악성코드 분석 시간을 몇 주에서 몇 시간으로 단축한 SentinelOne

정교한 악성코드를 리버스 엔지니어링하려면 최고 수준의 보안 연구원에게도 4~6주가 걸릴 수 있습니다. 소프트웨어를 뜯어보며 동작 방식을 파악하는 작업은 고된 일입니다. 새로운 정보를 발견할 때마다 앞선 분석 과정을 되짚어야 하는 경우도 많습니다. SentinelOne의 최고 AI 책임자인 그레거 스튜어트는 이제 OpenAI Daybreak가 약 8시간 만에 사람과 대등한 수준의 리버스 엔지니어링 결과를 낼 수 있다고 말합니다.

OpenAI는 심층 분석에 필요한 시간을 줄여 SentinelOne 연구원들이 더 많은 악성코드를 조사하고 여러 샘플의 분석 결과를 연결해 볼 여력을 만들어 줍니다. 이렇게 시야가 넓어지면 개별 조사에서는 놓치기 쉬운 연관성이 드러나곤 합니다. 스튜어트는 이를 “이전에는 엄두도 내지 못했던 수준의 위협 정보를 확보할 기회”라고 설명합니다.

Daybreak는 방어자가 사이버 보안 업무에 OpenAI 모델을 활용할 수 있도록 지원합니다. SentinelOne은 이러한 기능으로 악성코드를 리버스 엔지니어링하며 소프트웨어의 동작 방식을 분석합니다. 분석 속도가 빨라지면서 연구원들은 더 많은 샘플을 조사할 여력을 확보하게 됩니다.

스튜어트는 결과에 대한 책임은 여전히 자신의 팀에 있다고 강조합니다. 그는 “자동화할 수 없는 단 한 가지는 책임을 지는 일”이라고 말합니다. “아키텍처를 변경하는 결정을 예로 들어 보겠습니다. 이런 일에는 여전히 사람의 검토가 필요합니다. 반면 특정 부분을 수정하거나 소프트웨어의 동작 방식을 근본적으로 바꾸지 않는 작업은 자동화에 더 적합할 수 있습니다.”

과거 SentinelOne의 연구팀은 발견한 위협 중 가장 주목할 만하거나 중요한 위협에 한해서만 심층 조사를 진행할 수 있었습니다. 스튜어트는 “리버스 엔지니어링할 수 있는 소프트웨어의 수가 극히 제한적이었습니다”라고 말합니다. 비교할 샘플이 적다 보니 위협 사이의 연결고리를 발견할 기회도 적었습니다.

Daybreak로 분석 속도가 빨라지면서 연구원들은 악성코드 샘플을 비교하고 공통 구성 요소를 찾아볼 기회를 더 많이 확보하게 됩니다. 예를 들어, 겉으로는 관련 없어 보이는 두 샘플에서 발견된 공통 구성 요소가 고객 관련 조사에서 추적할 단서가 될 수 있습니다.

더 많은 샘플의 분석 결과를 비교하면 위협 간의 연관성을 더 폭넓게 파악할 수 있습니다. 스튜어트는 이러한 연관성을 파악하면 “위협에 더 앞서 대응하고, 더 선제적으로 방어하는 데 도움이 됩니다”라고 말합니다.

스튜어트는 SentinelOne 내에서 OpenAI의 사이버 보안 기능을 활용할 수 있게 되면서 더 많은 사람이 보안 업무를 책임지고 수행하고 있다고 말합니다. 그는 “불과 몇 달 전까지만 해도 확보하기 어려웠던 전문성을 이제는 거의 모든 구성원이 활용할 수 있습니다”라고 말합니다. 이제 더 많은 팀원이 소수의 전문가에게 의존하지 않고 직접 문제를 조사할 수 있습니다.

스튜어트는 SentinelOne 개발자들이 개발 과정에서 보안 문제를 해결할 수 있도록 OpenAI의 사이버 보안 기능을 코드 작성 단계에 도입하고자 합니다.