Salesforce, AI 기반 보안 위협 분류 에이전트 'SATA' 구축 사례

섹션별 상세

기존 보안 운영은 수천 건의 경보를 수동으로 처리해야 하는 병목 현상에 직면했다. SATA는 첫 번째 분류 단계에서 경보를 검토하고 맥락을 수집하여 분석가의 업무 부하를 줄이는 역할을 수행한다.

파편화된 데이터 소스(로그, 사례 관리 시스템)를 통합하는 것이 핵심 기술적 과제였다. SATA는 보안 오케스트레이션 도구를 활용해 필요한 데이터만 타겟팅하여 검색함으로써 메모리 과부하와 지연 시간을 방지한다.

시스템은 인간 분석가의 논리를 모델링하여 정상적인 비즈니스 활동과 실제 공격 신호를 구분한다. 다중 에이전트가 동일 사례를 교차 검토하여 결정의 정확도를 높인다.

배포 전 역사적 데이터를 기반으로 검증을 거쳐 인간 분석가와 약 95%의 일치율을 확보했다. 신뢰도 점수(Confidence Scoring)를 도입하여 자동화된 결정의 확실성을 평가하고, 저신뢰도 항목은 인간 분석가에게 라우팅한다.

근거

인간 분석가와 약 95%의 결정 일치율을 보였다. — 본문 'What trust, governance, and analyst-quality accuracy requirements had to be met before Salesforce relied on autonomous security triage in production?' 섹션

트리아지(Triage): — 보안 경보의 긴급도와 중요도를 판단하여 처리 순서를 정하는 과정. 대량의 경보를 효율적으로 분류하여 분석가가 핵심 위협에 집중하도록 돕는다.
오케스트레이션(Orchestration): — 여러 보안 도구와 시스템을 연결하여 자동화된 워크플로를 실행하고 데이터를 통합 관리하는 기술. 복잡한 보안 운영 환경에서 데이터 검색과 대응을 자동화한다.
오탐(False Positive): — 정상적인 활동을 악의적인 위협으로 잘못 판단하는 경우. 보안 운영에서 불필요한 경보를 생성하여 분석가의 업무 부하를 높이는 주요 원인이다.