팔로우 아무도 원하지 않는 거래
오랫동안 SOC와 SIEM 프로젝트를 진행해 온 사람이라면 누구나 예산 회의에서 똑같은 결정을 다시 보게 됩니다. 보안 팀은 보안 엔지니어링과는 전혀 상관없는 선택, 모든 것이 송장을 기준으로 한 선택으로 밀려들어갑니다.
옵션 1: 로그 소스를 줄입니다. DNS를 삭제합니다. 엔드포인트 프로세스 텔레메트리를 줄입니다. 클라우드 감사 로그를 줄이거나 라이선스가 사용할 수 있는 정도로 샘플링합니다. 팀은 예산을 통과하고 감지 표면은 조용히 줄어듭니다. 버려진 소스는 그 자체로는 감시되지 않기 때문에 적들이 우회할 필요가 없는 사각지대입니다.
옵션 2: 모든 것을 유지합니다. 원시 텔레메트리를 SIEM, 데이터 레이크 및 AI 에이전트에 스트리밍하며, 기업이 기록하는 양에 비례하여 청구서가 커지는 것을 수용합니다. 클라우드 마이그레이션, Kubernetes, 아이덴티티 공급자, SaaS 확대 — 이 모든 요소가 볼륨을 추가하며, 그 어느 것도 보안 예산이 올해 증가했는지 묻지 않습니다.
어느 쪽도 전략이 아닙니다. 이는 모두 동일한 아키텍처적 가정의 결과입니다: 감지는 저장 후에 이루어집니다. 이 가정은 현재 현대 SOC에서 가장 큰 비용 요인이며, 우리는 이를 제거하기 위해 나섰습니다.
오늘날 우리는 세 번째 접근 방법의 가격 대비 성능을 공유할 수 있습니다: 전체 위협 감지 엔진을 데이터 파이프라인 내부에 두어 고가의 계층이 데이터를 보기 전에 감지하도록 하는 것입니다.
Prime Detect가 실제로 수행하는 것
SOC Prime Detect는 100%의 스트리밍 텔레메트리를 네트워크 속도로 평가합니다. 샘플이 아닙니다. 6개월 전 비용 관리 규칙에 따라 아무도 다시 방문하지 않은 필터링된 세트도 아닙니다. 모든 데이터를 이동할 때 평가합니다.
이 작업은 수집기와 목적지 사이의 전송 단계에서 선별된 Sigma 로직을 적용함으로써 수행됩니다. 그 위치에서 세 가지 결과가 나옵니다:
Tier 1 — 노이즈 감소. Prime Detect는 유료 목적지에 도달하기 전에 원시 로그 노이즈의 93%를 필터링합니다. 성공적인 루틴 인증, 시끄러운 프로세스 텔레메트리, 건강 점검, 모든 기업 환경이 생성하는 방대한 배경 소음으로 인해 분석가가 열어본 적이 없는 이벤트들입니다. 이 이벤트들은 먼저 감지 로직에 따라 평가된 후 폐기되거나 저렴하게 라우팅됩니다. 고급 수집 비용을 지불하지 않고도 사건이 이후에 중요할 수 있는 가능성을 고려한 것입니다.
Tier 2 — 상관관계. 고립된 일치는 감지가 아닙니다. Prime Detect는 상위 Sigma 규칙으로 표현된 Sigma 상관관계를 사용하여 개별 일치를 원천 및 시간에 걸쳐 공격 체인으로 조립합니다. 이것은 단일 의심스러운 LDAP 쿼리와 비정형적인 서비스 생성이 각각 두 개의 낮은 신뢰도 사건으로 멈추는 대신, 하나의 높은 신뢰도 순서가 되도록 합니다.
Tier 3 — 신호 전달. 스택 상단으로 전달되는 것은 원래의 스트림에서 0.000007로 압축됩니다. 이 자료는 Tier 3 AI 에이전트에게 전달됩니다: 백만 건당 7개의 사건, 이미 상관관계가 있고, 이미 정황이 설명되어 있으며, 이미 사고할 가치가 있는 것입니다.
핵심은, 아무것도 버려지지 않는 것 검사하기 전까지는 전통적인 비용 절감은 데이터를 블라인드로 떨어뜨립니다. Prime Detect는 모든 것을 검사하고 아래쪽으로 전달할 가치를 증명한 것만 전송합니다.
기업 고객을 통해 측정된 숫자
아래 표는 100GB/일에서 10TB/일까지의 수집 볼륨에서 검증된 절감을 스택 내에서 비용이 발생하는 위치에 따라 구분하여 보여줍니다.
세 개의 별도 비용 라인은 주의 깊게 읽을 가치가 있습니다. 왜냐하면 이들은 서로 다르게 행동하기 때문입니다.
SIEM 및 데이터 레이크 절감은 가장 일반적인 것입니다. 이들 절감은 볼륨과 같이 선형적으로 확장되며 대부분의 보안 리더가 이미 추적하는 것입니다. 1TB/일에서는 고급 계층으로 도달하는 93%의 절감이 연간 약 백만 달러의 가치가 있습니다. 10TB/일에서는 그 가치가 10배입니다.
클라우드 AI 절감은 AI SOC를 계획하는 모든 사람에게 산술적으로 진정으로 불편한 부분이 됩니다. 토큰 비용은 모델이 읽어야 하는 텍스트의 양에 따라 확장됩니다. 원시 텔레메트리에서 LLM을 가리키면 각각의 심박수와 성공적인 로그인을 끝없이 추론할 때까지 비용을 지불해야 합니다. 원시 스트림과 7 PPM 신호를 통해 추론하는 것은 항목 항목과 불가능성의 차이입니다. 1TB/일에서는 그 차이가 연간 $136.8M입니다.
GPU 하드웨어 절감은 자체 인프라에서 모델을 실행하는 팀에게 적용됩니다. 절감은 절대적인 측면에서 작지만 구조적으로 중요합니다: 초기 구매 비용이 변경됩니다. 첫 번째 경고를 생성하기 전에 GPU 팜을 필요로 하는 감지 전략은 대부분의 조직이 자금을 지원 받을 수 없을 것입니다.
이는 스택에 어떤 의미가 있습니까
1. 수신 볼륨이 보안 전략을 결정하도록 하지 마십시오. 하위 소프트웨어, 하드웨어, 및 AI 비용은 최대 93%까지 절감될 수 있습니다. 더욱 중요하게는, 유지할 로그 소스를 결정하는 결정이 조달 결정이 아닌 감지 엔지니어링 결정으로 되돌아갑니다. 커버리지는 분배되는 일이 멈춥니다.
2. 구문 분석되지 않은 로그의 100%에 대해 지속적인 감지를 활성화합니다. 파이프라인 계층에서의 감지는 소스가 먼저 정규화, 매핑 및 온보딩 될 필요가 없습니다. Sigma 규칙은 스트림이 도착함에 따라 실행되어, 새로운 소스가 파싱 프로젝트 후가 아닌 첫 날 감지에 기여하도록 합니다. 이는 또한 많은 성숙한 프로그램에 조용히 제한을 가하는 제약을 우회합니다: SIEM 규칙 실행 한계. 팀은 종종 새로운 규칙을 만들 공간을 확보하기 위해 작동 중인 규칙을 은퇴합니다. 평가를 파이프라인으로 이동시킨다는 것은 그 한계를 제거하는 것이며, 추가적인 경고 볼륨으로 분석가나 감지 엔지니어를 짓누르지 않고도 가능합니다 — 상관관계는 배송 전이 아닌 후에 이루어지기 때문입니다.
3. 자율 AI SOC 에이전트를 높은 충실도의 공격 체인에서 실행하십시오. AI 에이전트는 구조화되고 상관된 증거를 추리하는 데 매우 뛰어나며, 원시 소음을 검색할 때 매우 비쌉니다. 상관된 7 PPM 신호를 제공하는 것이 자동 분류를 백만 달러 토큰 예산이나 GPU로 가득 찬 서버실 없이 경제적으로 실행 가능하게 만드는 것입니다.
왜 Sigma, 그리고 왜 파이프라인 계층인가
두 가지 디자인 선택이 여기에서 중대한 역할을 하며, 이 선택은 모두 신중하게 이루어진 것입니다.
Sigma는 방대한 양의 체계적으로 유지 관리되는 공개 논리가 뒤따르는 개방형, 공급업체 중립적인 감지 형식입니다. 파이프라인 계층에서 선별된 Sigma 로직을 사용함으로써 감지 콘텐츠는 휴대 가능합니다: 구매한 플랫폼의 쿼리 언어에 고정되지 않고, 목적지가 변경될 때 재작성할 필요가 없습니다. 팀이 작성한 콘텐츠와 커뮤니티가 게시한 콘텐츠는 동일한 위치, 동일한 스트림에서 실행됩니다.
Sigma 상관관계는 단일 이벤트 매칭에서 시퀀스 및 임계값 로직까지 그 모델을 확장합니다. 상위 Sigma 규칙은 개별적으로 중요한 사건들이 모여 에스컬레이션할 가치가 있는 공격 체인을 형성한다는 것을 파이프라인이 결정하도록 합니다 — 그리고, 그만큼 중요한 것처럼, 주변 문맥이 없는 매칭 이벤트는 그렇지 않다는 것도 결정하도록 합니다.
파이프라인 계층은 모든 이벤트가 저장 또는 계산 비용이 발생하기 전에 정확히 한 번 통과하도록 보장하는 아키텍처에서 유일한 장소이기 때문에 중요합니다. 그곳에서의 감지는 SIEM이 하는 작업의 더 저렴한 버전이 아닙니다. 그것은 동일한 작업이지만, 여전히 무료로 수행할 수 있는 유일한 시점에서 수행된 것입니다.
스스로 확인하십시오
커버리지와 비용의 거래는 자연 법칙이 아니었습니다. 스택 내 감지 위치의 결과물이었습니다. 감지를 파이프라인 상류로 이동시키면 그 거래의 양쪽이 동시에 향상됩니다: 더 많은 텔레메트리가 평가되고, 그 중 일부는 두 번 비용을 치르게 되지 않습니다.
자신의 보안 스택에 대한 ROI를 원하신다면 연락하십시오 — 아니면 Prime Detect가 작동하는 방법의 라이브 데모를 보십시오. 조건 없이.
