AWS Aurora와 Vercel을 사용하여 72시간 만에 구축한 AI 기반 NDR, ThreatLedger 제작기

이 포스트는 H0: Hack the Zero Stack Hackathon 참가를 목적으로 작성되었습니다. #H0Hackathon

문제점

중소기업은 대기업과 동일한 네트워크 위협에 직면해 있지만, 연간 10만 달러에 달하는 NDR (Network Detection and Response) 도구를 감당할 여력이 없습니다. 우리는 이를 변화시키기 위해 ThreatLedger를 구축했습니다.

우리가 만든 것

ThreatLedger는 AI를 사용하여 가공되지 않은 보안 로그를 실행 가능한 위협 인텔리전스 (Threat Intelligence)로 변환하는 클라우드 네이티브 네트워크 탐지 및 대응 (NDR) 대시보드입니다.

라이브 데모: https://threatledger-app.vercel.app

기술 스택

• 프론트엔드 (Frontend): Vercel 기반의 Next.js 16 (v0로 스캐폴딩)
• 데이터베이스 (Database): pgvector가 포함된 Amazon Aurora PostgreSQL (AWS us-east-1)
• ORM: Prisma
• 인증 (Auth): Clerk
• AI: ChatGPT API

작동 방식

1. Suricata, Zeek, 방화벽 (Firewall) CSV 또는 AWS VPC Flow 로그 업로드
2. 커스텀 파서 (Custom parsers)가 경고 (Alerts)를 추출하고 정규화
3. 상관관계 엔진 (Correlation engine)이 복합 위험 점수와 함께 경고를 공격 캠페인으로 그룹화
4. 킬 체인 (Kill chain) 매핑을 통해 공격 진행 상황 표시
5. Claude API가 쉬운 영어로 된 위협 요약 생성

왜 Aurora PostgreSQL인가

Aurora는 첫날부터 바로 프로덕션에 적용 가능한 데이터베이스를 제공했습니다. 우리는 21,742개의 IP 평판 기록에 대해 향후 시맨틱 검색 (Semantic search)을 수행할 수 있도록 pgvector를 활성화했습니다. Prisma와 Aurora의 조합은 설정 오버헤드 없이 타입 안정성 (Type-safe)이 보장된 쿼리를 제공했습니다.

가장 큰 도전 과제

Vercel의 서버리스 (Serverless) 환경에서 Aurora와 Prisma 7을 작동시키기 위해서는 커넥션 풀링 (Connection pooling)과 함께 PrismaPg 어댑터를 구성하고 SSL을 올바르게 처리해야 했습니다.

향후 계획

pgvector를 사용한 시맨틱 유사도 검색 (Semantic similarity search), MITRE ATT&CK 매핑, 그리고 실시간 로그 스트리밍 (Real-time log streaming)입니다.

H0: Hack the Zero Stack Hackathon을 위해 구축되었습니다. #H0Hackathon