보안 그래프는 사용자, 디바이스, 활동이 서로 어떻게 상호 작용하는지 보여 주는 연결된 지도입니다. 보안 팀이 위협을 조사하고 잠재적인 공격 경로를 평가하는 데 도움이 되는 AI 기반 인사이트와 시각화를 제공합니다. 실제 예시로는 인시던트 그래프, 위협 헌팅 그래프, 데이터 위험 그래프 등이 있습니다.
보안 101
보안 그래프란?
보안 그래프가 어떻게 환경과 관계를 매핑해 고급 보안 인사이트를 제공하는지 알아보세요.
핵심 사항
- 보안 그래프는 사용자, 디바이스, 애플리케이션, 자산 간의 연결을 매핑해 위협 감지, 조사, 대응을 강화하는 AI 기반 인사이트를 제공합니다.
- 엔터티가 어떻게 상호 작용하는지 시각화하고 잠재적인 공격 경로를 강조해 인시던트 영향 범위 분석, 위협 헌팅, 데이터 위험 평가 같은 중요한 보안 워크플로를 구동합니다.
- 보안 그래프는 풍부한 시각화와 환경의 확장 가능한 매핑을 제공해 보안 팀이 위험을 평가하고 위협에 효율적으로 대응하도록 돕습니다.
- 보안 그래프의 각 구성 요소, 즉 사용자, 디바이스, 애플리케이션, 자산을 나타내는 노드에는 자세한 속성이 포함되어 있어 환경의 취약성과 중요한 데이터를 더 깊이 이해할 수 있습니다.
보안 그래프의 구성 요소
보안 그래프는 환경의 연결된 지도로, 고급 위협 감지, 조사, 대응을 지원합니다. 세 가지 기본 요소로 구성됩니다.
노드
노드는 다음을 포함하는 환경 내의 엔터티를 나타냅니다.
에지
에지는 노드가 어떻게 연결되고 상호 작용하는지 정의합니다. 다음을 나타냅니다.
데이터 원본
사이버 보안 그래프는 다음과 같은 풍부하고 다양한 데이터 원본으로 만들어집니다.
노드
노드는 다음을 포함하는 환경 내의 엔터티를 나타냅니다.
- 사용자—개별 계정, ID 또는 역할.
- 디바이스—노트북, 서버, 모바일 디바이스 같은 엔드포인트.
- 애플리케이션—클라우드 서비스, 내부 앱 또는 타사 도구.
- 문서 및 자산—파일, 폴더, 중요한 데이터 개체.
에지
에지는 노드가 어떻게 연결되고 상호 작용하는지 정의합니다. 다음을 나타냅니다.
- 관계—예를 들어, “사용자가 그룹에 속함” 또는 “디바이스가 사용자에 속함”
- 액세스 경로—누가 무엇에, 언제, 어떻게 액세스했는지.
- 활동 흐름—로그인 이벤트, 파일 공유, 이메일 교환 같은 작업의 순서.
데이터 원본
사이버 보안 그래프는 다음과 같은 풍부하고 다양한 데이터 원본으로 만들어집니다.
- 통합 감사 로그—Microsoft 365 서비스 전반의 활동.
- Microsoft Entra ID 로그—로그인 이벤트, 위험 사용자 감지.
- Microsoft Defender 제품 데이터—엔드포인트, ID, 클라우드용 Defender의 경고와 원격 측정 데이터입니다.
- 제3자 커넥터—외부 보안 도구에서 가져온 통합된 데이터, 예를 들어 SIEM(보안 정보 및 이벤트 관리).
- 위협 인텔리전스 피드—침해 지표와 공격자 전술.
보안을 위한 그래프 사용
기존의 사이버 보안 도구는 표 형식 데이터, 즉 사용자, 로그, 경고, 이벤트 목록에 크게 의존합니다. 이 도구들은 사실을 저장하는 데는 유용하지만, 그 사실들이 어떻게 연결되는지는 보여 주는 데 어려움이 있습니다. 이 한계 때문에 공격자 움직임을 추적하거나, 인시던트를 연관시키거나, 침해의 영향을 예상하기가 어렵습니다.
사이버 공격 그래프는 사용자, 디바이스, 문서, 활동 같은 엔터티 간의 관계를 매핑해 이러한 문제를 해결합니다. 이 연결된 보기는 다음을 제공합니다.
사이버 공격 그래프는 사용자, 디바이스, 문서, 활동 같은 엔터티 간의 관계를 매핑해 이러한 문제를 해결합니다. 이 연결된 보기는 다음을 제공합니다.
- 상황 인식—자산 그래프는 무슨 일이 있었는지만 보여 주는 것이 아니라, 누가 관련되었는지, 어떤 자산이 영향을 받았는지, 어떤 경로를 거쳤는지 물어 보며 더 넓은 환경 속에서 어떻게 연결되는지도 보여 줍니다.
- 데이터 원본 간 상관 관계—그래프는 서로 다른 데이터 포인트를 연결해 분석가가 겉보기에는 관련 없어 보이는 이벤트 사이의 연관성을 찾도록 돕습니다.
- 숨겨진 연결 감지—그래프는 기존 도구로는 거의 찾기 어려운 권한 있는 액세스 경로, 측면 이동, 영향 범위 시나리오를 드러냅니다.
향상된 위협 탐지
보안 그래프는 기존 도구가 놓치기 쉬운 숨겨진 관계와 공격 경로를 드러내어 TDR(위협 감지 및 대응)을 바꿉니다. 환경 전반에서 엔터티가 어떻게 상호 작용하는지 시각화하면 더 빠르고, 더 깊고, 더 선제적인 보안 인사이트를 얻을 수 있습니다.
공격 경로 분석
보안 그래프는 영향 범위 분석을 지원해, 방어자가 침해된 엔터티에서 공격자가 취할 수 있는 취약한 경로를 평가하도록 돕습니다. 이렇게 하면 보안 팀이 다음 단계를 예상하고, 비즈니스 영향을 줄이기 위해 차단 조치를 우선순위에 따라 정할 수 있습니다.
측면 이동 감지
그래프 기반 헌팅을 사용하면 분석가가 사용자, 디바이스, 기타 엔터티 간의 복잡한 관계망을 시각적으로 살펴볼 수 있습니다. 이를 통해 공격자가 환경 내에서 도달 범위를 넓히는 데 사용하는 권한 있는 액세스 경로와 측면 이동 전술을 확인할 수 있습니다.
변칙 발견
위협 그래프는 감사 로그, IAM(ID 및 액세스 관리) 도구, 위협 인텔리전스의 데이터를 통합해 예기치 않은 파일 액세스나 위험한 사용자 행동 같은 비정상 패턴을 표시합니다. 이러한 인사이트는 보안 팀이 변칙을 일찍 발견하고 위협이 커지기 전에 대응하는 데 도움이 됩니다.
공격 경로 분석
보안 그래프는 영향 범위 분석을 지원해, 방어자가 침해된 엔터티에서 공격자가 취할 수 있는 취약한 경로를 평가하도록 돕습니다. 이렇게 하면 보안 팀이 다음 단계를 예상하고, 비즈니스 영향을 줄이기 위해 차단 조치를 우선순위에 따라 정할 수 있습니다.
측면 이동 감지
그래프 기반 헌팅을 사용하면 분석가가 사용자, 디바이스, 기타 엔터티 간의 복잡한 관계망을 시각적으로 살펴볼 수 있습니다. 이를 통해 공격자가 환경 내에서 도달 범위를 넓히는 데 사용하는 권한 있는 액세스 경로와 측면 이동 전술을 확인할 수 있습니다.
변칙 발견
위협 그래프는 감사 로그, IAM(ID 및 액세스 관리) 도구, 위협 인텔리전스의 데이터를 통합해 예기치 않은 파일 액세스나 위험한 사용자 행동 같은 비정상 패턴을 표시합니다. 이러한 인사이트는 보안 팀이 변칙을 일찍 발견하고 위협이 커지기 전에 대응하는 데 도움이 됩니다.
인시던트 대응 개선
보안 그래프는 사고 대응 팀에 더 깊은 가시성, 더 빠른 분류, 더 정확한 해결 기능을 제공합니다. 관계와 활동을 매핑하면 보안 담당자는 단순히 경고에 대응하는 수준을 넘어, 위협을 선제적으로 조사하고 차단할 수 있습니다.
경고 상관 관계
Microsoft Defender의 인시던트 그래프는 로그를 수동으로 상호 연결하거나 복잡한 쿼리를 실행하는 대신 관련 경고 및 엔터티를 자동으로 연결합니다. 이렇게 하면 SOC(보안 운영 센터) 팀이 인시던트의 전체 범위를 파악하고 먼저 차단하고 해결해야 할 시스템을 우선순위에 따라 정할 수 있습니다. 그러면 대응 시간을 단축하고 비즈니스에 미치는 영향을 최소화하게 됩니다.
근본 원인 추적
보안 그래프를 사용하면 침해된 자격 증명이나 자산의 영향 범위를 시각화해 인시던트의 시작점을 추적할 수 있습니다. 이 기능은 팀이 공격자의 움직임을 예상하고 최초 침해 지점을 찾아내는 데 도움이 되며, 더 효과적인 근본 원인 분석을 제공합니다.
그래프 시각화
Defender와 Microsoft Purview의 대화형 그래프 보기는 사용자, 자산, 활동을 통합된 실시간 관점으로 보여줍니다. 이 시각화를 통해 조사자는 어떤 일이 있었는지뿐 아니라 어떻게 전개됐는지도 확인할 수 있으며, 액세스 경로, 데이터 움직임, 위험한 행동을 한눈에 파악할 수 있습니다.
경고 상관 관계
Microsoft Defender의 인시던트 그래프는 로그를 수동으로 상호 연결하거나 복잡한 쿼리를 실행하는 대신 관련 경고 및 엔터티를 자동으로 연결합니다. 이렇게 하면 SOC(보안 운영 센터) 팀이 인시던트의 전체 범위를 파악하고 먼저 차단하고 해결해야 할 시스템을 우선순위에 따라 정할 수 있습니다. 그러면 대응 시간을 단축하고 비즈니스에 미치는 영향을 최소화하게 됩니다.
근본 원인 추적
보안 그래프를 사용하면 침해된 자격 증명이나 자산의 영향 범위를 시각화해 인시던트의 시작점을 추적할 수 있습니다. 이 기능은 팀이 공격자의 움직임을 예상하고 최초 침해 지점을 찾아내는 데 도움이 되며, 더 효과적인 근본 원인 분석을 제공합니다.
그래프 시각화
Defender와 Microsoft Purview의 대화형 그래프 보기는 사용자, 자산, 활동을 통합된 실시간 관점으로 보여줍니다. 이 시각화를 통해 조사자는 어떤 일이 있었는지뿐 아니라 어떻게 전개됐는지도 확인할 수 있으며, 액세스 경로, 데이터 움직임, 위험한 행동을 한눈에 파악할 수 있습니다.
그래프 데이터베이스 사용
그래프 데이터베이스는 관계를 저장하고 쿼리하기 위해 특별히 빌드되므로 최신 보안 운영에 적합합니다. 복잡한 조인과 관계형 매핑에 어려움을 겪는 기존 데이터베이스와 달리, 그래프 데이터베이스는 서로 연결된 엔터티와 동작을 더 직관적이고 확장 가능하게 모델링할 수 있습니다.
관계 우선 저장
그래프 데이터베이스는 관계를 핵심 요소로 다룹니다. 이를 통해 보안 팀은 다음을 수행할 수 있습니다.
네이티브 쿼리 언어
그래프 데이터베이스는 관계 통과를 위해 설계된 특수 쿼리 언어를 지원합니다.
그래프 데이터베이스를 사용하면 수십억 개의 관계를 빠르고 동적으로 쿼리할 수 있습니다. Microsoft Sentinel에서는 그래프가 자동으로 만들어지고 4시간마다 새로 고쳐지며, 다음과 같은 실시간 환경을 제공합니다.
관계 우선 저장
그래프 데이터베이스는 관계를 핵심 요소로 다룹니다. 이를 통해 보안 팀은 다음을 수행할 수 있습니다.
- 사용자, 디바이스 및 문서와 같은 엔터티를 노드로 저장합니다.
- 상호 작용 및 액세스 경로를 에지로 나타냅니다.
- 더 깊은 컨텍스트에 대한 속성을 사용하여 노드와 에지를 모두 보강합니다.
네이티브 쿼리 언어
그래프 데이터베이스는 관계 통과를 위해 설계된 특수 쿼리 언어를 지원합니다.
- Cypher(Neo4j에서 사용) – 노드와 에지 간에 패턴 일치 제공합니다.
- Gremlin(Apache TinkerPop에서 사용) – 그래프 통과와 필터링을 지원합니다.
- “어떤 손상된 사용자가 서버 A에 액세스하고 X 파일을 이메일로 보냈나요?”
- “유출된 문서의 영향 범위는 어느 정도인가요?”
그래프 데이터베이스를 사용하면 수십억 개의 관계를 빠르고 동적으로 쿼리할 수 있습니다. Microsoft Sentinel에서는 그래프가 자동으로 만들어지고 4시간마다 새로 고쳐지며, 다음과 같은 실시간 환경을 제공합니다.
- 인시던트 영향 범위 분석.
- 그래프에서 위협 헌팅.
- Microsoft Purview IRM과 DSI의 데이터 위험 조사.
그래프 데이터베이스와 기존 데이터베이스 비교
보안 운영에서는 복잡한 관계를 매핑해야 하는 경우가 많은데, 기존의 전통적인 데이터베이스가 이러한 작업에 어려움을 겪는 이유는 다음과 같습니다.
관계형 데이터베이스(느린 조인)
그래프 데이터베이스
관계형 데이터베이스(느린 조인)
- 구조화된 테이블에 데이터를 저장합니다.
- 관련 엔터티를 연결하려면 여러 조인이 필요합니다.
- 관계가 많아질수록 성능이 저하됩니다.
- 동적인 보안 환경이나 공격 경로를 모델링하는 데는 적합하지 않습니다.
- 개별 레코드나 문서를 저장하도록 설계되었습니다.
- 모델링 관계에 대한 기본 지원이 없습니다.
- 간단한 조회에는 좋지만 엔터티 간의 연결을 노출하는 데는 좋지 않습니다.
- 침해 사고에서 사용자, 디바이스, 파일이 어떻게 상호 작용하는지 쉽게 추적할 수 없습니다.
그래프 데이터베이스
확장성 및 성능
보안 그래프는 최신 엔터프라이즈 환경의 규모와 복잡성을 처리하도록 설계되었습니다. 예를 들어 Microsoft Sentinel 그래프는 Defender와 Microsoft Purview에서 그래프 기반 환경을 지원하여, 방대한 데이터와 실시간 인사이트를 위해 설계된 고성능 플랫폼을 만듭니다.
수십억 개의 관계 처리
보안 그래프는 사용자, 디바이스, 자산, 활동을 서로 연결된 노드와 엣지로 모델링합니다. 이 구조를 통해 그래프는 엔터프라이즈 전반의 수십억 개 관계를 표현할 수 있습니다. 덕분에 공격 경로, 액세스 제어, 위험 전파를 깊이 있게 파악할 수 있습니다.
분산 그래프 데이터베이스
Microsoft Sentinel의 기본 그래프 기능은 분산 인프라를 기반으로 합니다. 이를 통해 다음을 보장합니다.
Microsoft Sentinel의 그래프는 자동으로 만들어지고 4시간마다 새로 고쳐져서 거의 실시간에 가까운 분석이 가능합니다. 보안 팀은 다음을 수행할 수 있습니다.
수십억 개의 관계 처리
보안 그래프는 사용자, 디바이스, 자산, 활동을 서로 연결된 노드와 엣지로 모델링합니다. 이 구조를 통해 그래프는 엔터프라이즈 전반의 수십억 개 관계를 표현할 수 있습니다. 덕분에 공격 경로, 액세스 제어, 위험 전파를 깊이 있게 파악할 수 있습니다.
분산 그래프 데이터베이스
Microsoft Sentinel의 기본 그래프 기능은 분산 인프라를 기반으로 합니다. 이를 통해 다음을 보장합니다.
- 고가용성 및 내결함성.
- Defender, Microsoft Purview, Microsoft Entra 같은 다양한 데이터 원본에서 확장 가능하게 수집.
- 여러 보안 제품에서 효율적인 그래프 빌드 및 보강.
Microsoft Sentinel의 그래프는 자동으로 만들어지고 4시간마다 새로 고쳐져서 거의 실시간에 가까운 분석이 가능합니다. 보안 팀은 다음을 수행할 수 있습니다.
- 인시던트 그래프에서 영향 범위를 즉시 시각화합니다.
- 헌팅 그래프에서 액세스 경로를 탐색합니다.
- Microsoft Purview IRM과 DSI에서 데이터 움직임을 조사합니다.
실제 사례
보안 그래프는 위험 평가, 위협 감지, 인시던트 응답을 포함한 전체 보안 수명 주기에서 강력한 기능을 제공합니다. 다음은 그래프 기반 사이버 보안 분석이 실질적인 가치를 제공하는 핵심 사용 사례입니다.
ID 및 액세스 위험
보안 그래프는 사용자, 그룹, 자산 간의 관계를 시각화하는 데 도움이 됩니다. 이를 통해 조직은 다음을 수행할 수 있습니다.
위협 헌팅
Microsoft Defender의 헌팅 그래프를 사용하면 분석가는 다음 작업을 할 수 있습니다.
데이터 보안
Microsoft Purview IRM과 DSI의 데이터 위험 그래프도 다음을 통해 유사한 목표를 지원합니다.
클라우드 보안
보안 그래프는 클라우드용 Microsoft Defender와 다른 Microsoft 서비스의 데이터를 통합해 다음과 같은 작업을 지원합니다:
SOC 효율성
Defender의 인시던트 그래프는 다음을 통해 SOC 워크플로를 향상시킵니다.
ID 및 액세스 위험
보안 그래프는 사용자, 그룹, 자산 간의 관계를 시각화하는 데 도움이 됩니다. 이를 통해 조직은 다음을 수행할 수 있습니다.
- 권한 있는 액세스 경로를 식별합니다.
- 위험한 사용자 동작을 탐지합니다.
- 손상된 ID의 영향 범위를 평가하세요.
위협 헌팅
Microsoft Defender의 헌팅 그래프를 사용하면 분석가는 다음 작업을 할 수 있습니다.
- 사용자, 디바이스, 활동 사이의 복잡한 관계망을 탐색합니다.
- 공격자가 악용할 수 있는 숨겨진 경로를 찾습니다.
- 액세스 위험과 중요한 자산과의 근접성을 기준으로 인시던트의 우선순위를 정합니다.
데이터 보안
Microsoft Purview IRM과 DSI의 데이터 위험 그래프도 다음을 통해 유사한 목표를 지원합니다.
- SharePoint와 OneDrive 전반에서 사용자 활동을 매핑합니다.
- 의심스러운 데이터 액세스와 이동을 식별합니다.
- 잠재적인 데이터 유출 경로와 위험한 행동을 시각화합니다.
클라우드 보안
보안 그래프는 클라우드용 Microsoft Defender와 다른 Microsoft 서비스의 데이터를 통합해 다음과 같은 작업을 지원합니다:
- 클라우드 자산 관계를 시각화합니다.
- 잘못된 구성 및 노출 위험을 감지합니다.
- 클라우드 환경을 안전하게 보호할 수 있도록 권장 사항을 제공합니다.
SOC 효율성
Defender의 인시던트 그래프는 다음을 통해 SOC 워크플로를 향상시킵니다.
- 경고 및 엔터티의 상관 관계를 자동으로 지정합니다.
- 영향 범위 시나리오를 시각화합니다.
- MITRE ATT&CK 프레임워크를 통해 공격자의 행동 방식을 이해합니다.
- 팀이 격리 및 해결 우선순위를 정하도록 도와줍니다.
보안 그래프 시작
보안 그래프는 조직이 위협을 감지, 조사, 대응하는 방식을 획기적으로 바꾸는 변화입니다. 폭발 반경 분석, 위협 헌팅, 내부 위험 감지, 또는 클라우드 보안까지. 그래프 기반 분석은 보안 수명 주기 전반에 실시간 인사이트를 제공합니다.
보안 그래프는 단순한 도구가 아닙니다. 최신 지능형 보안 운영의 기반입니다. Microsoft Sentinel을 살펴보고 조직에 그래프 기반 환경을 활성화합니다.
보안 그래프는 단순한 도구가 아닙니다. 최신 지능형 보안 운영의 기반입니다. Microsoft Sentinel을 살펴보고 조직에 그래프 기반 환경을 활성화합니다.
자주 묻는 질문
- 보안 그래프는 사용자, 디바이스, 문서 같은 엔터티와 그 관계를 연결해 보여 주는 지도입니다. 보안 팀이 위협을 조사하고, 영향 범위를 평가하고, 공격자 작업을 예상하는 데 도움이 되는 AI 기반 인사이트 및 시각화를 제공합니다.
- 그래프 보안 경고는 Microsoft Sentinel에서 그래프 기반 분석으로 생성된 경고입니다. 의심스럽거나 위험한 활동을 강조 표시해 보안 팀이 위협과 그 잠재적 영향을 빠르게 평가할 수 있도록 합니다.
- 위협 그래프는 사용자, 디바이스, 활동을 연결해 위협이 환경 안에서 어떻게 이동하는지 시각화하는 보안 그래프의 한 유형입니다. 공격 경로, 측면 이동, 취약성을 찾아내 보안 팀이 사이버 공격을 더 효과적으로 감지, 조사, 대응하도록 도와줍니다.
Microsoft Security 팔로우