포괄적인 내부자 가시성

4부 중 2부: 포괄적인 내부자 가시성

증거 체인이 중요한 이유와 단일 데이터 소스로는 이를 구축할 수 없는 이유 

1부에서는 Insider Threat Matrix™가 중요한 이유에 대해 이야기했습니다. 이는 모든 사람에게 내부자 위험에 대한 공통된 언어를 제공하기 때문입니다. 동기. 수단. 준비. 침해. 안티 포렌식. 그것만으로도 보안, 인사, 법무 부서가 서로 소통이 어긋나는 것을 방지할 수 있으므로 매우 가치가 있습니다. 

하지만 그다음으로 이어지는 질문이 정말 중요합니다. 그 프레임워크를 잘 활용할 수 있을 만큼 충분히 볼 수 있습니까? 

조사는 그 기반이 되는 증거만큼만 강력합니다. 알림 수가 아닙니다. 대시보드가 아닙니다. 증거입니다. 그리고 내부자 위험의 경우, 그 증거는 거의 한곳에만 존재하지 않습니다. 증거는 엔드포인트, 이메일, 클라우드, 채팅, AI 프롬프트, ID 컨텍스트, 그리고 때로는 시스템보다 먼저 이상함을 감지한 관리자에게 흩어져 있습니다. 

따라서 2부에서는 전체 수명 주기에 걸쳐 있고, 매트릭스에 매핑되며, 조사관에게 첫날부터 전체 사용자 스토리를 제공하는 가시성에 대해 다룹니다. 이 블로그에서는 가시성에 대해 고객들로부터 가장 많이 듣는 질문들에 답변하겠습니다. 

 

첫 번째 단서는 마지막에 일어나는 일인 경우가 거의 없음

이야기는 실제로 어디에서 시작될까요?

많은 프로그램이 여전히 내부자 위험을 "유출 적발" 문제로 취급합니다. 누군가 파일을 다운로드합니다. 누군가 데이터를 USB로 복사합니다. 누군가 개인 계정으로 민감한 첨부 파일을 이메일로 보냅니다. 사건 종결. 

하지만 사건을 역추적해보면 실제로는 그렇지 않습니다. 

마지막 행동이 보통 가장 큰 신호이지만, 그것이 첫 번째 의미 있는 신호인 경우는 거의 없습니다. 이야기는 더 일찍 시작됩니다. 채팅에서의 어조 변화. 이메일에서의 이상한 질문. 평소 업무 범위를 벗어난 파일에 대한 갑작스러운 관심. 이상한 AI 프롬프트. 준비 작업처럼 보이는 다운로드. 

행동이 실제로 일어나는 곳에서 그 행동을 볼 수 있다면, 파편에서 사건을 재구성하는 대신 이전, 도중, 이후를 연결할 수 있습니다. 여기서 분명한 의문이 생깁니다. 그 각각의 조각들은 어디에서 오는 것일까요? 

 

하나의 라이프사이클, 다수의 센서

왜 단일 데이터 소스만으로는 전체 이야기를 알 수 없을까요? 

제가 신뢰하게 된 역할 분담은 다음과 같습니다. 

• 엔드포인트는 활동을 보여줍니다. 

• 이메일과 채팅은 동기를 보여줍니다. 

• 클라우드는 이동을 보여줍니다. 

• AI는 사용자가 데이터로 무엇을 하려고 했는지 보여줍니다. 

• 신원 및 인사 맥락은 이 사람이 조직 내에서 어떤 위치에 있는지, 어떤 압박을 받고 있을 가능성이 있는지 보여줍니다. 

각각의 요소는 단독으로도 유용합니다. 그중 어느 것도 단독으로 매트릭스를 포괄하지 못하며, 바로 그 부분이 과소평가되고 있습니다. 

소스들을 라이프사이클에 대입해 보면 격차가 드러납니다. 동기는 거의 전적으로 커뮤니케이션, 관계 서클, 인사 맥락에 존재합니다. 수단은 신원 및 액세스에 존재합니다. 준비 단계는 엔드포인트와 클라우드에서 스테이징, 이름 변경, 비정상적인 액세스로 나타납니다. 침해는 엔드포인트, 클라우드, 이메일, AI 활동이 수렴되는 지점입니다. 안티 포렌식은 엔드포인트에서 다시 발생합니다. 삭제, 기록 삭제, 사라지는 아카이브 등이 이에 해당합니다. 엔드포인트와 클라우드만으로 구축된 프로그램은 이야기의 시작 없이 중간 부분만 보게 됩니다. 커뮤니케이션만으로 구축된 프로그램은 시작은 보지만 그 다음에 무슨 일이 일어났는지에 대한 증거는 보지 못합니다. 

그것이 바로 통합이 기능 요청이 아닌 이유입니다. 그것이 핵심입니다. 기술적 지표는 사람이 무엇을 했는지 알려줍니다. 감정은 이유를 알려주며, 종종 가장 먼저 알려주기도 합니다. 함께 결합하면 전체 라이프사이클을 포괄하게 됩니다. 분리되어 있으면, 각각은 볼 수 없는 단계를 추측하게 만듭니다. 

하지만 "함께"라는 말은 통신 측면을 실제로 읽을 수 있다고 가정하는 것인데, 대부분의 프로그램이 바로 그 지점에서 잘못된 도구를 선택합니다. 

 

키워드 목록은 항상 한계에 부딪힘

사람들이 감시받고 있다는 사실을 안다면, 왜 단어 목록이 그들을 잡아낼 수 있을까요?

내부자 위험 문제가 제기되는 순간, 누군가가 키워드 목록을 제안하는 경우가 있는데, 이는 수년간 이를 관리해온 경험으로 인해 계속해서 우려를 자아내고 있습니다. 물론 키워드 목록은 명백한 것들을 잡아냅니다. 하지만 명백한 것들이 어려운 사례가 발생하는 곳은 아닙니다. 

많은 경우 사람들은 자신이 감시받고 있다는 사실을 알고 있습니다. 기술적으로 정통한 사람들은 보통 가장 먼저 알아차립니다. 그들은 모호해집니다. 그들은 암호화된 언어를 사용합니다. 때때로 그들은 자신들이 위험 신호를 보내고 있다는 사실조차 깨닫지 못하는데, 이는 동기가 좌절감, 냉소, 또는 여전히 무게감이 있는 농담 속에 묻혀 있기 때문입니다. 

그다음에는 언어 자체가 있습니다. 네이티브 번역은 부가 기능이 아니며, 인력이 부족한 대부분의 프로그램에서는 비즈니스가 움직이는 속도에 맞춰 모든 것을 수동으로 해석할 사람이 없습니다. 언어마다 어조와 약어가 다르기 때문에, 같은 의도라도 매우 다른 모습으로 나타납니다. 

정적인 목록은 그 모든 상황에서 무너집니다. 그것은 지난 분기에 전달받은 문구만 인식합니다. 더 나은 모델은 실무자들이 실제 사례를 통해 학습함에 따라 성장하는 프레임워크입니다. 

이는 보통 다음 반론을 불러일으킵니다. 

 

"하지만 똑똑한 사람들은 그냥 숨기지 않을까요?"

압박 속에서 은폐가 실패하는 이유

저는 이런 반발을 끊임없이 듣고 있으며, 이는 타당한 지적입니다. 일부는 그럴 것입니다. 

하지만 숨기는 데는 절제가 필요하며, 감정이 격해지면 가장 먼저 사라지는 것이 절제입니다. 그리고 그 절반쯤 암호화된 교환이 종종 나머지 증거들을 하나로 묶어주는 단서가 됩니다. 

실제 사례들이 계속해서 보여주는 것은 다음과 같습니다. 사람들은 범행 전이 아니라 범행 중에 흔적을 지우기 시작합니다. 뒷정리는 사후 대응입니다. 동기와 준비 과정은 거의 항상 안티 포렌식보다 더 지저분합니다. 왜냐하면 당사자가 아직 걱정을 시작하지 않았기 때문입니다. 

이 질문의 더 어려운 버전은 숨기는 것에 관한 것이 아닙니다. 

 

"그들이 하는 모든 행동이 역할에 부합합니다. 우리가 놓치고 있는 것은 무엇입니까?"

로그가 평소와 다름없을 때 동기는 어디에 존재합니까?

이것은 제가 가장 많이 받는 질문이며, 올바른 질문입니다. 명백한 사례들은 저절로 드러납니다. 새벽 2시의 대량 다운로드, 나가는 길에 챙긴 USB, 개인 주소로의 전달 등이 그렇습니다. 그런 행동들은 규칙을 위반합니다. 하지만 그저 관리자 업무를 수행하는 것처럼 보이는 권한 관리자는 어떻습니까? 많은 이들을 걱정하게 만드는 사례는 모든 행동이 직무와 일치하는 경우입니다. 보고서를 추출하는 분석가는 보고서를 추출할 뿐입니다. 엔드포인트나 클라우드 텔레메트리에는 잘못된 점이 보이지 않습니다. 개별적으로 보면 아무런 문제가 없기 때문입니다. 기술적 계층만 가지고 있다면, 이들은 어느 순간 갑자기 드러나기 전까지는 완전히 보이지 않습니다. 

이들을 드러나게 하는 것은 동기이며, 동기는 로그에 거의 나타나지 않습니다. 이는 감정에서 드러납니다. 태도가 바뀌고, 불만이 계속해서 다시 나타나며, 예전에는 명확한 답변을 듣던 사람들에게 갑자기 모호한 태도를 보이는 것입니다. 또한 이는 촉매가 되는 사건과 관련된 인사 맥락에서 나타납니다. 나쁜 평가, 승진 거부, 해고 통지, 새로운 관리자, 사직 등이 그 예입니다. 이러한 사건들을 평소의 정상적인 활동 시기와 나란히 놓고 보면 상황이 완전히 달라집니다. 

그렇기 때문에 인사 관계는 단순한 관리상의 형식이 아닙니다. 누가 무엇을 언제 보고하고 그 다음에 어떤 일이 일어나는지를 다루는 실제 플레이북을 인사팀과 함께 구축하는 프로그램은 사건에 대응하기보다는 선제적으로 운영될 가능성이 높습니다. 그러한 채널이 없으면, 원격 측정 데이터는 모든 것이 괜찮다고 말하는 동안 동기 신호는 관리자의 머릿속에만 머물게 됩니다. 

 

"숨기도록 훈련받은 사람들은 어떻게 하나요?"

침입자도 불만을 품은 직원과 같은 흔적을 남기나요?

훈련된 침입자는 부주의해진 기술에 능숙한 직원과는 다른 존재입니다. 잘 알려진 사례인 북한 IT 노동자 패턴과 같은 사기성 입사자는 불만을 품지 않습니다. 촉매가 되는 사건도 없습니다. 그들의 규율은 감정적인 것이 아닙니다. 운영적인 것입니다. 
하지만 부재 또한 신호입니다. 진짜 직원들에게는 인간적인 면모가 있습니다. 그들은 회의에 대해 불평하거나, 금요일에 수다를 떨거나, 업무 리듬을 찾아갈 수 있습니다. 침입자는 단조로운 경향이 있습니다. 대본에 따른 답변, 반복되는 카메라 핑계, 직접적인 질문을 받았을 때의 회피, 주장하는 시간대와 맞지 않는 응답 시간, 인사, IT 및 접근 기록 전반에 걸쳐 일치하지 않는 신원 정보 등이 그 예입니다. 엔드포인트와 클라우드가 나머지를 채워줍니다. 초기에 광범위한 SharePoint 접근, 업무 범위를 넘어서는 대량 데이터 추출, 누군가 질문하기 전에 이루어지는 정리 작업 등이 포함됩니다. 

Insider Threat Matrix™에 매핑하면, 그들은 몇 주 만에 5단계 전체를 통과할 수 있습니다. 징후는 다르지만 교훈은 같습니다. 하나의 데이터 소스로는 그들을 놓치지만, 통합된 원격 측정 데이터는 놓치지 않습니다. 

그렇다면 동기를 읽는다는 것은 실제로 무엇을 의미할까요? 

 

감정은 직감이 아니라 행동 지표임  

어조는 로그로는 알 수 없는 정보를 제공할 수 있습니다.

감정은 오해를 받습니다. 어떤 사람들은 이 단어를 들으면 기계가 감정을 읽으려고 시도하는 모습을 떠올립니다. 그것은 유용한 버전이 아닙니다. 

유용한 버전은 실용적입니다. 즉, 고조, 비밀 유지, 불만, 긴급성, 요구로 굳어지는 요청, 그리고 시간이 지남에 따라 어조가 어떻게 변하는지를 인식하는 것입니다. 사람들은 암시를 합니다. 그들은 완곡하게 표현합니다. 사용자는 엔드포인트 원격 측정에서는 완벽하게 괜찮아 보일 수 있지만, 채팅에서는 위험한 행동이 발생하기 전에 압박이 커지는 모습이 나타날 수 있습니다. 

그렇기 때문에 감정 분석은 엔드포인트, 이메일, 클라우드 및 AI 활동과 나란히 보강 요소로서 탐지 계층에 포함되어야 합니다. 이는 로그가 답할 수 없는 질문에 답을 줍니다. 이것은 우발적이었나요, 태만했나요, 무모했나요, 강요에 의한 것이었나요, 아니면 악의적이었나요? 어조가 기술적인 이벤트 발생 전과 후 중 언제 바뀌었나요? 그러한 구분은 인사팀과 법무팀에 중요합니다. 대응은 상황에 맞아야 하기 때문입니다. 

과소투자되는 또 다른 요소는 인적 보고입니다. 관리자가 어조 변화를 알아차립니다. 동료가 이상한 메시지를 신고합니다. 그것들은 사소한 신호가 아닙니다. 그것들은 종종 증거 트리의 첫 번째 가지가 됩니다. 

모든 레이어가 작동할 때 어떤 모습인지 보여드리겠습니다. 

포괄적인 가시성이란 모든 사람을 똑같이 모니터링하는 것이 아닙니다. 이는 거버넌스, 위험 임계값, 상황별 검토를 적용하여 조사자가 위험을 평가하는 데 필요한 정보만 볼 수 있도록 하는 것입니다. 

 

여러분은 이미 로그를 가지고 있고, 대부분 이미 사용하고 있음

그렇다면 왜 여전히 분류 작업이 병목 현상이 될까요?

거의 모든 팀에서 듣는 공통된 의견은, 그들이 일정 시점에 이 데이터를 추출하여 경고의 원인을 파악하기 위해 활용한다는 것입니다. 분석가가 모든 것을 읽고 싶어 한다는 인식과는 달리, 실제로는 그렇지 않습니다. 그들은 자신이 봐야 할 위험만 보고 싶어 하며, 나머지는 보고 싶어 하지 않습니다. 문제는 메커니즘이 이를 지원해야 하는데, 수동 읽기나 어휘 트리거는 그렇지 못하다는 점입니다. 

이 부분이 LLM이 제 역할을 하는 지점입니다. 판단을 대체하는 것이 아닙니다. 지루한 검토를 대신하는 첫 번째 단계로서, 콘텐츠를 지속적으로 스캔하고, 조직이 실제로 중요하게 생각하는 맞춤형 위험 행동과 비교하여 평가하고, 이를 매트릭스에 매핑한 다음, 사람의 주의가 필요한 내용만 표면화합니다. 

이는 가드레일이 있을 때만 작동하며, 이 부분은 타협할 수 없습니다. 기본적으로 마스킹 처리하고, 표면화될 내용을 제한하는 위험 임계값을 설정하며, 세부 정보에 대한 계층적 역할 기반 액세스를 제공하고, 범위에 대해 인사 및 법무 부서와 조정하며, 전체 과정에 대한 감사 로그를 남겨야 합니다. 적절한 사람들이 적절한 시기에 적절한 수준의 세부 정보를 볼 수 있는 통제되고 방어 가능한 검토입니다. 

이를 제대로 수행하면 또 다른 변화가 생깁니다. 바로 신호를 포착하는 시점입니다. 

 

초기 단계가 바로 선택의 기회가 있는 곳임

더 빨리 파악하는 것이 실제로 어떤 이점을 줄까요?

신호를 더 빨리 파악할수록 더 많은 선택지를 가질 수 있습니다. 파일이 유출되고, 채팅이 삭제되고, 브라우저 기록이 지워지면, 이미 사후 처리를 기록하고 있는 셈입니다. 

동기와 준비 과정에 선행 지표가 존재합니다. 어조의 변화, 외부로부터의 압박, 개별적으로는 아무것도 아닌 것처럼 보이지만 합쳐지면 의미가 있는 작은 행동들이 바로 그것입니다. 그곳에서 누군가가 악의적인지, 부주의한지, 무모한지, 아니면 그저 끔찍한 한 주를 보내고 있는 것인지 알 수 있습니다. 그 차이가 이후의 모든 것을 바꿉니다. 인사팀은 한 가지 경로가 필요할 수 있고, 법무팀은 다른 경로가 필요할 수 있습니다. 사용자의 행동이 사고가 되기 전에 개입이 필요할 수 있습니다. 

 

3부와 4부가 이어지는 곳

보호와 조사가 더 스마트해지려면 무엇이 선행되어야 할까요?

3부에서는 동적 보호에 대해 다룹니다. 이는 정상적인 업무를 방해하지 않으면서 노출을 줄이는 것으로, 시스템이 일상적인 활동과 실시간으로 커지는 위험을 구분할 수 있을 때만 가능합니다. 4부에서는 연결된 원격 측정이 어떻게 조사를 단축하고, 막다른 길을 줄이며, 분석가들이 몇 시간이 아닌 몇 분 만에 위험을 검증하는 데 필요한 증거를 제공하는지 살펴봅니다. 이를 통해 그들은 사람, 데이터, 브랜드를 보호하는 데 필요한 리드 타임을 확보하게 됩니다.  

둘 다 우리가 여기서 다룬 내용에 달려 있습니다. 감정도 없고, 동기에 대한 정확한 파악도 없습니다. 가시성이 없으면 신뢰할 수 있는 보호도 없습니다. 전체 수명 주기에 걸친 통합 원격 측정이 없으면 신뢰할 수 있는 자동화도 없습니다. 증거 체인이 없으면 방어 가능한 사례도 없습니다. 

내부자 위험은 보통 단일 이벤트에 숨겨져 있지 않습니다. 그것은 이벤트 간의 연결 속에 숨겨져 있습니다. 그러한 연결을 가장 먼저 파악하는 조직이 가장 많은 선택권과 가장 강력한 사례, 그리고 사고가 유출로 이어지기 전에 개입할 수 있는 최고의 기회를 갖게 됩니다.  

그래서 제가 궁금한 점은 다음과 같습니다. 귀하의 프로그램에서는 첫 번째 의미 있는 단서가 일반적으로 얼마나 이전에 나타나며, 실제로 입증된 사례로 이어지는 요인은 무엇입니까? 아니면 우리는 여전히 누군가가 단순히 무언가 이상하다고 느끼고, 그것이 결과를 바꿀 수 있을 만큼 제때에 우리에게 공유되기를 바라는 것에 의존하고 있습니까?