‘머신러닝(Machine Learning)’ 기술이란 무엇인가?

지난 2016년 3월, 천재 바둑기사 이세돌 9단과 인공지능 알파고가 펼쳤던 세기의 대결을 기억하시나요? 당시 많은 전문가들은 이세돌 9단의 승리를 예상했지만 알파고의 압승(4승1패)으로 끝나고 말았습니다. 인간이 인공지능에 완패했다는 사실은 충격적이었지만 이 사건은 인공지능 분야에 대해 전 세계가 관심을 갖는 계기가 되었습니다.
 
머신 러닝이란 인공지능 연구 분야의 하나로, 데이터를 기반한 반복 학습을 통해 인간의 학습 능력과 같은 기능을 컴퓨터에서 실현하고자 하는 기술 및 기법을 말합니다. 먼저 컴퓨터가 기존 데이터를 최대한 활용하여 분석 및 학습하고, 학습한 데이터를 기반으로 예측 모델을 실행할 수 있는 기술을 개발하는 것이 바로 머신 러닝입니다. 컴퓨터가 스스로 데이터를 분석하고 특정 패턴을 찾아내 학습할 수 있도록 정교한 알고리즘을 만드는 것이 머신 러닝의 핵심입니다.
 
정보보안 분야에서 머신 러닝 기술은 네트워크 침입탐지, 악성코드 분석, 소프트웨어 취약점 분석, 정보보호, 디지털 포렌식 등에 활용할 수 있습니다.

SK인포섹은 왜 머신 러닝 기술을 보안에 접목했나?

SK인포섹은 왜 머신 러닝 기술을 보안에 접목했을까요? 그 이유는 최근 지능형 공격이 급증하고 있기 때문입니다. 일반적으로 사이버 공격을 방어하는 일은 ‘알려진 공격’을 막는 것과 ‘알려지지 않은 공격’을 막는 것으로 구분할 수 있습니다. 알려진 공격은 말 그대로 어느 정도 범인의 수법이 드러나 있기 때문에 방어하기 수월합니다. 하지만 알려지지 않은 공격, 달리 말해 지능형 공격은 매우 치밀한 방법으로 이뤄지기 때문에 골칫거리가 되고 있습니다.
 
더군다나 정보 통신 기술이 무섭게 발전하는 것처럼 지능형 공격 또한 날로 위협적으로 변모하고 있으며, 심지어 인공지능을 이용한 공격까지 나타나고 있습니다. 이에 대응하기 위해 SK인포섹은 글로벌 사이버위협연합(CTA)에 가입하여 위협 정보를 공유하고, 자체적으로 위협 인텔리전스를 개발해 사업에 나서고 있지만, 방어하는 만큼 지능형 공격 역시 점점 더 교묘해지고 잦아지는 추세입니다.
 
매일 수만 개의 신종 또는 변종 악성코드가 유포되며, 악성코드 분석가가 일일이 대응하기 힘든 수준이 되고 있습니다. SK인포섹이 인공지능과 보안의 결합이라는 무기를 꺼내든 것도 이런 공격에 보다 효과적으로 방어하기 위함입니다. 보다 정확히 말하면 지능형 공격에 대응하기 위해 관제시스템의 판정 과정에서 인공지능, 정확히 말하면 머신 러닝 기술을 적용한 것입니다.

머신 러닝을 통해 어떤 점들이 달라졌나?

SK인포섹의 보안관제센터에서는 2천여 곳의 고객사와 수천 개가 넘는 보안 시스템에서 탐지한 이상 징후를 보안관제시스템 ‘시큐디움(Secudium)’에서 수집한 후 다양한 분석 규칙을 통해 공격 여부를 판별하고 있습니다. 이상 징후가 공격으로 드러나면 ‘정탐’, 아니면 ‘오탐’으로 판정해 후속조치를 진행합니다. 때론 관제시스템의 자동분석과정에서도 판단이 어려운 것들이 발생하는데, 이는 2차로 전문가(CERT)들의 분석을 통해 공격 여부를 판정합니다.
 
그런데 앞서 얘기했듯이 공격이 점차 교묘해지고 지능화되면서 1차 관제 시스템의 자동 분석이 아닌 전문가(CERT)가 직접 분석하는 경우가 잦아졌습니다. 이 후, 관제시스템의 판정과정에 머신 러닝 기술을 적용하게 되었는데요. 과연 어떤 변화가 나타났을까요?
 

결과가 꽤 놀랍죠? 이런 효과를 거둘 수 있었던 비결은 SK인포섹에서 보유하고 있는 위협 정보, 소속 보안 전문가(CERT)의 분석 논리, 글로벌 보안기업과 공유하는 위협 인텔리전스 등 양질의 정보를 학습하는 머신 러닝 분석 알고리즘 개발 덕분입니다. 그리고 이 기술을 탐지 단계를 거친 결과에 재차 ‘자동 판정’ 할 수 있도록 적용시켰고, 그 결과 오탐 비율을 낮추고 관제 서비스 품질을 크게 개선하는 효과를 거둘 수 있었습니다.