계정이 실제이고 행동이 정상일 때, AI는 의도를 감지해야 함
오늘날 가장 위험한 공격은 낯선 사람으로부터 오지 않습니다. 공격은 실제 계정에서, 익숙한 스레드를 통해, 해당 계정이 평소에 요청하는 것과 정확히 같은 것을 요청하는 방식으로 이루어집니다. 진정으로 침해된 계정은 정상적으로 인증되고, 평소 인프라에서 전송되며, 항상 그래왔던 것처럼 정확히 행동합니다. 왜냐하면 그것은 동일한 계정이기 때문입니다. AI는 나머지 격차를 메워 공격자가 실제 사람의 문체와 공급업체 관계를 충분히 가깝게 모방하게 함으로써 콘텐츠조차도 이상해 보이지 않게 만듭니다. 남은 것, 즉 기록에서 복사되지 않은 유일한 것은 메시지 이면의 목적입니다.
위협 행위자들은 이제 AI를 사용하여 패턴 매칭을 완전히 무력화하는 방식으로 공격을 표적화하고, 정교하게 만들고, 확장하고 있습니다. 단일 캠페인이 50명의 피해자에게 50개의 서로 다른 이메일을 보낼 수 있으며, 각 이메일은 다르게 표현되고, 수신자에게 개인화되며, 공격자가 상호 작용하고 신뢰를 구축함에 따라 조정됩니다. 동일한 메시지는 하나도 존재하지 않습니다. 하지만 그 이면의 의미는 동일합니다. 50개의 서로 다른 변장으로 50번 반복되는 동일한 요청, 동일한 의도입니다.
이것이 바로 탐지가 두 가지 수준에서 동시에 작동해야 하는 이유입니다. 첫째, 메시지의 의미를 표현 방식과 관계없이 이해하여, 동일한 목표를 추구하는 50개의 다르게 표현된 이메일을 동일한 위협으로 인식하는 것입니다. 둘째, 메시지가 도달하는 맥락, 즉 발신자와 수신자를 둘러싼 관계, 기록, 지식 그래프를 이해하는 것입니다. 동일한 요청이라도 누가 왜 요청하느냐에 따라 일상적인 것일 수도, 악의적인 것일 수도 있기 때문입니다.
행동 보안만으로는 기준선과 다르게 보이는 것만 잡아낼 수 있습니다. 모든 단계가 정상적으로 보이고 근본적인 목적만 악의적인 경우에는 공격의 고리를 잡아낼 수 없습니다. 이 새로운 시대에는 의도를 파악하는 것이 필요합니다. 즉, 무언가가 비정상적인지가 아니라 무엇을 달성하려고 하는지를 파악해야 합니다.
오늘 우리는 그 질문에 직접 답하기 위해 구축된 차세대 Proofpoint Nexus인 Nexus 의도 기반 탐지 모델과 권한 있는 사용자 보호를 발표합니다. 첫 번째는 모든 제어 지점에서 모든 메시지에 의도 기반 추론을 확장합니다. 두 번째는 가장 맞춤화된 공격에 직면한 개인들에게 이를 적용합니다.
Nexus 의도 기반 보호 소개
Nexus 의도 기반 보호는 행동을 넘어 의도를 추론합니다. 즉, 메시지가 지향하는 목표, 맥락이 해당 목표를 타당하게 만드는지 여부, 그리고 이를 추구하는 데 사용되는 기술을 추론합니다. 이 조합은 관계에 맞지 않는 사기성 요청, 기술로 정체가 드러나는 공격자, 접근 권한은 유효하지만 목표는 그렇지 않은 내부자를 포착합니다.
이는 모든 제어 지점에서 배달 전과 배달 후에 인라인으로 실행됩니다. 이를 통해 Proofpoint는 게이트웨이와 API 전반에서 의도 및 행동 분석을 함께 제공하는 최초의 공급업체가 되었으며, 통찰력을 공유하고 탐지 기능을 함께 조정하는 게이트웨이 및 API 솔루션을 통해 평소에는 실제 목표를 숨기고 있는 평범해 보이는 메시지도 포착할 수 있습니다.
각 결정에 필요한 속도에 맞춰 구축된 다계층 의도 분석
행동 모델은 '이것이 정상과 다른가?'라는 한 가지 질문을 던집니다. 이는 발신자의 패턴과 정확히 일치하는 공격에는 대응하지 못하며, 기준선이 없는 새로운 항목에 대해서는 오탐을 생성합니다. Nexus 적응형 AI 엔진은 사람이 개입할 때까지 기다리지 않고 자율적으로 해결할 수 있는 범위를 높이기 위해 설계된 세 가지 심층 계층에서 의도를 평가합니다.
- Flash(500밀리초 미만)는 비즈니스 컨텍스트에 대한 빠른 타당성 검사를 실행하고, 알려진 공격자 인프라 및 기술 서명과 대조하며, 사용자의 위험 프로필을 확인합니다. 신뢰도가 높은 사례는 인라인으로 즉시 해결됩니다.
- Extended Thinking(격리 영역 내에서 최대 몇 분)은 실시간으로 확실하게 판정할 수는 없지만 받은 편지함에서 벗어나 더 자세히 살펴볼 가치가 있을 만큼 의심스러운 메시지의 약 1%를 포착합니다. 관계 및 통신 기록을 가져와 비즈니스 타당성을 평가하고, 캠페인 패턴에 대한 광범위한 위협 인텔리전스와 상관관계를 분석하며, 빠른 통과로는 책임 있게 판단할 수 없는 내부자 위험을 판단하기 위해 행동 컨텍스트를 고려합니다.
- Deep Thinking(배송 후 신고되거나 누락된 메일에 의해 트리거됨)는 통신 기록, 폭발 반경, 관련 계정을 포함한 전체 상호 작용을 재구성하여 메시지를 유도한 의도가 무엇인지 확실하게 결정합니다.
각 계층은 서로로부터 학습합니다. 더 깊은 계층에서 판정한 모든 항목은 '더 일찍 포착할 수 있었는가?'라는 한 가지 질문에 대해 검토됩니다. 그렇다면 더 빠른 계층이 그에 따라 조정됩니다. 게이트웨이와 API를 함께 실행하면 해당 학습이 양방향으로 이루어집니다. 게이트웨이는 배송 전에 의도를 평가하고, API는 받은 편지함과 동서 트래픽을 감시하여 통과되어 측면으로 이동하기 시작한 모든 것을 확인합니다. 그곳에서 나타난 정보는 조사 과정을 통해 해결된 후, 배송 전에 실행되는 시스템을 더욱 강화하기 위해 다시 반영되며, 이는 API 전용 또는 게이트웨이 전용 공급업체가 단독으로 완결할 수 없는 순환 구조를 형성합니다.
다중 수준 애퍼처
인텐트 모델이 무언가를 포착하면, 그 탐지 결과는 단 하나의 메시지에서 멈추지 않습니다. 이 정보는 5개의 애퍼처를 통해 자동으로 보강되어 단일 탐지로는 답할 수 없는 질문, 즉 '이것이 다른 누구에게 적용되는가?'에 대한 답을 제공합니다.
- 개인. 이는 한 사람의 관계 및 이력과 대조하여 테스트되는데, 이는 고도로 표적화되거나 개인화된 공격에 실제로 필요한 수준의 정밀도입니다.
- 조직. 이는 관련된 특정 기업의 패턴, 즉 누가 누구와 무엇에 대해 이야기하는지를 기준으로 평가됩니다.
- 산업별. 이는 동일한 업계의 조직들과 비교되는데, 공유된 규정, 워크플로우 및 공급업체로 인해 일부 기술은 전 세계적인 관점보다 동종 업계 내에서 훨씬 더 쉽게 식별됩니다. 지역 은행을 겨냥한 캠페인은 전 세계 트래픽 속에서는 아무것도 아닌 것처럼 보일 수 있지만, 다른 지역 은행들과 비교하면 뚜렷하게 드러납니다.
다른 공급업체는 글로벌 모델을 기준으로 정보를 보강할 수도 있습니다. 멀티 테넌트 커뮤니티가 없으면 정보를 보강할 수 있는 수직적, 조직적, 그룹 또는 개인별 애퍼처가 전혀 없으며, 고위험 사용자에게 노출 수준에 맞는 개인 수준의 보호를 제공할 방법도 없습니다.
업계에서 가장 광범위한 신호를 기반으로 구축된 지식 그래프
당사는 행동 그래프를 Proofpoint Knowledge Graph로 확장하여 프로파일링 범위를 도메인 수준에서 그룹 및 개별 사용자까지 넓히고, 새로운 이해를 게이트웨이에 직접 전달하는 주제 및 어조 모델링을 추가하고 있습니다. 이는 협업 보안을 넘어 더 넓은 플랫폼으로 확장되어 사용자 위험, 데이터 보안 및 AI 보안 신호를 통합함으로써 이메일 보안 제품 단독으로는 답할 수 없는 질문, 즉 '이 사람이 실제로 내부자 위험인가, 그리고 어떤 데이터에 접근할 수 있는가?'에 대한 답을 제공할 것입니다. 시스템이 수신자가 고위험군에 속하며 핵심 자산 근처에 위치함을 인지할 경우, 평소와 유사해 보이는 메시지가 전혀 달라진 판단 대상으로 전환됩니다. 이는 바로 그러한 사용자들에게서 실제 피해의 불균형적인 비중이 발생하기 때문입니다.
위협을 가장 먼저 감지하고 어디서나 차단하는 커뮤니티
당사는 이를 커뮤니티 하이퍼루프(Community Hyperloop)라고 부릅니다. Proofpoint의 네트워크는 340만 고객을 아우르며, 105개국에 걸친 13,000개 이상의 침입 탐지 센서를 통해 연간 2조 3,700억 개의 메시지를 처리합니다. 전 세계 대기업 대부분이 당사 고객에게 메일을 보내기 때문에, 당사는 귀사의 공급업체를 포함하여 고객이 아닌 조직 내부의 침해 사례까지 파악할 수 있습니다. 어떤 경쟁사도 이러한 관점을 재현할 수 없습니다. 모든 탐지, 조사 및 사용자 신고는 모든 사람을 보호하는지 여부에 따라 평가되며, 그 결과는 며칠이 아닌 몇 분 만에 전체 네트워크에 도달하여 고객이 아무것도 구성, 조정 또는 유지 관리할 필요 없이 탐지 기능을 강화합니다.
Nexus 적응형 AI 엔진은 Proofpoint 고객의 기존 이메일 보안 권한에 포함되어 있습니다. 특정 데이터 상주 요구 사항이 있는 고객에 대한 제한적인 예외를 제외하고 2027년 1분기부터 출시가 시작됩니다.
권한 있는 사용자 보호 소개
고가치 타겟은 다른 종류의 공격에 직면합니다. 탐지를 피할 정도로 충분히 개인화되어 있으며, 반복되지 않도록 설계되어 모집단 수준의 모델이 학습할 패턴을 제공하지 않습니다. 한 명의 CFO를 겨냥한 사칭 시도는 전 세계 메일 트래픽의 그 어떤 것과도 닮지 않았습니다. 단 한 관계를 충분히 면밀히 분석하여 그것이 어울리지 않는다는 사실을 알게 될 때에만, 비로소 무언가로 인식됩니다.
그것이 바로 권한 있는 사용자 보호가 구축된 이유입니다. 새로운 기능으로 제공되는 이 솔루션은 고위험 사용자를 모집단과 비교하는 대신, 실제 관계, 워크플로우 및 통신 패턴을 기반으로 각 사용자에 대한 개별 위협 모델을 구축합니다. 이는 기존 탐지 방식으로는 포착할 수 없는, 개인화된 다중 모드 공격을 탐지합니다. 이는 애초에 전통적인 탐지 기법에 노출되지 않도록 설계되었기 때문이며, 이메일 사기를 넘어서 텍스트, 음성, 비디오 및 이미지를 함께 분석하여 특정 개인을 겨냥한 원치 않는 통신을 차단합니다.
위협 조사 에이전트 소개
Proofpoint Satori Investigation Agent는 면밀한 조사가 필요한 경우 자동으로 활성화되며, Proofpoint의 원격 측정 데이터와 함께 ID, 엔드포인트, 브라우저, SIEM, 웹 프록시 및 기타 MCP 연결 도구를 포함한 타사 데이터를 종합 분석하여 공격을 재구성하고, 시간 순서와 피해 범위를 확립하며, 대응 조치를 권고하거나 실행합니다. 분석가는 직접 상관관계를 분석해야 하는 일련의 경고 대신 완료된 조사 결과를 받습니다. 모든 조사는 폐쇄형 피드백 프로세스로 연결됩니다. 오탐, 미탐 또는 고객이 직접 제출한 내용을 통해 학습한 사항은 업데이트된 탐지 로직에 반영되어 동일한 오류가 재발할 가능성을 줄입니다.
Satori는 조사를 진행하면서 동시에 조치를 취합니다. 위험도가 낮은 격리 조치, 즉 손상된 계정에서 이미 발송된 피싱 메시지 회수, 받은 편지함에 남아 있는 전달된 메시지 삭제, 공격자의 사서함 규칙 삭제 및 악성 URL 차단 목록 추가는 자동으로 수행됩니다. 위험도가 높은 조치, 즉 자격 증명 재설정 및 세션 취소, 계정을 감시 목록에 추가, 후속 교육 할당, 아웃바운드 메일 검사 강화 등은 한 번의 승인으로 처리할 수 있도록 대기열에 추가되므로, 판단이 필요한 결정에는 사람이 반드시 관여하게 됩니다.
이는 반대로 작동하는 동일한 의도 기반 추론입니다. Satori는 메시지 전달 여부를 묻는 대신, 실제로 침투한 공격자가 수행한 행위를 파악하고, 이를 바탕으로 다음 공격을 감시하는 탐지 모델에 반영합니다.
성공의 다른 척도
수년 동안 탐지 성능은 오탐과 미탐을 기준으로 평가되었습니다. 그것은 이제 공격자가 할 수 있는 일과 방어자가 실제로 볼 수 있는 것 사이의 격차를 줄이기 위해 구축된 시스템에 적합한 기준이 아닙니다. 이제 중요한 측정 기준은 단순합니다: 얼마나 자율적으로 문제를 해결하는지, 어디서든 발견된 위협이 얼마나 신속하게 전방위적인 보호로 전환되는지, 시스템이 이메일과 브라우저 전반에서 실제 공격 표면을 얼마나 효과적으로 파악하는지, 그리고 위험 부담이 큰 사용자들이 불균형적인 보호를 받고 있는지 여부입니다.
행동 기반 탐지와 의도 기반 탐지는 경쟁하는 개념이 아니지만, 이 시대를 정의하는 공격에 대응하여 확장 가능한 것은 그중 하나뿐입니다. 계정은 실제입니다. 행동은 정상입니다. 의도는 그렇지 않습니다. 그것이 익숙한 스레드에서의 사기성 송금 요청이든 브라우저 세션에서 자격 증명을 조용히 탈취하는 스크립트든, 이러한 모든 버전의 공격이 공통으로 가진 한 가지입니다. Proofpoint는 게이트웨이, 받은 편지함, 그리고 이제는 가장 필요한 사람들을 위해 개인 수준까지, 중요한 모든 곳에서 의도를 읽는 AI를 구축하고 있습니다.
귀하의 방어 체계가 이미 얼마나 많은 위협을 통과시키고 있는지 확인해 보시겠습니까? 무료 이메일 신속 위험 평가를 받고 현재 설정에서 무엇이 누락되었는지 확인하십시오.