로그프레소, '빅데이터 암호화 기술' 美 특허 취득… “해외진출 기반 마련”

[PASCON 2020] 양봉열 로그프레소 대표 “단일 빅데이터 플랫폼만이 안정적 보안 운영 담보”

데일리시큐 주최 하반기 최대 정보보안&개인정보보호 컨퍼런스 PASCON 2020이 11월 10일 더케이호텔서울 가야금홀에서 방역수칙 준수하에 성황리에 개최됐다. 이 자리에서 양봉열 로그프레소 대표는 ‘보안관제를 지탱하는 기술’이란 주제로 강연을 진행했다. 양봉열 대표는 2005년 인젠의 시큐플랫ESM으로 통합보안관제 시스템 개발을 시작한 이래, 15년 간 관제 기술을 연구해왔다. 초기 관제 시스템들은 관계형 데이터베이스와 ISAM 파일을 기반으로 설계되었다. 로그는 정규화해 ISAM 파일에 쓰고, 이벤트는 데이터베이스에 저장했다. 그러나 이런 데이터 시스템은 스키마가 고정되어 있어서 원본 로그를 저장하기 어려웠다. B-TREE 기반 스토리지 엔진은 잠금으로 인해 고속 쓰기에 불리했고, 트리 노드에 항상 여유 공간이 존재하기 때문에 디스크를 낭비하게 되고 압축하기에도 어려운 구조적 문제가 있었다. 엘라스틱과 하둡 양쪽으로 데이터 저장하는 땜질 처방…지금도 계속 당시에 부상하던 인메모리 DB를 비롯해 여러가지 대안들이 실험되었지만, 근본적으로 보안 로그의 특성을 염두에 두지 않은 OLTP 위주의 데이터 시스템은 성능 문제를 해결하기에 역부족이었다. 2010년 이전의 시스템은 성능 문제로 로그 수집, 저장부터 누수되는 경우가 빈번했고, 로그를 조회하거나 검색하면 저장 속도가 급격하게 떨어질 뿐 아니라 수 시간을 대기해야 겨우 결과를 보거나 시스템 자체가 다운되는 경우도 흔했다. 이러한 상황에서 단순 조회 이상의 연관 분석은 최근 수 분 정도의 최근 데이터에 대해 인메모리에서만 가능한 일이었기 때문에, 대규모 데이터를 연관 분석하는 일은 상상하기도 어려웠다. 많은 아키텍트들은 관계형 데이터베이스에 데이터마트를 정의해서 TOP N 통계를 미리 생성하고, 텍스트 로그 자체는 일 단위로 압축하는 설계를 했는데, 이는 주어진 여건에서 최소한의 통계 보고서라도 빠르게 조회하고자 하는 땜질 처방에 불과했다. 미리 정의되지 않은 통계는 조회 자체가 불가능했기 때문에, 가능한 많은 조합의 데이터마트를 정의해야 했고 이는 다시 많은 디스크 공간 소모로 이어졌다. 압축된 텍스트 파일은 전체를 압축 해제해 조회 및 검색해야 했기 때문에 디스크 공간은 덜 사용했지만 사실상 조회 검색이 불가능한 상황을 야기했다. 2010년 대 이후 루씬, 하둡과 같은 오픈소스 빅데이터 기술이 등장하자 많은 사람들이 기존의 성능 문제가 해결되지 않을까 기대했으나, 풀텍스트 고속 검색과 대규모 통계 및 연관 분석을 모두 지원하는 시스템은 존재하지 않는다는 사실을 깨닫게 되었다. 엘라스틱은 조인을 지원하지 않고, 하둡은 실시간 검색을 지원하지 않는다. 이에 엘라스틱과 하둡 양쪽으로 데이터를 저장하는 땜질 처방이 2020년인 지금도 계속되고 있다. “로그프레소, 자체 기술로 단일 빅데이터 플랫폼 개발…기존 기술들 문제 해결” 로그프레소는 이 문제를 근본적으로 해결하려면 직접 밑바닥부터 빅데이터 플랫폼을 설계해야 한다고 믿었고, 결국 실시간 스트리밍 분석, 실시간 인덱싱과 고속 풀텍스트 검색, 드릴다운을 포함한 실시간 통계 분석, 대규모 분산 통계와 조인, AI 머신러닝까지 완전하게 자체 기술로 구현한 단일 빅데이터 플랫폼을 만들어냈다. 많은 시스템들이 유행에 따라 아키텍처 스타일이 변화하는데, 빅데이터의 성능에 초점을 맞추지 않으면 근본적으로 해결하기 어려운 성능 병목을 맞게 된다. 로그프레소는 I/O를 극단적으로 줄이기 위하여 머신별 단일 프로세스, 인코딩과 압축 효율 극대화, 데이터 파이프라인의 병렬화를 모든 영역에서 구현했다. 빅데이터의 핵심은 로직이 있는 곳으로 데이터를 옮기는게 아니라, 데이터가 있는 곳으로 로직을 옮기는 것이다. 예를 들어 분산 통계나 조인을 수행한다면, 전송해야 하는 데이터량을 최소화하도록 쿼리 플래너가 자동으로 쿼리를 재작성해 데이터 노드로 내려보낸다. 검색 고속화에는 역인덱스(inverted index)와 블룸필터(bloom filter)가 활용된다. 특히 블룸필터는 최소의 용량으로 키워드가 존재하지 않는 블록을 완전히 건너뛸 수 있도록 지원함으로써 장기간 데이터 검색에서 최적의 성능을 도출한다. 통계 분석은 스키마리스 컬럼스토리지 엔진이 실시간 분석을 가능하게 한다. 대규모 분석 쿼리를 실행할 때 필요한 컬럼은 일부분이므로, 기존의 OLTP 시스템이 사용하는 행 단위 레코드 레이아웃을 열 단위로 바꾸게 되면 반드시 필요한 데이터 영역만 읽고 처리할 수 있게 되므로 성능이 수십 배 향상된다. 여기에 벡터 단위의 쿼리 실행은 단일 인스트럭션으로 여러 개의 데이터를 동시에 연산하는 SIMD를 활성화하기 때문에 기존 시스템 대비 100배 이상의 성능을 낼 수 있게 된다. 이는 예전에 불가능하던 자유로운 데이터 통계와 연관 분석을 가능하게 한다. 암호화된 데이터에서 컬럼스토리지는 더욱 빛을 발하는데, 특허 등록된 로그프레소 기술은 분석 쿼리에서 요구하는 컬럼만 복호화를 수행함으로써 암호화 된 데이터에 대해서도 최상의 분석 성능을 도출한다. 로그프레소는 여기에 그치지 않고 쿼리 실행 시점에 비정형 데이터의 타입을 추론해 쿼리를 실행 시간에 컴파일한다. 이는 인터프리터 방식의 쿼리 엔진에서 발생하는 모든 오버헤드를 제거한 머신 코드를 런타임에 생성해 대규모 분석 쿼리 실행의 성능을 최적화한다. 이러한 근본적인 데이터 처리 기술의 발전은 매일 수백 기가에서 테라바이트 단위의 데이터가 유입되는 상황에서도 이전에 불가능하던 검색과 분석을 사용자가 원하는대로 수행할 수 있도록 지원하게 되었다. 양봉열 대표는 “오픈소스 기반의 빅데이터 플랫폼이 여러 컴포넌트의 조합으로 높은 복잡도, 낮은 성능, 많은 장애 포인트, 장기적 데이터 호환성 문제를 가진다”는 점을 지적하며 “완전하게 구현된 단일 빅데이터 플랫폼만이 안정적 보안 운영을 담보한다”고 강조했다. 로그프레소 양봉열 대표의 PASCON 2020 발표자료는 데일리시큐 자료실에서 다운로드 가능하다. [https://www.dailysecu.com/news/articleView.html?idxno=116401](https://www.dailysecu.com/news/articleView.html?idxno=116401)

2020-11-12

양봉열 로그프레소 대표 “국산 SOAR 통해 국산 보안생태계 조성할 것”

“로그프레소는 자체 개발한 국산 보안 오케스트레이션·자동화 및 대응(SOAR) 솔루션 '로그프레소 마에스트로'를 앞세워 벤더사와 상생하는 국산 보안생태계를 만들겠습니다.” 양봉열 로그프레소 대표는 자체 기술로 개발한 SOAR 솔루션을 출시하고 본격 영업에 나섰다. SOAR는 보안 사고에 자동 대응할 수 있는 사이버 관제 솔루션이다. 세계적으로 SOAR시장은 급성장세를 보이고 있다. 글로벌 시장조사기관 마켓엔마켓에 따르면 SOAR 시장은 2019년부터 오는 2024년까지 연평균 15.6% 성장세를 보일 전망이다. 전체 시장규모는 17억 9000만 달러에 달할 것으로 예측됐다. 양 대표는 “보안관제 시스템에서 사람이 처리해야 할 데이터가 방대해져 물리적 정보 처리가 불가능한 상황”이라며 “기존 관제시스템에서는 사건사고가 수천 건씩 발생하는데 이는 사람이 일일이 다 들여다볼 수 없는 규모”라고 말했다. 이에 따라 분석과 대응을 자동화한 SOAR가 유일한 해결책으로 제시된다는 설명이다. 5G 시대에 진입하면서 폭증한 데이터도 SOAR 수요 증가요인이다. 그는 “제로트러스트(모든 행위를 점검하고 모니터링 하는 방식)를 하면서 내부망도 살펴야 하는데 주 52시간제를 고려하면 보안운영업무 생산성을 높이기 위해서는 SOAR가 필수”라고 설명했다. 로그프레소가 개발한 SOAR는 국내 밴더와의 협업에 최적화 된 솔루션이다. 양 대표는 “외산 제품은 보안 시스템 구축 후 다른 보안 제품을 연동하거나 추가할 때마다 번거로운 코딩작업이 수반됐다”면서 “로그프레소 마에스트로는 기존 보안제품과 완벽히 연동되며 벤더사가 애플리케이션프로그램인터페이스(API)를 잘 사용하도록 지원 한다”고 설명했다. 특히 그는 국산 보안 솔루션들이 유기적으로 연결돼야 한다고 강조했다. 그는 “글로벌 보안 벤더사들은 각 부문별 솔루션을 적극적으로 연계해 한국 시장에 진출하려 한다”며 “한국 보안기업도 협업을 통한 국산 SOAR 생태계를 조성해야 한다”고 말했다. 이를 위해 로그프레소는 지난해 스나이퍼와 엑스게이트, 지니어스, 워터월시스템즈 등과 사업 협력을 진행했다. 로그프레소의 빅데이터 플랫폼과 SOAR에 벤더사 방화벽과 보안 솔루션을 더하는 형식이다. 이를 통해 일부 공공기관에 솔루션을 성공적으로 공급하기도 했다. 성공사례에도 불구하고 국내 SOAR 생태계는 초창기라고 그는 판단했다. 양 대표는 “국내 시장은 외산기업이 과점하는 상태로 이대로라면 국내 SOAR 시장도 외산 제품들로만 채워질 수 있다”며 “외산 솔루션 간 호환성이 높아 외산 SOAR를 사용하면 연계할 다른 보안제품도 외산으로 채워질 확률이 높다”고 말했다. 따라서 외산이 한국 SOAR 시장을 독차지하기 전에 국내 보안솔루션 기업을 중심으로 SOAR 생태계를 조성해야 한다는 게 그의 설명이다. 양 대표는 올해를 국내 SOAR 생태계 구축 원년으로 삼을 계획이다. 동시에 로그프레소 마에스트로를 시장에 안착시킬 방침이다. 그는 “로그프레소는 다양한 벤더·기관들과 협력해 국내 SOAR 생태계 구축을 위해 노력하고 있다”며 “올해가 국내 업체가 협력하는 체계를 구축하는 첫 해가 될 것”이라고 말했다. 임중권기자 lim9181@etnews.com [https://www.etnews.com/20210127000072](https://www.etnews.com/20210127000072)

2021-01-27

[차세대 보안관제②] 모든 환경서 위협 가시성 제공해야

[데이터넷] 보안관제조직은 증가하는 보안 시스템에서 발생하는 이벤트를 관리하기위해 ESM, RMS, TMS 등을 사용해왔으며, 2010년 경부터 SIEM 도입에 속도를 내기 시작했다. SIEM은 보안 시스템에서 발생한 로그를 수집·분석해 위협을 탐지한다. 방대한 로그를 분석해야 하기 때문에 비정형 데이터에 대한 고속 분석 성능이 요구됐으며, 빅데이터 처리에 강점이 있는 솔루션도 SIEM 시장에 뛰어들었다. 초기 SIEM은 실시간 위협 탐지가 아니라 발생한 위협을 조사하는데 필요한 증거를 수집하기 위해 사용됐다. 그래서 빅데이터 기반 검색 기술이 뛰어난 기업들 도 주목을 받아왔는데, 실시간 탐지와 대응, 사이버 보안에 대한 노하우가 부족하다는 한계를 갖고 있다. 공격 유형과 방어 방법에 대한 상세한 시나리오와 탐지 경보를 울리는데 있어 필요한 임계치 설정, 위협 우선 순위를 매기고 관리자에게 경보를 울리는 수준을 정하 는 등의 위협 대응 기능이 충분하지 않았다. 황원섭 마이크로포커스코리아 부장은 “현재 관제조직에서 사용하는 SIEM은 대부분 SIM 수준을 넘지 못하고 있다. 로그를 디스크에 저장한 후 분석하는 방식으로, 실시간 경보를 스케줄 쿼리로 구현해 실시간 보안위협을 효과적으로 탐지·분석·대응하지 못한다”고 지적했다. 단일 플랫폼서 완벽한 보안 가시성 제공 기존 보안관제의 한계를 해결하는 방법으로 통합, 지능형 분석, 위협 인텔리전스가 제안된다. 발생하는 모든 이벤트를 통합 플랫폼을 통해 연계분석하며, 발생한 모든 행위에서 정밀하게 이상행위를 찾아내고, 위협 인텔리전스 연동, SOAR를 통한 자동화된 대응까지 가능해야 한다. 토종 솔루션 중 ‘로그프레소’가 SIEM과 사용자 행위 분석(UBA)을 통합시킨데 이어 SOAR와 포렌식까지 통합시키면서 발전해나가고 있다. 올해 하반기에는 위지윅(WYSIWYG) 방식의 플레이북 편집기와 워크플로우 엔진을 통합시킬 예정이다. 로그프레소는 통합 로그관리 솔루션 ‘로그프레소 스탠다드’, 미션 크리티컬 환경을 위한 ‘로그프레소 엔터프라이즈’, 정보보호 통합 플랫폼 ‘소나(SONAR)’로 구성되며, 국민은행, 부산은행을 비롯한 금융 시장에서 호평을 받고 있다. 이외에도 공공·엔터프라이즈 등 다양한 산업군에 공급돼 시장 점유율을 높이고 있다. 로그프레소는 분석과 고속 배치 분석을 유기적으로 통합했으며, 통합로그, 외부침해관제, 이상징후탐지, 이상금융거래 등을 단일 플랫폼으로 지원해 완전한 가시성과 위협 분석, 운영과 유지보수의 편의성을 제공 한다. 클라우드, 애플리케이션, 사용자 행위 분석 등 모든 영역으로 확대된 통합 분석체계를 제공하며, 하루 1TB, 수십종, 수백대의 시스템을 실시간 통합분석 한다.  또한 현장에서 적용 가능한 SOAR 기능을 지원, 위협·장애 탐지 시 티켓이 자동으로 등록돼 관제요원의 분석 대응을 원활하게 한다. 기업·기관에서 사용하는 다양한 앱을 지원하며, AI·머신러닝 알고리즘을 자체 개발해 쿼리로 내장해 실제 관제 현장에서 효과가 검증 된 위협 헌팅 기술을 제공한다. 구동언 로그프레소 상무는 “전통적인 SIEM은 자산, 취약점, 위협 인텔리전스를 수작업으로 관리하거나 자사 인텔리전스·취약점 스캐너만 연동돼 활용이 제한적이다. 클라우드 전환으로 IT 복잡도가 크게 증가하는 상황에서 기존의 SIEM은 맞지 않으며, 온프레미스·클라우드 전반에서 로그 수집과 저장, 분석, 탐지, 대응 까지 완전히 통합돼야 한다”며 “로그프레소 플랫폼은 강력한 빅데이터 원천 기술과 앱 확장성으로 최고의 단 위 보안시스템을 효과적으로 오케스트레이션하는 보 안 운영의 기반이 될 것”이라고 말했다. 로그관리 시장에서는 와치텍이 ‘IT 관리자를 위 한 자율운영 관리시스템’을 표방하며 시장 개척에 나서 주목된다. 와치텍은 로그 관리를 위한 ‘와치로그 (WatchLog)’, 인프라 관리를 위한 ‘와치올(Watch All)’로 구성된다. 관리자가 전문 지식이 없어도 자율 적으로 운영하며, 로그 데이터에 대한 높은 수준의 시 각화를 제공해 관리 용이성을 높인다. 임주형 와치텍 이사는 “와치텍은 자율운영 시나리오 분석 외 다양한 자율운영 기능을 선보이고 있으며, 빠르고 안정적인 빅데이터 기술로 고객의 대규모 인 프라를 관리할 수 있다는 장점을 적극 살리고 있다”며 “관리자의 업무를 줄이고 중대한 위협 이벤트를 놓치 지 않도록 지원하는 자율운영 로그 분석 기술을 통해 보안관리 시스템을 업그레이드 할 것을 제안한다”고 밝혔다. [http://www.datanet.co.kr/news/articleView.html?idxno=147815](http://www.datanet.co.kr/news/articleView.html?idxno=147815)

2020-07-03