보안 경고에 대한 에이전트 기반 조사로 나아가기

요약

본 논문은 보안 경고에 대한 초기 조사의 비효율성과 컨텍스트 부족 문제를 해결하기 위해 에이전트 기반 워크플로우를 제시합니다. 이 워크플로우는 LLM을 활용하여 구조화된 SQL 쿼리 및 grep 검색과 결합함으로써, 로그 소스 조사 계획, 쿼리 실행, 원시 증거 추출, 최종 판단 도출의 전 과정을 자동화합니다. 실험 결과에 따르면, 제안된 에이전트 워크플로우는 LLM만 사용하는 경우보다 훨씬 높은 정확도로 경고에 대한 최종 판단을 내릴 수 있음을 입증했습니다.

핵심 포인트

• 보안 분석가들은 방대한 양의 낮은 컨텍스트 보안 경고와 로그 데이터에 압도되는 문제를 겪는다.
• 제안된 에이전트 워크플로우는 LLM을 핵심 엔진으로 사용하여 조사 과정을 자동화한다.
• 워크플로우는 구조화된 SQL 및 grep 검색과 같은 제한된 도구 접근 방식을 결합하여 LLM의 한계를 극복한다.
• LLM 기반 시스템은 단순히 판단만 내리는 것을 넘어, 데이터 개요 파악부터 쿼리 계획 수립까지 능동적인 조사 과정을 수행할 수 있다.