보안 경고에 대한 에이전트 기반 조사로 나아가기

보안 분석가들은 많은 양의 경고와 많은 탐지 시스템이 제공하는 낮은 컨텍스트에 압도되고 있습니다. 초기 단계의 조사는 일반적으로 여러 로그 소스를 통한 수동 상관관계 분석을 필요로 하는데, 이는 보통 시간이 많이 소요되는 작업입니다. 본 논문에서는 사전 정의된 쿼리와 제한된 도구 접근 (Suricata 로그에 대한 구조화된 SQL 과 grep 기반 텍스트 검색) 으로 보강된 대규모 언어 모델 (LLMs) 을 활용하여 경고 조사의 초기 단계를 자동화하는 실험적인 에이전트 워크플로우를 제시합니다. 제안된 워크플로우는 사용 가능한 데이터의 개요를 제공하는 쿼리와, 개요 결과를 기반으로 사용할 쿼리를 선택하고, 쿼리 결과에서 원시 증거를 추출하며, 경고에 대한 최종 판단을 전달하는 LLM 구성 요소를 통합합니다. 우리의 결과는 LLM 기반 워크플로우가 로그 소스를 조사하고 조사를 계획할 수 있으며, 제안된 워크플로우 없이 동일한 LLM 이 생성한 판단보다 정확도가 현저히 높은 최종 판단을 생성할 수 있음을 보여줍니다. 대규모 및 비정형 데이터에 LLM 을 직접 적용하는 내재된 한계를 인식하여, 실제 분석가의 기존 조사 관행을 구조화된 접근법과 결합함으로써 LLM 을 가상 보안 분석가로 활용하고 이를 통해 수동 작업량을 보조하고 줄이는 방안을 제안합니다.