AI가 사이버보안 분석가를 대체할까?

간단한 답: 아니다. 하지만 5년 뒤에 채용되는 업무는 오늘 공고된 것과 다를 것이다. AI가 이미 주니어 SOC 분석가들이 근무 중에 하는 일의 상당 부분을 처리하고 있고, 이를 외면하는 것은 누구의 경력 계획에도 도움이 되지 않는다.

SOC에서 AI가 이미 하는 일

Microsoft Security Copilot, CrowdStrike Charlotte AI, 그리고 각종 SIEM 통합 LLM 어시스턴트 같은 도구들이 경고 분류, 초기 사건 요약 작성, 여러 소스의 로그 데이터 상관관계 분석을 손으로 Splunk 쿼리를 스캔하는 것보다 훨씬 빠르게 처리하고 있다. Tier 1 자리에서 일해본 사람이라면 하루의 대부분이 반복적이라는 것을 안다: 새로운 국가에서의 로그인이 실제 위협인지 VPN 오설정인지, PowerShell 실행이 정상적인 관리자 활동인지 횡적 이동의 시작인지 판단하는 것. 알려진 나쁜 것과 알려진 좋은 것에 대한 패턴 매칭인 이러한 분류 작업은 기계학습 모델이 잘하는 일이다.

EDR 플랫폼은 "AI"가 유행하는 마케팅 용어가 되기 훨씬 전부터 ML 기반 이상 탐지를 사용해왔다. 최근 변화는 생성형 AI를 추가로 올린 것으로, 단순히 이상을 표시하는 대신 도구가 발생한 일을 읽을 수 있게 설명하고 다음 단계를 제시할 수 있다. 이는 인력이 부족한 팀에 실제 생산성 향상을 준다.

AI가 아직 안정적으로 하지 못하는 일

모델은 환각을 일으키고, SOC 맥락에서 환각된 근본 원인은 분석가가 활성 사건 중에 잘못된 단서를 쫓게 한다. AI는 조직 맥락도 부족하다: 재무 팀의 이상한 아웃바운드 트래픽이 매주 금요일마다 일어나는 것이 지속화가 아니라 레거시 백업 작업이라는 것을 알지 못한다. 누군가 그 맥락을 학습시키지 않는 한, 그리고 그 경우에도 엣지 케이스가 이를 깨뜨린다.

대적 압박은 대부분의 벤더 데모가 인정하는 것보다 더 큰 문제다. 공격자들은 이미 AI 지원 방어 도구에 대한 프롬프트 인젝션을 테스트하고 있고, 작년 악성코드 샘플로 학습한 ML 분류기를 회피하도록 특별히 만든 페이로드를 작성하고 있다. 모델은 봤던 데이터만큼만 좋고, 위협 행위자들은 이를 알고 많은 조직의 재학습 사이클보다 더 빠르게 적응한다.

마지막으로, 사건 대응은 법적, 사업적 결과를 수반하는 판단 호출을 포함한다: 업무 시간 중 이 서버를 오프라인으로 할 것인가, 고객에게 알릴 것인가, 몸값을 줄 것인가. 이는 분류 문제가 아니다. 책임을 질 누군가가 필요하고, 회사는 모델이 감독 없이 그 결정을 하도록 허락하지 않을 것이다.

역할은 사라지는 것이 아니라 변하고 있다

자동화와 infrastructure-as-code가 성숙했을 때 네트워크 엔지니어링에서 일어난 일과 비교해보자. 현대적인 조직에서는 더 이상 개별 스위치에서 VLAN을 수동으로 구성하지 않지만, 네트워크 엔지니어가 사라진 것은 아니다. 그들은 스택 위쪽으로 아키텍처와 정책 방향으로 이동했다. 보안 분석가도 같은 방향으로 가고 있다. 엔트리 레벨 분류 작업이 자동화되고 있다는 것은 엔트리 레벨 업무 자체를 현재 형태로 찾기가 어려워진다는 뜻이다. 증가하는 것은 탐지 규칙을 조정하고, AI 생성 결과를 검증하고, 자동화된 도구가 놓친 격차에 대한 커스텀 Sigma 규칙을 작성하고, 의도와 사업 영향에 대한 실제 추론이 필요한 모호한 경우를 처리할 수 있는 사람에 대한 수요다.

위협 사냥은 자동화가 개선될수록 덜 중요해지는 것이 아니라 더 중요해지는 학문의 좋은 예다. 위협 사냥꾼은 자동화된 시스템이 표시하지 않은 것을 찾는다: 몇 개월 동안 조용히 있는 지속성 메커니즘, 종이상으로는 정상적인 액세스로 보이는 내부 위협. 그것은 본질적으로 인간이 가설을 세우는 활동이다.

실제로 할 일

이 분야에 들어가거나 이미 있다면 AI 도구가 당신을 대체할까봐 피하지 말자. 그것을 사용하는 법을 배우고 그것의 실패 모드를 배워라. SIEM (Splunk, Microsoft Sentinel, 또는 Elastic)을 직접 다루고 AI 어시스턴트에 의존하기 전에 직접 탐지 로직을 작성하는 연습을 해서 잘못된 것을 볼 수 있도록 하자. 로그 파싱과 자동화를 위해 Python 스크립팅 능력을 키워라. 벤더를 기다리는 대신 자신의 반복적인 일을 자동화하는 분석가들이 올라가는 사람들이기 때문이다.

모델 자체가 어떻게 실패하는지 이해하는 것도 중요하다. 대적 기계학습과 보안 도구에 대한 프롬프트 인젝션에 대해 읽어보자. 그 지식은 피싱 키트가 어떻게 작동하는지 아는 것만큼 블루 팀 직원에게 관련되고 있다. 가치 있는 상태를 유지하는 분석가는 AI를 맹목적으로 신뢰하는 블랙박스가 아니라 통제하는 포스 멀티플라이어로 취급하는 사람들이다.

Korra Studio는 자동화 계층 위의 기술을 구축하고 싶다면 이와 경쟁하기보다는 SIEM 기초, 탐지 엔지니어링, 위협 사냥을 다루는 실습 랩을 제공한다.