보안 운영 팀은 그 어느 때보다 빠르게 이동해야 합니다. 공격자는 자동화, 인프라 변경을 분 단위로 사용하고 있으며 경고, 노출 및 조사 경로의 수는 계속 증가하고 있습니다. 그러나 너무 많은 SOC 워크플로는 여전히 부족한 전문가 시간에 의존합니다. 선임 분석가가 쿼리를 작성하고, 가설을 변환하고, 도구 간에 피벗하고, 결과를 검증한 다음 결과를 전달하여 조치를 취합니다.
공예가 작동합니다. 시간이 오래 걸리고, 돌아다닐 전문가가 충분하지 않습니다.
Agentic SecOps는 운영 모델을 변경합니다. Tanium Atlas를 사용하면 보안 팀이 자연어로 작업을 지시하고 실시간 엔드포인트 데이터를 추론할 수 있으며 승인 및 거버넌스를 통해 인간을 제어할 수 있습니다. Atlas는 분석가에게 매 단계마다 수동으로 연결하도록 요청하는 대신, 팀이 질문에서 증거로, 행동으로 이동하는 데 도움을 주며, 이는 현재 엔드포인트 자산 전반에 걸쳐 사실인 것을 기반으로 합니다.
왜 Agentic SecOps인가, 왜 지금인가
보안 시장은 부조종사에서 에이전트로 빠르게 이동했습니다. 거의 모든 주요 보안 벤더가 동일한 이야기를 하고 있습니다. AI는 분석가가 더 빠르게 탐지, 분류 및 대응할 수 있도록 지원합니다.
하지만 에이전트 보안은 실행 중인 데이터 및 트레이드크래프트만큼만 좋습니다.
대부분의 AI-SOC는 이미 수집, 정규화 및 다른 위치에 저장된 데이터보다 더 많은 이유를 경험합니다. 이는 과거 분석에 유용할 수 있지만, 질문이 작동 가능하고 긴급할 때 격차를 생성합니다. 지금 실행 중입니까? 어디서? 엔드포인트는 몇 개입니까? 행동하기 전에 이를 검증할 수 있습니까?
Tanium이 다른 곳입니다. Tanium Atlas는 실시간 엔드포인트 기반 사실, 자산 전반의 실시간 가시성을 기반으로 구축되며, 데이터 기반과 SecOps 워크플로, HuntIQ 전문 지식 및 충실도 높은 위협 인텔리전스를 결합합니다. 그 결과, 발생한 일을 설명할 뿐만 아니라 팀이 현재 일어나고 있는 일을 찾고, 검증하고, 조치를 취할 수 있도록 설계된 에이전트적 SecOps 경험이 탄생했습니다.
아틀라스에서 에이전트가 이끄는 위협 헌팅
첫 번째 주요 에이전트 SecOps 모션은 Atlas의 에이전트 안내 위협 헌팅입니다.
위협 헌팅은 SOC가 수행할 수 있는 가장 높은 가치의 활동 중 하나이지만 확장하기 가장 어려운 활동이기도 합니다. 헌터는 가설을 형성하고, 이를 올바른 쿼리로 변환하고, 함대 전체에 걸쳐 반복하고, 결과를 해석하고, 결과를 알려진 공격자 행동에 매핑하고, 지속적인 탐지 범위가 되어야 할 사항을 결정해야 합니다. 이러한 작업은 일반적으로 고위급 전문 지식이 필요하며, 이는 많은 팀이 해야 할 일보다 더 자주 사냥하지 않는다는 것을 의미합니다.
보안 팀은 에이전트가 안내하는 위협 헌팅을 통해 헌팅 가설을 일반 언어로 설명할 수 있습니다. Atlas는 실시간 엔드포인트 데이터를 추론하고 Threat Navigator와 같은 Tanium 헌팅 기능을 오케스트레이션할 수 있으며, 모든 분석가가 기본 쿼리를 수동으로 작성하도록 강요하지 않고 팀이 헌트를 실행하는 데 도움을 줄 수 있습니다.
목표는 프로세스에서 사람을 제거하지 않는 것입니다. 인간을 증폭시키는 것입니다. 애널리스트는 통제력을 유지하고, 추론과 증거를 검토하며, 승인을 사용하여 민감하거나 파괴적인 조치를 관리합니다. 그러나 반복적인 번역 및 오케스트레이션 작업은 더 빠르게 이동할 수 있으므로 팀은 더 많은 헌트를 실행하고, 더 많은 분석가를 참여시키고, 입증된 결과를 더 강력한 탐지 범위로 전환할 수 있습니다.
이미 HuntIQ를 사용하고 있는 고객의 경우 특히 강력합니다. 에이전트 가이드 위협 헌팅은 전문 헌터가 더 효율적으로 운영되도록 돕고 고객 팀이 반복 가능한 가이드 헌팅 패턴의 혜택을 누릴 수 있도록 지원하는 대신 전문 트레이드크래프트를 확장하도록 설계되었습니다.
실시간 엔드포인트 진실은 차별화 요소입니다
Agentic SecOps는 간단한 온프레미스에 따라 달라집니다. 오래된 또는 불완전한 컨텍스트를 추론하는 경우 상담원은 올바른 운영 결정을 내릴 수 없습니다.
Tanium의 장점은 Atlas가 실시간 엔드포인트 상태를 초과한다는 것입니다. 헌터가 함대 전체에 의심스러운 행동이 있는지 물으면 Atlas는 몇 시간 전에 섭취한 것뿐만 아니라 현재 실행 중인 것을 기반으로 응답할 수 있습니다.
이는 많은 SecOps 질문이 현재 상태 질문이므로 중요합니다.
- 이 프로세스가 여전히 실행 중입니까?
- 현재 이 지속성 메커니즘이 있는 엔드포인트는 무엇입니까?
- 이 의심스러운 바이너리가 부동산 전체에 어디에 있습니까?
- 이러한 지표가 중요 자산에 존재합니까?
- 탐지 로직으로 전환하기 전에 이 인텔리전스를 검증할 수 있습니까?
과거 데이터는 여전히 중요합니다. SIEM과 데이터 레이크는 여전히 SOC의 중요한 부분입니다. 그러나 에이전트 운영의 경우 실시간 엔드포인트 기본 사실은 방어자에게 다른 종류의 이점을 제공합니다. 현재 사실인지 검증하고 여전히 중요한 동안 조치를 취할 수 있습니다.
에이전트 SOC를 위한 연료로서의 충실도 높은 인텔리전스
Agentic SecOps도 더 나은 시작점이 필요합니다. 상담원이 약하거나 시끄러운 지표에서 헌팅하도록 요청받는 경우 결과는 이를 반영합니다. 고품질 위협 인텔리전스는 에이전트 워크플로우가 중요한 것을 우선시하는 데 도움이 되는 원동력이 됩니다.
이것이 Tanium이 실시간 엔드포인트 워크플로에 Google Threat Intelligence(GTI)를 도입하는 이유입니다. 전략적 가치는 단순히 다른 피드에 액세스하는 것이 아닙니다. Google급 인텔리전스와 Tanium의 기능을 결합하여 고객의 라이브 환경에 지표, 행동 또는 위협 신호가 존재하는지 여부를 판단하는 운영화입니다.
Black Hat에서 이 이야기는 오늘날 고객이 이용할 수 있는 Google Threat Intelligence 기반의 HuntIQ 제공 헌트로 시작됩니다. Tanium은 시간이 지남에 따라 GTI를 SecOps 및 Atlas 워크플로에 더 깊이 도입하는 방법을 모색하고 있으므로 분석가는 더 강력한 피벗에서 시작하여 오탐 분류를 줄이고 에이전트 워크플로에 더 높은 신뢰도 신호를 제공할 수 있습니다.
즉, 위협 인텔리전스는 무엇이 나쁜지 알려줍니다. Tanium은 현재 환경에 존재하는지 여부를 알려주며 팀이 다음 작업을 결정하는 데 도움이 됩니다.
블라인드 자동화가 아닌 통제된 자율성
보안팀은 AI 에이전트에 주의를 기울여야 합니다. SOC는 컨텍스트, 증거 또는 감독 없이 조치를 취하는 블랙박스 자동화를 제공할 수 없습니다.
Agentic SecOps에 대한 Tanium의 접근 방식은 통제 및 인간 주도적입니다. Atlas는 추론을 보여주고, 실시간 데이터에서 작업을 접지하고, 승인을 사용하여 팀이 안내 지원에서 시간이 지남에 따라 더 큰 자율성에 이르기까지 다양한 상황에 처할 위치를 결정할 수 있도록 설계되었습니다.
이는 신뢰에 중요합니다. 팀은 저위험의 검증 가능한 업무 흐름으로 시작할 수 있습니다. 질문을 하고, 헌트를 실행하고, 증거를 검토하고, 결과를 검증합니다. 자신감이 높아짐에 따라 팀은 인간의 검토에 따라 결과적인 조치를 계속 유지하면서 더 많은 업무를 위임할 수 있습니다.
Agentic SecOps의 약속은 분석가를 대체하지 않습니다. 분석가에게 레버리지를 제공합니다. 전문가 헌터는 의도를 툴링으로 변환하는 시간을 줄이고 의사 결정에 더 많은 시간을 할애할 수 있습니다. 선임이 낮은 분석가가 전문화된 쿼리 지식이 필요한 워크플로우를 실행할 수 있습니다. SOC 리더는 동일한 소규모 전문가 그룹을 통해 모든 프로세스를 강제 적용하지 않고 적용 범위와 용량을 개선할 수 있습니다.
보안 운영 팀에 미치는 영향
Agentic SecOps는 방어자들이 필요로 하는 세 가지 요소를 통합합니다.
- 실시간 엔드포인트 기본 사실: Atlas는 현재 엔드포인트에서 실제로 일어나는 일을 추론할 수 있으므로 팀이 현재 상태에 대한 결과를 검증할 수 있습니다.
- 전문가 주도 헌팅 및 SecOps 업무 프로세스: 에이전트 주도 위협 헌팅은 팀이 자연어로 가설을 표현하고, 반복 가능한 헌트를 실행하고, 결과를 MITRE ATT&CK 컨텍스트에 매핑하고, 일회성 조사에서 지속적인 적용 범위로 이동할 수 있도록 지원합니다.
- 충실도 높은 위협 인텔리전스: Google Threat Intelligence 및 HuntIQ Tradecraft는 분석가와 에이전트에게 더 강력한 시작점을 제공하여 노이즈를 줄이고 헌트 및 분류에 대한 신뢰를 개선합니다.
이러한 기능을 함께 사용하면 보안 팀이 대응 경보 처리에서 사전 대응적이고 지속적인 방어로 전환할 수 있습니다. 이는 더 많은 팀이 고급 워크플로에 참여하는 데 도움이 됩니다. 또한 리더는 제어를 포기하지 않고 에이전트 AI를 채택할 수 있는 실용적인 경로를 제공합니다.
SecOps의 다음 장
Agentic SecOps는 일회성 출시 순간이 아닙니다. 이것은 플랫폼 방향입니다.
Atlas는 이미 상용 클라우드 고객에게 제공되므로 자연어 작업, 백그라운드 에이전트 및 통제된 워크플로 실행을 Tanium에 제공합니다. Agentic SecOps 스토리는 보안별 워크플로를 통해 이러한 토대를 구축합니다. 또한 에이전트 가이드 위협 헌팅, 실시간 데이터 검증, GTI 기반 인텔리전스, HuntIQ 전문 지식 및 Black Hat 및 Converge를 통해 지속되는 로드맵을 추가합니다.
향후 SOC는 다른 대시보드 또는 다른 데이터 레이크에 의해 정의되지 않습니다. 이는 방어자들이 신뢰, 거버넌스 및 현재의 진실을 가지고 신호에서 이해로 행동으로 빠르게 이동할 수 있는 방법에 의해 정의됩니다.
이것이 Agentic SecOps의 기회입니다. Tanium의 실시간 엔드포인트 인텔리전스를 위협의 속도로 이동하는 전문가급 가이드 보안 작업으로 전환합니다.
