"탐지 규칙 실시간으로 바꾼다"…클라우드플레어, AI 자동화 공격 대응 강화

봇 매니지먼트에 '지속형 탐지 엔진 '어댑티브 인텔리전스' 도입

클라우드플레어가 자동화 사이버 공격에 대응하기 위해 보안 체계를 강화했다. 

클라우드플레어는 봇 보안 플랫폼 '클라우드플레어 봇 매니지먼트'에 지속형 탐지 엔진 '어댑티브 인텔리전스'를 도입했다고 2일 밝혔다. 

어댑티브 인텔리전스는 클라우드플레어 글로벌 네트워크에서 처리되는 대규모 트래픽을 실시간으로 분석해 새로운 위협에 맞는 탐지 규칙을 자동으로 생성한다. 새로운 공격이나 우회 시도를 발견하면 방어 체계를 즉각 조정할 수 있다. 정기적인 보안 업데이트를 기다리지 않고 실제 트래픽 변화에 따라 탐지 방식을 지속적으로 바꾸는 구조로 이뤄졌다. 

클라우드플레어가 자동화 사이버 공격에 대응하기 위해 보안 체계를 강화했다. (사진=클라우드플레어)

클라우드플레어는 최근 인공지능(AI)과 저렴한 온라인 도구가 확산하면서 자동화 공격 진입 장벽이 크게 낮아졌다고 봤다. 공격자는 손상된 기기 네트워크를 저렴하게 빌릴 수 있으며, 가정용 인터넷주소(IP)로 위치를 숨기거나 사람 행동을 모방하는 무료 소프트웨어(SW)도 활용할 수 있다는 이유에서다. 

이 같은 환경은 공격자와 보안팀 사이 비용 격차를 키우고 있는 것으로 나타나고 있다. 공격자는 낮은 비용으로 성공할 때까지 공격을 반복할 수 있지만, 보안팀은 정상 사용자에게 영향을 주지 않으면서 모든 위협을 빠르게 차단해야 한다.

클라우드플레어는 기존 보안 도구의 느린 업데이트 속도도 문제로 지적했다. 기존 보안 도구는 새로운 탐지 체계를 실제 환경에 적용하는 데 몇 주에서 몇 달이 걸리는 경우가 있다. 수시간이나 수분 만에 공격 방식을 바꾸는 최신 위협을 따라가기 어렵다는 설명이다.

어댑티브 인텔리전스는 매일 1조 건 넘는 웹 방문을 분석한다. 머신러닝(ML) 모델이 실시간 트래픽을 지속적으로 학습해 새로운 봇 프레임워크와 우회 기법을 탐지 엔진에 반영한다.

어댑티브 인텔리전스는 새로운 위협이 발견되면 맞춤형 탐지 규칙도 자동으로 생성한다. 탐지 규칙을 지속적으로 바꿔 공격자가 방어 체계의 작동 방식을 분석하고 우회 방법을 찾기 어렵게 만든다.

클라우드플레어는 장시간 낮은 강도로 이어지는 공격도 탐지할 수 있다고 설명했다. 어댑티브 인텔리전스는 여러 시간대에 걸친 행동 패턴을 분석해 크리덴셜 스터핑이나 스크래핑과 같은 '로 앤드 슬로(low-and-slow)' 공격을 식별한다.

어댑티브 인텔리전스는 정상 사용자와 악성 자동화 활동을 구분하는 데도 활용된다. 클라우드플레어의 행동 기반 봇 방어 솔루션 '클라우드플레어 프리커서'가 수집한 브라우저 행동 신호와 글로벌 엣지에서 수집한 텔레메트리 데이터를 결합하는 방식이다.

클라우드플레어는 보안 업데이트 배포 과정도 자동화했다. 어댑티브 인텔리전스가 실제 트래픽을 기반으로 업데이트를 백그라운드에서 시험한다. 정확성과 오탐 가능성을 검증한 뒤 서비스 중단 없이 배포한다.

데인 크네히트 클라우드플레어 최고기술책임자(CTO)는 "공격 규모를 키우는 데 드는 비용이 사실상 제로에 가깝다면 단순히 방어벽을 높이는 것만으로는 한계가 있다"며 "최신 봇 위협에 대응하려면 공격자가 더 많은 비용과 노력을 들이도록 구조 자체를 바꿔야 한다"고 강조했다. 

이어 "우리 어댑티브 인텔리전스는 방어 체계를 끊임없이 바꿔 공격자가 파악한 정보를 빠르게 무효화하고 공격이 대규모로 확대되기 전에 차단한다"고 덧붙였다.