"월 1만5천개 문서 학습"…AI'왓슨'이 보안과 만나면

[김국배기자] 축구에서 수비수는 공격수보다 불리하다. 상대가 움직임의 주도권을 쥐고 있기 때문이다. 열 번 실수를 하다가도 한 번의 골을 성공시킨 공격수는 '해결사'가 되기도 하지만 수비수는 단 한 번의 실수로 '역적'이 된다.

기울어진 지형은 해커와 보안 담당자가 맞서는 사이버보안 세계도 비슷하다. 해커가 유리할 수 밖에 없는 게 현실이다.

이런 가운데 최근 주목받는 인공지능(AI)은 보안 담당자들에게 어떤 도움을 줄 수 있을까.

결론부터 말하자면 사이버 보안 분야에 AI가 적용돼도 이 같은 불리한 싸움 구도에는 변함이 없을 것이라는 게 그의 생각이다.

하지만 그는 "AI가 사이버 보안에 있어 빠른 탐지와 대응을 돕는 데 일정 부분 역할을 할 수 있을 것"이라고 강조했다.

최근 사이버 보안의 패러다임은 방어에서 탐지와 대응으로 이동하는 분위기다. 과거와 달리 100% 사전 예방은 불가능하다는 공감대가 형성됐다. '어떻게든 뚫린다'는 것이다.

◆사이버 보안 문서 8%만 활용…보안 관제 활약 기대

"현재 왓슨은 보안에 관한 전문 지식을 배우고 있습니다. 최근 문서 위주로 한 달에만 1만 5천 개가 왓슨에 입력됩니다."

왓슨은 특정 전문 분야에서 학습을 통해 전문가들을 지원해주는 AI다. IBM에 따르면 보안 사고나 악성코드에 대한 분석보고서, 기사, 블로그 등 보안 관련 문서가 1년에만 20만건, 100만 페이지 분량이다.

보안 전문가라도 그 많은 내용을 파악하기는 불가능하다. "이중 기업 등은 사용하는 건 8%를 정도입니다. 나머지 92%는 제대로 활용하지 못하고 있습니다."

왓슨이 이를 학습하고 이해와 추론을 통해 새로운 사건이 발생했을 때 보안 전문가를 도울 수 있다는 얘기다. 특히 왓슨을 적극 활용할 수 있을 것으로 기대되는 영역은 보안관제다.

보안관제란 기업·기관의 내부 시스템과 네트워크, 보안장비 등에 대한 모니터링, 운영, 침해사고 분석·대응 등을 지원하는 서비스를 뜻한다.

"예를 들면 관제센터에 10명의 보안관제 요원이 있습니다. 보안관제 서비스의 수준을 결정짓는 것은 관제요원의 경험, 지식, 노하우입니다. 물론 툴(tool)이 제공하는 정보도 있지만 이는 관제요원마다 똑같습니다.

결국 그 정보를 갖고 좀더 빠르고 정확하게 판단하고 대응하는 건 관제요원의 경험이에요. 임상경험이 많은 의사가 명의가 되기도 하는 것처럼 관제요원들이 얼마나 경험이 많고 연구를 했느냐에 따라 관제 수준이 달라집니다.

왓슨이 아주 경험이 많은 보안 관제요원처럼 옆에서 조언을 해줄 수 있습니다. 왓슨이 최신 정보를 갖고 일정하게 지원하면 전반적인 서비스 수준을 높일 수 있을 것입니다."

◆IBM 제품·서비스 먼저 적용…왓슨 API 통해 타 기업도 쓸 수 있어

IBM은 왓슨이 학습한 보안 전문 지식을 1차적으로는 자사 보안 제품과 서비스에 녹일 계획이다.

왓슨이 가장 먼저 적용될 제품은 보안정보이벤트관리(SIEM) 솔루션 '큐레이더'로 예상된다. 물론 IBM의 관제 서비스에도 활용된다.

"큐레이더에 여러 이벤트들이 올라오면 왓슨에 관련 정보가 있는 경우과 그렇지 않은 경우를 구분, 집중적으로 봐야 하는 이벤트에 우선순위를 매겨줄 수 있습니다. 보안 담당자들이 왓슨의 도움을 받아 좀더 정확하고 빠른 판단을 내릴 수 있습니다."

여기서 그치지 않고 IBM은 사이버 보안 기업들에 왓슨 API를 제공해 AI가 가미된 제품과 서비스를 개발하는 것을 돕는다는 계획이다.

"국내 보안 회사들이 자체적으로 쌓아온 지식이 많은데 왓슨을 통해 학습시키고, 이를 이용해 추가적인 서비스나 제품을 개발하는 것도 얼마든지 가능해질 것입니다.

국내 기업들은 규모가 그리 크지 않아 수십, 수백 명을 두고 AI 연구를 하기 어렵습니다. 자체적인 노력도 하되 이미 검증된 왓슨이라는 플랫폼을 통해 시작해 볼 수도 있다는 얘깁니다."

보안 분야에 왓슨을 적용하는데 걸림돌은 없을까. "엉뚱한 정보가 들어가면 엉뚱한 답이 나올 수 있기 때문에 검증하는 과정이 중요합니다. 미국 8개 보안 전문대학과 손을 잡고 학습된 내용에 대한 검증을 이미 시작했습니다."

"보안 로그는 언어와 상관이 없고, 국내에서 나오는 보안 보고서는 한글로 돼 있을 수 있지만 왓슨이 한국어를 배우는 중이라 시간이 조금 필요할 뿐 큰 제약이 되지 않을 것입니다. 또한 왓슨이 클라우드 상에서 동작하는데 국내 클라우드 데이터센터가 곧 개설돼 위치 문제도 해소될 것입니다."