Analysis bottleneck
판단보다 자료를 모으고 정리하는 데 시간이 걸렸습니다
탐지 알림 한 건을 판단하려면 원시 로그, 실행 체인, 사용자와 단말 맥락을 확인하고 공유 문구까지 작성해야 했습니다.
- 01원시 이벤트
탐지된 행위와 명령행 확인
- 02실행 체인
부모·자식 프로세스와 실행 경로 추적
- 03업무 맥락
사용자·단말·조직·위치 정보 대조
- 04판단 문서
근거·위험 요소·추가 확인·공유 문구 작성
Before10~15분
AI draft1~2분
AI가 분석 초안을 준비하고 담당자는 검증과 결정에 집중
Analysis pipeline
보안 로그에서 판단 초안까지 이어지는 분석 경로
SIEM 검색 결과를 그대로 모델에 전달하지 않고, 이벤트별 실행 근거와 업무 맥락을 구조화한 뒤 고정된 분석 형식으로 반환했습니다.
Endpoint단말 행위 로그
Network edge접근·차단 로그
Identity인증·계정 로그
Application웹 보안 로그
- 01Collect보안 로그 수집
여러 보안 영역의 이벤트를 SIEM으로 통합
- 02Detect탐지 룰 실행
Saved Search와 Alert로 분석 대상을 선별
- 03AnalyzeAI 분석 호출
Splunk Custom Command에서 Bedrock LLM 호출
- 04Draft1차 분석 초안
오탐·정탐·정탐 의심과 판단 근거 생성
- 05Record결과 자동 처리
Slack 전파와 Summary Index 저장
Decision draft
결론이 아니라 검토 가능한 판단 근거를 생성
AI 출력은 정오탐 문장 하나가 아니라 담당자가 바로 검증할 수 있는 실행 근거, 위험 요소, 추가 확인 지점과 권고 조치로 구성했습니다.
Structured input
- Signal
- 탐지명·심각도·발생 시각·원시 이벤트
- Execution
- 명령행·파일 경로·부모/자식 프로세스
- Identity
- 사용자·단말·조직·위치 맥락
- History
- 동일 행위 반복과 중복 여부
AIFirst analysisEvidence in · Rationale out
Analyst-ready output
- Classification
- 오탐 · 정탐 · 정탐 의심
- Observed behavior
- 실제로 확인된 실행 행위와 프로세스 체인
- Risk
- 발견된 위험 요소와 잠재적 영향
- Rationale
- 분류를 뒷받침하는 판단 근거
- Next check
- 담당자가 추가로 확인할 항목
- Recommendation
- 권고 조치와 공유 문구
Human in the loop
AI 초안은 Slack으로 전달하고 최종 판단은 담당자가 수행
AI가 만든 결과는 자동 차단으로 연결하지 않았습니다. 담당자는 근거를 검토해 최종 정오탐과 후속 조치를 결정하고, 결과는 운영 기록으로 남습니다.
- 01AI Draft실행 체인·위험 요소·판단 근거·권고 조치 생성
- 02Slack담당자가 바로 확인할 수 있는 분석 메시지 전파
- 03Analyst Review원시 로그와 AI 근거를 대조해 최종 판단
- 04Summary Index분석 결과를 저장해 재검토와 탐지 튜닝에 활용
AI분석 초안과 근거 준비
Human최종 판단과 조치 결정