보안 분석가가 실제로 LLM을 일상적으로 활용하는 방법

섹션별 상세

Josh Rickard는 보안 인프라 설계 및 위협 대응 과정에서 Claude와 Cursor 같은 도구를 적극적으로 활용한다. 피싱 탐지 시나리오나 SIEM(보안 정보 및 이벤트 관리) 경보의 오탐을 줄이기 위한 튜닝 작업에 LLM을 적용하여 업무 효율을 높였다.

롤 스태킹(Role-stacking)이라는 프롬프팅 기법을 통해 모델이 단일 분석가가 아닌 여러 전문가의 관점을 동시에 갖도록 유도한다. 이는 보안 위협을 다각도에서 분석하게 하여 결과물의 품질과 정교함을 향상시키는 핵심 기술이다.

답변의 유용성을 높이기 위해 Splunk, CrowdStrike EDR, Docker, Kubernetes 등 실제 운영 환경의 기술 스택을 프롬프트에 구체적으로 명시한다. 이를 통해 모델이 일반적인 답변이 아닌, 특정 환경에 즉시 적용 가능한 실질적인 제안을 하도록 강제한다.

LLM 사용 시 주의점으로 모델이 사용자의 논리적 오류나 잘못된 판단까지 그대로 증폭시킬 수 있다는 위험성을 지적했다. 보안 팀은 벤더의 마케팅 자료에 의존하기보다 실무 수준의 워크플로우를 직접 구축하고 검증하는 과정이 필요하다.

용어 해설

보안 정보 및 이벤트 관리(SIEM): — 다양한 보안 장비와 네트워크 장비로부터 로그 데이터를 수집하고 분석하여 위협을 탐지하는 시스템이다. LLM을 활용해 수집된 방대한 경보 중 오탐을 걸러내고 분석 규칙을 최적화함으로써 보안 관제의 효율성을 높인다.
위협 헌팅(Threat Hunting): — 보안 시스템이 자동으로 탐지하지 못한 잠재적인 위협을 분석가가 직접 네트워크나 시스템 내부에서 능동적으로 찾아내는 과정이다. LLM은 가설 수립이나 복잡한 쿼리 작성을 보조하여 분석 속도를 가속화한다.
엔드포인트 탐지 및 대응(EDR): — PC, 서버 등 개별 단말(엔드포인트)에서 발생하는 활동을 모니터링하고 위협에 대응하는 기술이다. CrowdStrike와 같은 도구가 대표적이며, LLM 프롬프트에 이를 명시하면 해당 도구에 특화된 분석 스크립트를 얻을 수 있다.
역할 적층 기법(Role-stacking): — LLM에게 단일한 페르소나가 아닌 여러 전문가의 관점을 동시에 부여하여 복합적인 사고를 유도하는 프롬프팅 기법이다. 보안 분석에서 공격자, 방어자, 인프라 설계자의 시각을 동시에 반영하여 더 정교한 분석 결과를 도출한다.

기술

Claude
Cursor
ChatGPT
Splunk
CrowdStrike
Docker
Kubernetes

활용 사례

Phishing Detection
SIEM Alert Tuning
Threat Hunting
Security Infrastructure Design