Threat Intelligence: 글로벌 공격 데이터가 완화 정책이 되기까지

이 글의 목차

1. 정적 IP 리스트의 한계
2. 5단계 파이프라인
3. 1단계: 수집
4. 2단계: 분석·AI 큐레이션
5. 3단계: 판정·점수화
6. 4단계: 정책화·배포
7. 5단계: 집행
8. 무엇이 다른가

방어에서 정말 어려운 일은 어떤 IP를 막을지 고르는 것이 아니라, 무엇을 막아야 하는지 알아내는 것입니다. Threat Intelligence는 전 세계에서 관측되는 공격 데이터를 실시간으로 분석해 위협을 먼저 식별하고, 이를 즉시 집행할 수 있는 정책으로 바꿉니다.

정적 IP 리스트의 한계

많은 조직이 공개되었거나 구매한 IP 차단 목록에 의존합니다. 하지만 정적인 목록에는 구조적인 한계가 있습니다.

• 이미 알려진 위협만 담깁니다. 새로운 공격, 재할당된 IP, 짧게 쓰고 버리는 인프라에는 대응하기 어렵습니다.
• 출처와 검증 과정이 불투명하면 정상 트래픽을 막는 오탐 위험이 커집니다.
• 위협은 실시간으로 바뀌지만 목록은 늘 한발 늦습니다.

5단계 파이프라인

PacketStream의 Threat Intelligence는 다섯 단계를 거쳐 공격 데이터를 실제 완화 정책으로 만듭니다.

1. 01수집인프라를 통과하는 트래픽의 심층 검사(DPI)
2. 02분석·AI 큐레이션다층 행동 분석과 노이즈 제거
3. 03판정·점수화Verdict · Score · Category로 정규화
4. 04정책화·배포REST API로 매일 갱신
5. 05집행방화벽, CDN, DDoS에 자동 반영

1단계: 수집

별도의 센서망이 아니라, PacketStream 인프라를 통과하는 모든 트래픽의 심층 검사(DPI)가 주된 데이터 소스입니다. 프라이버시를 우선하는 원칙에 따라 엔터프라이즈 고객이나 동의하지 않은 고객은 언제든 Opt-out할 수 있으며, 해당 트래픽은 검사에서 제외됩니다.

여기에 파트너 채널의 제3자 위협 피드를 보조 소스로 결합해 글로벌 커버리지를 넓히고, 1차 데이터를 교차 검증합니다.

하루에 검사하는 트래픽 규모(약)

800TB–1PB

파트너 채널을 결합한 글로벌 커버리지

195개국

2단계: 분석·AI 큐레이션

수집한 데이터는 다층 행동 분석을 거칩니다. AI 큐레이션으로 노이즈를 걸러내고, 1차 데이터와 2차 데이터를 교차 검증해 오탐률을 낮춥니다.

3단계: 판정·점수화

모든 결과는 하나의 정규화된 스키마로 정리됩니다. 어떤 시스템에서 받아도 같은 기준으로 해석할 수 있게 하기 위해서입니다.

-1Unknown

0Benign

1–99Suspicious

100Malicious

응답은 아래와 같은 형태입니다. 예시 IP는 문서용 대역입니다.

{
  "ip": "203.0.113.45",
  "verdict": "Malicious",
  "score": 100,
  "category": ["Malware"],
  "summary": "악성코드를 배포하고 확인된 공격 트래픽에 나타남"
}

4단계: 정책화·배포

판정 결과는 "점수 이상이면 차단", "특정 카테고리는 챌린지"처럼 바로 집행할 수 있는 정책이 됩니다. 정책은 REST API로 배포되며, 7,000만 개 이상의 위협 지표가 매일 5–50% 갱신됩니다.

5단계: 집행

정책은 방화벽, CDN, DDoS 완화에 자동으로 반영됩니다. 연동은 세 단계면 충분합니다.

1. Portal에서 API Key를 즉시 발급합니다.
2. 방화벽이나 CDN 룰에 자동 차단을 연동합니다.
3. 알림 감소와 부하 절감 효과가 바로 나타납니다.

Always-On 인라인 DDoS 완화와 결합하면, 공격이 본격화되기 전에 먼저 차단할 수 있습니다.

무엇이 다른가

• 1차 관측. 구매한 목록을 재판매하는 것이 아니라 직접 관측한 데이터입니다.
• 정확성. 교차 검증과 AI 큐레이션으로 오탐을 줄입니다.
• 선제성. 타 벤더보다 최대 60일 빠르게 탐지합니다.
• 안정성. 99.9% SLA로 제공합니다.

대규모 공격 사전 차단

95%+

보안 알림 감소

80%

92개 타 벤더에서 탐지되지 않은 독점 위협 정보

50%+

보안 알림 수 (도입 전 = 100)

도입 전100

도입 후20

차단 목록은 결과물일 뿐입니다. 중요한 것은 그 목록을 매일 다시 만들어 내는 과정입니다.