Victrix의 Swimlane과 함께하는 한 달 SOAR 교체 사례

저희는 한 달 만에 SOAR 시스템을 교체했습니다. 왜 그렇게 했는지, 그리고 그 후에 어떤 일이 일어났는지 솔직하게 이야기해 드리겠습니다.

솔직히 말씀드리자면, 제가 지금부터 설명드릴 내용은 처음부터 성공담으로 시작된 것은 아닙니다.

승리로 시작됐습니다. 빅트릭스의SEvOC, 관리형 SOC 저는 퀘벡에서 사업을 운영하는데, 주요 RFP(제안 요청서)에서 낙찰받았습니다. 공공 부문에서 45개의 신규 고객을 한꺼번에 확보했죠. 보호해야 할 엔드포인트가 수십만 개에 달했습니다. 바로 우리가 목표로 삼았던 성장이었습니다.

그러자 아무도 제대로 답하지 못한 질문이 떠올랐습니다. 과연 우리는 어떻게 그들 모두에게 서비스를 제공할 수 있을까요?

우리는 새로운 분석가 20명을 고용할 수 없었습니다. 애초에 그럴 계획도 없었고요. 계획은 SOAR(서비스 자동화 및 확장)을 통해 자동화 방식으로 규모를 확장하는 것이었습니다. 그래서 우리는 그렇게 했습니다. 몇 가지 제약 사항이 있었습니다. 캐나다 데이터 상주가 필요했고, 우리는 투자해서 캐나다 데이터 상주 시스템을 구축했습니다. 그리고 첫 해 안에 접수되는 티켓 중 최소 20%를 자동화하는 것을 목표로 삼았습니다.

그 해 말, 저는 경영진에게 불편한 사실을 말씀드려야 했습니다. 목표 달성에 실패했다는 것이었습니다. 팀원들이 열심히 일하지 않아서가 아니었습니다. 플랫폼이 우리에게 적합하지 않았기 때문입니다.

누구를 당황시키려는 의도로 이런 말을 하는 것은 아닙니다. 모든 공급업체는 성장통을 겪습니다. 하지만 분석가들이 SOAR 시스템이 너무 버그가 많아 신뢰할 수 없다며 적극적으로 우회하고 있다면, 그것은 단순히 시간이 지나면 해결될 수 있는 제품 문제가 아닙니다. 이는 경고 신호입니다.

그래서 우리는 다시 찾아보기 시작했습니다.

우리가 타협할 수 없었던 3가지 필수 조건

우리가 전환을 결정했을 때, 우리는 무엇이 필요한지 정확히 알고 있었습니다. 

#1: 상용 AI 솔루션  

플랫폼에 내장된 기능입니다. 로드맵에 약속된 것도 아니고, SOAR 옆에 덧붙이는 도구도 아닙니다. AI가 플레이북에 내장되어 분석가들의 업무 부담을 가중시켰던 조사 및 상관관계 분석을 수행합니다. 이전 공급업체는 이를 약속했지만, 실제로 구현된 모습을 본 적이 없습니다.

#2: 캐나다 데이터 상주

이건 저희에게 선택 사항이 아닙니다. 고객 데이터는 캐나다에 보관되어야 합니다. 이 요구 사항 때문에 여러 선택지가 제외되었고, 솔직히 말해서 처음 Swimlane을 선택하지 않은 이유이기도 합니다. 사실 1년 전에는 Swimlane이 저희의 첫 번째 선택이었는데, 당시에는 캐나다 테넌트가 없어서 다른 곳을 알아보게 되었습니다.

#3: MSSP를 이해하고 지원하는 파트너

관리형 보안 제공업체는 단일 내부 SOC를 운영하는 기업과는 다릅니다. 우리는 수십 개의 고객 환경과 수십 개의 서로 다른 툴 스택을 보유하고 있으며, 이러한 복잡성을 처리할 수 있는 플랫폼이 필요합니다. 이전 지원팀은 이러한 점을 제대로 이해하지 못했습니다.

모든 것을 바꾼 전화 통화

우리가 알아보던 중 약 6개월쯤 지나서 스윔레인에서 연락이 왔습니다. 캐나다 임차인을 확보했는데, 여전히 관심이 있는지 물어보더군요.

나는 주저하지 않았다. 내가 해야 할 일을 알고 있었기 때문이다. 1년 동안 공들여 구축해 온 SOAR 시스템을 완전히 폐기하고 모든 데이터를 이전해야 한다는 것을 경영진에게 설득해야 했다. 쉬운 일은 아니었다. 하지만 나는 확신했고, 결국 설득에 성공했다.

그러다가 제가 전혀 예상하지 못했던 부분이 시작되었습니다.

이번에는 왜 달랐을까? 

스윔레인 팀은 프로젝트 기간 내내 저희와 긴밀히 협력했습니다. 그들이 자체적으로 통합 시스템과 워크플로우를 재구축하는 동안 저희 팀은 교육을 받았습니다. 함께 플레이북을 만들기도 했고, 스윔레인 팀은 이를 검토하고 "잘했어요, 계속 진행하세요"라고 조언해 주었습니다. 단순히 공급업체가 문서를 건네주고 알아서 하라고 하는 방식이 아니라, 진정한 파트너십을 구축할 수 있었습니다.

“"이 전환을 위해 밤낮으로, 주말에도 일해야 한다면," 제 팀원들이 말했습니다. "우리는 그렇게 할 겁니다." 그리고 그들은 진심이었습니다. 이전 플랫폼에서는 결코 볼 수 없었던 열정이 이번 마이그레이션에 쏠려 있었습니다. 사람들은 정말로 옮기고 싶어 했습니다.

우리가 즉시 알아차린 것

제가 가장 먼저 눈치챈 것은 도입률이었습니다. SOAR 시스템을 거치지 않고 수동으로 작업하던 모든 분석가들이 이제 Turbine을 사용하고 있었습니다. 단 하루 만에 모두가 그랬습니다. 이것만으로도 중요한 사실을 알 수 있었습니다. 좋은 도구라면 굳이 사람들에게 사용을 강요할 필요가 없다는 것입니다.

두 번째는 통합 기능이었습니다. 이전 SOAR 방식에서는 고객 환경의 모든 도구마다 개별적인 통합 작업이 필요했습니다. 하지만 Turbine을 사용하면서는 EDR 범주별로 하나의 플레이북과 커넥터만 구축하면 됩니다. 이 단일 플레이북으로 Microsoft Defender, CrowdStrike, SentinelOne 등 다양한 보안 위협에 대응할 수 있습니다. 동일한 로직을 사용하면서도 커넥터만 다른 것입니다. 또한 고객사 전체의 권한 관리를 중앙 집중화하는 Azure 엔터프라이즈 애플리케이션도 구축했습니다. 이러한 통합 방식은 이전에는 경험하지 못했던 깔끔한 결과물을 제공합니다.

세 번째는 인공지능이었습니다. 그리고 이 부분이 중요하기 때문에 잠시 짚고 넘어가고 싶습니다.

말한 대로 행동하는 인공지능

저희는 스윔레인의 AI를 운영 지침에 통합하기 시작했습니다. AI가 조사를 진행하고, 신호를 연관시키고, 경고를 분석하고, 분석가에게 결론을 이해하기 쉬운 언어로 설명합니다. 분석가는 이를 읽고 결정을 내린 후 사건을 종결합니다. 이전에는 한 시간씩 걸리던 세심한 수작업이 이제는 몇 분 만에 완료됩니다.

저는 AI가 추천을 내놓는 모든 사례를 추적합니다. 분석가가 그 추천에 동의하는 빈도를 알고 싶습니다.

지금까지는 100% 그랬습니다.

Turbine이 생산 과정에서 제시한 모든 권장 사항에 대해 분석가는 독립적으로 동일한 결론에 도달했습니다. 

아직 인공지능이 모든 것을 완전히 장악한다고 말할 준비는 되지 않았습니다. 우리는 여전히 모든 결정을 사람이 확인하는 단계에 있습니다. 지금으로서는 이것이 올바른 선택입니다. 하지만 특정 유형의 사례가 충분한 기간 동안 축적되면 분석가의 승인 없이 인공지능이 최종 결정을 내릴 수 있게 될 것입니다. 그러한 변화는 반드시 올 것이며, 데이터가 이를 뒷받침합니다.

우리가 가는 곳

6개월 안에 우리 분석가 501,033명 중 501명을 레벨 1 업무에서 완전히 벗어나게 할 계획입니다. 해고하는 것이 아니라, 더 전략적이고 흥미로운 업무로 승진시키는 것입니다. 레벨 2, 레벨 3 수준의 책임을 부여할 예정입니다. 보안 프로젝트, 위협 탐색 등 단순히 소프트웨어가 이미 파악한 내용을 눈으로 확인하는 것이 아니라, 실제로 사람의 두뇌가 필요한 업무에 집중하게 할 것입니다.

저희는 Turbine 활용 범위를 확장할 계획입니다. 취약점 관리 기능이 로드맵에 포함되어 있으며, 보고 방식도 개선될 예정입니다. 티켓팅 시스템은 최종적으로 Swimlane으로 완전히 통합될 수도 있습니다. Victrix는 보다 포괄적인 사이버 보안 플랫폼을 구축하고 있으며, Turbine은 그 중심에 자리 잡고 있습니다. 

우리가 겪었던 상황에 처한 분들을 위한 한 가지 조언

만약 여러분이 SOAR를 운영하는 MSSP이고, 분석가들이 SOAR를 활용하는 대신 우회하는 방식으로 문제를 해결하고 있다면, 심각하게 받아들여야 합니다. 이는 교육 문제가 아니라 플랫폼 문제입니다.

만약 대체 솔루션을 검토 중이라면, 제가 드리고 싶은 말씀은 이렇습니다. 먼저, 분석가들이 매일 실시간으로 시간을 투자하는 구체적인 사용 사례를 하나 선택하세요. 이메일 피싱 분석이나 알림 강화 같은 것 말입니다. 그런 구체적인 사례를 고르세요. 그리고 그 한 가지 사례에 대한 개념 증명(PoC)을 요청하세요. 몇 주 안에 Turbine이 어떻게 처리하는지 확인해 보세요.

수학이 당신 대신 결정을 내려줄 겁니다.