다른가’를 정량화하여 AI 분석의 직접 입력으로 제공합니다. 이탈의 방향과 크기가 수치로 표현되면, AI는 단순히 ‘비정상’이라는 이진 판단이 아니라 이탈의 맥락을 함께 고려한 위협 판단을 내립니다.
탐지설명성(XAI): AI 판단을 검증하는 근거 계층
설명가능 AI(XAI)는 AI 시스템이 어떤 데이터와 경로를 근거로 판단했는지를 사람이 확인할 수 있도록 설명하고 해석하는 기술입니다. 보안관제에서 XAI의 역할은 AI 판단을 무조건 신뢰하게 만드는 것이 아닙니다. 오히려 반대입니다. 특성 기여도와 의사결정 경로를 분석가에게 제시함으로써, 사람이 AI의 판단 과정을 직접 검증하고 실제 대응 여부를 결정할 수 있도록 돕는 장치입니다.
탐지설명성이 오탐 감소에 기여하는 메커니즘은 명확합니다. AI가 위협으로 판단한 이벤트에 대해 어떤 특성이 얼마나 기여했는지를 확인하면, 분석가는 해당 판단이 실제 위협 근거에 기반한 것인지 아니면 데이터 노이즈에 반응한 것인지를 구분하게 됩니다.
쿼드마이너는 KAIST 사이버보안연구센터와의 XAI 공동연구를 기반으로 탐지설명성 계층을 구현하고 있습니다. 이 계층은 3계층 맥락데이터 아키텍처에서 가장 상위에 위치하며, 원본 트랜잭션/세션과 행위기준선 데이터를 근거로 AI가 어떤 판단 경로를 거쳤는지를 추적 가능하게 합니다. 규제 관점에서도 탐지설명성의 중요성은 커지고 있습니다. 국내 개인정보 보호법 제37조의2는 완전히 자동화된 시스템의 결정이 정보주체의 권리나 의무에 중대한 영향을 미치는 경우 이를 거부하거나 설명을 요구할 수 있는 권리를 규정하고, EU GDPR 제22조는 전적으로 자동화된 처리에 기반한 결정에 대해 정보주체가 인적 개입을 요구할 수 있는 권리를 규정합니다.
세 계층이 하나의 흐름으로 연결될 때 생기는 것
세 계층의 가치는 각각을 따로 갖추는 데서 나오지 않습니다. 행위기준선이 이탈을 포착해도 원본 트랜잭션/세션이 없으면 그 이탈이 실제 위협인지 확인할 원본 증거가 없고, 원본이 있어도 행위기준선이 없으면 무엇이 평소와 다른지 가려낼 기준이 없습니다. 탐지설명성(XAI)은 앞의 두 계층이 AI 분석에 입력되었을 때 비로소 그 판단 경로를 되짚게 하는 마지막 고리입니다.
데이터 흐름의 순서도 같습니다. 수집 구간에서 풀패킷을 저장하고, 그 위에서 자산별 기준선을 학습하며, 두 데이터를 입력받은 AI가 판단을 내리면 그 근거와 경로가 설명 데이터로 남아, 경보에서 원본 증거 확인과 소급 재분석(retrospective re-analysis)까지가 하나의 조사 과정 안에서 이어집니다.
이 연결은 보안 AI의 환각 문제와도 직결됩니다. 세 계층이 입력으로 연결된 구조에서는 AI의 서술이 원본 증거와 기준선 수치에 묶이므로, AI가 그럴듯하지만 검증할 수 없는 설명을 만들어내는 상황이 줄어들고, 판단이 틀렸을 때도 어디서 틀렸는지를 데이터에서 확인할 수 있습니다.
맥락데이터가 AI 보안 분석의 품질을 결정하는 이유
보안 AI의 판단 정확도는 모델 자체의 성능만큼이나 입력 데이터의 품질에 좌우됩니다. 로그와 요약 정보만 입력되는 구조에서는 AI 분석에서도 오탐과 환각이 반복됩니다.
3계층 맥락데이터, 곧 원본 트랜잭션/세션, 행위기준선, 탐지설명성(XAI)은 AI 분석과 보안 옵저버빌리티(Security Observability)를 고도화하기 위한 입력 조건입니다. 관건은 AI가 판단할 수 있는 형태의 데이터가 들어오느냐이며, 세 계층이 입력될 때 AI의 결과는 검증 가능한 판단이 됩니다. 쿼드마이너의 차별점은 AI 기능을 추가한 것이 아니라, 원본과 행위와 설명성 데이터를 AI 분석의 직접 입력으로 제공할 수 있는 데이터 아키텍처를 갖추고 있다는 데 있습니다. 경쟁력의 본질은 우수한 AI가 아니라 완전한 맥락데이터의 확보에 있기 때문입니다.
맥락데이터가 보안 AI 분석에 제공하는 가치를 네 가지 측면으로 정리하면 다음과 같습니다.
- 판단 정확도 향상: 원본 트랜잭션/세션과 행위기준선이 AI 분석의 입력 품질을 높여 오탐을 줄입니다.
- 검증 가능성 확보: 탐지설명성(XAI)이 AI 판단 근거를 분석가가 직접 검증할 수 있게 합니다.
- 소급 재분석(retrospective re-analysis) 지원: 새로운 위협 지표를 저장된 과거 트래픽에 적용해 잠복 위협을 역추적합니다.
- 증거 확보: PCAP 단위의 원본 데이터가 침해사고 대응과 포렌식 분석의 기술적 근거가 됩니다.
보안 AI 도입 전 데이터 아키텍처 점검 체크리스트
AI 기반 보안관제나 NDR(Network Detection and Response), SIEM 플랫폼 도입을 검토할 때 기능 목록만 비교하는 것으로는 충분하지 않습니다. 위협 인텔리전스 통합이나 SOAR(Security Orchestration, Automation and Response) 연동 같은 일반적인 선택 기준과 함께, ‘판단 근거가 되는 데이터를 어떻게 확보하는가’라는 데이터 아키텍처 관점의 기준을 병행 검토해야 합니다. 아래 체크리스트는 그 핵심 질문을 3계층 맥락데이터와 매핑한 것입니다.
수집에서 자율보안운영까지: 3계층 맥락데이터를 구현한 세 제품
쿼드마이너의 세 제품은 이 세 계층을 생성하고, 조직 전체의 로그와 연결하며, AI 판단의 직접 입력으로 삼는 순서로 이어집니다.
- Network Blackbox (NDR), 생성: 풀패킷 수집과 보존, L7 재구성으로 세 계층의 맥락데이터를 만들어내는 지점입니다.
- QUADX (Context-Aware Next-Gen SIEM), 연결: 생성된 맥락데이터를 조직 전체의 로그, 이벤트와 하나의 흐름으로 연결해 ‘왜 발생했는가’까지 조사할 수 있게 합니다.
- QUADxAI (로드맵), 판단: 세 계층을 AI 분석의 직접 입력으로 사용하는 맥락데이터 중심 AI 기반 보안 옵저버빌리티 플랫폼으로, 로드맵에 따라 개발이 진행 중입니다.
공격이 자동화되는 속도를 사람이 순서대로 조사하는 운영으로는 따라가기 어렵기 때문에, 탐지에서 분석, 판단, 대응이 하나의 맥락 위에서 이어지는 Closed-Loop 자동화, 곧 자율보안운영(Autonomous Security Operations)이 필요합니다. 자율보안운영은 AI가 스스로 판단할 수 있어야 성립하며, 그 판단의 재료는 상태정보가 아니라 세 계층이 모두 채워진 맥락데이터입니다. Network Blackbox에서 QUADX를 거쳐 QUADxAI로 이어지는 경로는 그 전제를 단계적으로 확보해 온 과정입니다. 보안 AI 도입의 출발점은 모델의 선택이 아니라 모델에 무엇을 입력할 것인가이며, 세 계층을 갖춘 데이터 아키텍처가 자율보안운영이 시작되는 자리입니다.
자주 묻는 질문
Q. 맥락데이터 기반 보안 AI 분석이란 무엇인가요?
로그, 알람 요약이 아닌 원본 트랜잭션/세션, 행위기준선, 탐지설명성(XAI) 데이터를 AI 분석의 직접 입력으로 활용해 위협의 원인과 영향을 판단하는 방식입니다.
Q. 기존 로그 중심 SIEM과 맥락데이터 기반 SIEM은 어떻게 다른가요?
기존 로그 중심 SIEM은 ‘무엇이 발생했는가’를 기록하는 상태정보 중심인 반면, 맥락데이터 기반 SIEM은 원본 패킷과 세션을 로그와 연결해 ‘왜 발생했는가’까지 추적합니다. QUADX는 로그와 패킷, 세션 데이터를 하나의 분석 흐름으로 연결하는 Context-Aware Next-Gen SIEM 구조를 채택합니다.
Q. 보안 AI 도입 시 데이터 아키텍처를 먼저 검토해야 하는 이유는 무엇인가요?
AI 판단 품질은 모델만이 아니라 입력 데이터의 품질과 맥락에 좌우되므로, 원본 패킷 수집과 행위기준선 학습, 탐지설명성 제공 구조부터 확인해야 합니다.
