존 나이스비트는 1982년에 출간한 저서 『메가트렌드』에서 이렇게 썼습니다. “우리는 정보의 홍수 속에 허덕이면서도 지식에는 굶주려 있다.” 현대 사회의 여러 모습을 매우 정확하게 포착한 말이라고 생각하기에, 제가 가장 좋아하는 명언 중 하나입니다.
특히 이 말은 많은 기업의 사기 및 위험 관리 프로그램이 처한 상황을 간결하게 설명합니다. 안타깝게도 이러한 프로그램 중 상당수는 오탐과 기타 ‘노이즈’가 지나치게 많아 효과가 떨어집니다.
노이즈가 사기 및 위험 관리에서 왜 그토록 큰 문제가 되는지 이해하려면 먼저 그것이 기업에 미치는 영향을 파악해야 합니다. 다음은 전체 목록은 아니지만 몇 가지 주요 영향입니다:
- 낭비되는 업무 시간: 사기 방지 팀이 중앙 집중식 작업 대기열을 중심으로 워크플로를 구축하면 대기열의 모든 이벤트에 우선순위를 지정하고 검토해야 합니다. 노이즈는 검토가 필요하지만 사기 및 위험 관리 프로그램에는 가치를 더하지 않는 항목으로 이 대기열을 채웁니다. 즉, 노이즈는 팀의 소중하고 귀중한 업무 시간을 낭비하게 합니다.
- 실제 사기 탐지 누락: ‘건초 더미에서 바늘 찾기’라는 표현은 일반적인 기업이 접하는 방대한 데이터와 이벤트 속에서 사기를 찾아내는 일이 어떤 것인지 잘 보여줍니다. 이 비유에서 바늘은 실제 사기(사기 사건)를, 건초 더미는 사기가 아닌 오탐을 의미합니다. 오탐이 많을수록 실제 사기를 찾아내기가 더 어려워집니다.
- 인프라 비용 증가: 노이즈는 인프라 비용도 증가시킵니다. 사기 및 위험 관리 프로그램에 도움이 되는지 여부와 관계없이 모든 로그, 알림 및 이벤트를 보관해야 하기 때문입니다. 따라서 팀이 거의 또는 전혀 가치가 없는 정보를 대량으로 수집한다면 불필요하게 인프라를 과도하게 사용하는 셈입니다. 이로 인해 훨씬 더 큰 가치를 창출할 수 있는 영역에 투입할 예산이 줄어듭니다.
- 왜곡된 지표: 오탐은 지표를 왜곡하는 주된 요인입니다. 특히 실제 사기 사건에 투입된 시간의 비율, 정탐 대비 오탐 비율, 이벤트 발생량, 처리된 이벤트 수, 이벤트당 분석가의 처리 시간 등에 초점을 맞춘 지표는 노이즈의 양에 큰 영향을 받습니다. 오탐률이 낮을수록 이러한 지표는 더 정확하고 긍정적으로 나타납니다.
오탐과 노이즈가 사기 방지 프로그램에 부정적인 영향을 미치는 몇 가지 이유를 이해하면 문제 해결 계획을 세우는 데 도움이 됩니다. 다음은 제가 경력을 쌓는 동안 유용하다고 느낀 몇 가지 제안입니다:
- 위험에서 시작: 당연하게도 성공으로 가는 모든 길은 위험을 확실히 이해하고 이에 대응하려는 의지에서 시작됩니다. 기업이 직면한 위험과 위협을 평가하고, 이러한 요소가 기업 내에서 무엇에 영향을 미치는지 파악하며, 각각으로 인해 발생할 수 있는 잠재적 비용과 손실을 알아보세요.
- 목표 및 우선순위 설정: 무엇을 언제 해결할지 결정하는 것은 사기 및 위험 관리 팀이 내릴 수 있는 가장 중요한 전략적 결정 중 하나입니다. 이전 단계에서 파악한 위험과 위협의 우선순위를 정하고, 단기 및 장기적으로 해결할 목표와 우선순위를 설정하세요.
- 영향 평가: 핵심 자산, 주요 리소스, 중요한 데이터 저장소 등을 식별하면 팀이 사고의 잠재적 영향을 파악하는 데 도움이 됩니다. 가장 민감하고 중요한 자산, 리소스 및 데이터의 위치를 파악하면 팀이 텔레메트리의 공백이 있는 영역에 집중할 수 있습니다.
- 데이터 및 격차 파악: 현재 수집 중인 텔레메트리 데이터를 파악하고 각 데이터 소스가 사기 및 위험 관리 프로그램에 기여하는지 평가합니다. 기여하지 않는 데이터를 수집하면 아무런 가치도 창출하지 못한 채 인프라 비용만 늘어납니다. 잠재적인 사기를 탐지하지 못하게 하는 텔레메트리의 격차를 파악하고 이를 해소하기 위한 계획을 수립합니다.
- 기술과 격차 파악: 현재 도입된 기술을 면밀히 살펴보고, 오탐을 최소화하면서 사기를 안정적으로 탐지하거나 유용한 원격 측정 데이터를 수집하고 프로세스와 워크플로를 효율화하는 등 어떤 부분에서 도움이 되는지 검토하세요. 기술이 사기 방지 팀에 도움이 되기는커녕 오히려 방해가 되는 부분과 원격 측정 및 탐지에 공백이 있는 부분도 주의 깊게 살펴보세요.
- 노이즈가 많은 규칙과 시그니처 제거: 대량의 노이즈를 발생시키는 규칙, 시그니처 및 기타 탐지 기법은 사기 방지 프로그램에 도움이 되지 않습니다. 오히려 팀을 오탐에 파묻히게 하고 사기 사고를 적시에 정확하게 탐지하는 데 방해가 됩니다. 과격하게 들릴 수 있지만, 이러한 노이즈가 많은 탐지 메커니즘을 폐기하면 단점보다 훨씬 더 많은 이점을 얻을 수 있습니다.
- 정밀한 탐지 구현: ‘적을수록 좋다’는 철학을 진정으로 실천하려면 데이터를 면밀히 분석하여 정확도와 신뢰도가 높은 알림과 이벤트를 생성해야 한다는 점을 이해해야 합니다. 더 정교한 탐지 방식을 구현하려면 초기에 상당한 시간을 투자해야 하지만, 그만큼 큰 성과를 얻을 수 있습니다. 알림과 이벤트의 품질이 높을수록 작업 대기열에는 유의미한 신호가 늘고 불필요한 노이즈가 줄어듭니다.
- 프로세스에 집중: 아무리 뛰어난 작업 대기열도 프로세스가 제대로 작동하지 않거나 아예 없다면 도움이 되지 않습니다. 세계적 수준의 사기 방지 팀은 업무 수행 방식을 안내하고 관리하는 성숙하고 효율적이며 효과적인 프로세스를 갖추고 있습니다.
- 지속적인 개선: 완벽한 사기 방지 팀은 없으며, 최고의 사기 방지 팀은 자신의 약점과 개선 기회를 명확히 인식하고 있습니다. 위의 각 항목에서 얻은 교훈을 바탕으로 사기 방지 프로그램을 지속적으로 개선하는 것은 팀의 장기적인 성공에 매우 중요합니다.
데이터, 이벤트, 알림이 많을수록 사기 탐지 성능이 향상된다는 통념은 시대에 뒤떨어진 잘못된 생각입니다. 기업은 위험에 전략적으로 집중하고 노이즈를 체계적으로 줄임으로써 사기 탐지 수준과 사기 방지 프로그램의 성숙도를 모두 높일 수 있습니다. 신호 대 잡음비를 개선하고 사기 탐지에 ‘적을수록 좋다’는 철학을 적용하면 오탐에 낭비되는 리소스를 크게 줄이면서 더 많은 사기를 탐지할 수 있습니다.
더 자세히 알아보고 싶으신가요? 6월 21일부터 22일까지 Infosecurity Europe의 P20 부스에서 Josh와 이야기를 나눠보세요.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.