사이버 보안 한계, AI로 극복 가능... 대응속도에 큰 이점
AI 활용 성패는 데이터 질이 좌우, 데이터셋 확보가 핵심
과기정통부, 미 국토안보부 ‘임팩트’ 가입 위해 논의 중

[보안뉴스 오다인 기자] 인공지능(AI)이 보안 이벤트 폭증의 대안 기술로 주목 받는 가운데, 양질의 데이터 확보를 위한 세계 각국의 움직임이 활발한 것으로 나타났다. 우리나라는 미국 국토안보부(DHS)가 미국 산·학계 및 7개 국가와 함께 구축하는 데이터셋을 공유하기 위해 현재 참여를 논의 중이라고 한국인터넷진흥원(KISA)이 27일 밝혔다.


[이미지=iclickart]

강필용 KISA 정보보호R&D기술공유센터 센터장은 27일 서울 강남구 유리앤호텔에서 ‘인공지능 시대의 사이버보안 패러다임 변화’를 주제로 발표하며 “사회 전반의 디지털 트랜스포메이션이 가속화하고 사물인터넷(IoT) 연결로 보안 위협이 폭증 및 복잡화함에 따라 사이버 보안의 전통적 대응 방식이 한계에 도달했다”고 말했다.

예컨대, 지난해 발생한 침해사고를 1일 평균으로 보면 △악성코드 활동: 23,883건 △신규 취약점: 4.32건 △랜섬웨어 피해: 16건 △디도스 공격: 1.25건 △홈페이지 변조: 5건 △피싱·파밍 사이트: 35건 △홈페이지 악성코드 유포: 37건 △스미싱 메시지: 1,376건 등으로 집계됐다. 유사·변종 공격의 급증 역시 기존 시그니처 방식의 탐지 및 대응을 어렵게 하는 요인으로 작용하고 있다.

이처럼 보안 이벤트가 기하급수적으로 증가하는 상황에서 AI 기술에 대한 관심이 커지고 있다. 강필용 센터장은 “AI는 인간 지능의 본질을 규명하고 이를 인공적으로 재현하려는 기술”이라고 정의하면서 “AI를 활용해 새로운 공격에 대응하고 단순 반복과 수작업을 대체할 수 있다”고 말했다.

현재 AI는 스스로 지능을 발전시키는 학습단계 수준이며 새로운 상황을 추론하고 행동하는 단계로 발전 중이다. AI의 능력은 인간의 지능을 모방해 특정한 문제를 해결하는 ‘ANI(Artificial Narrow Intelligence)’ 단계, 인간처럼 생각하면서 문제를 해결하는 ‘AGI(Artificial General Intelligence)’ 단계, 인간을 초월한 지능을 보유한 ‘ASI(Artificial Super Intelligence)’ 단계 등 크게 세 가지 단계로 구분된다.

IBM이 2016년 수행한 ‘인지 시대의 사이버 보안(Cybersecurity in the Cognitive Era)’ 연구에 따르면, 인지 보안 솔루션으로 가장 기대되는 혜택은 인텔리전스·대응속도·정확도였으며, 사이버 보안의 최상위 과제는 사건 대응의 평균 속도를 줄이는 것이었다. AI 기술을 활용해 사이버 보안의 가장 큰 난제를 해결할 수 있으리라 기대되는 배경이다. AI는 향후 발생할 사이버 공격의 85%를 예측해낼 것으로도 분석된다.

“사이버 보안 AI 성패는 양질의 학습 데이터와 알고리즘이 좌우”
그러나 AI 기술이 사이버 보안 분야에서 유의미하게 활용되기 위해선 무엇보다 양질의 학습 데이터 확보가 중요하다. 오주형 KISA 보안기술확산팀 팀장은 같은 날 ‘정보보호 R&D 데이터 챌린지 2018’에 대해 설명하면서 “우수한 정보보호 기술 연구·검증 등을 위해서는 양질의 데이터 확보가 필수이며 특히 AI 시대 기계 학습에 필요한 데이터가 AI 기술의 품질을 좌우한다”고 강조했다.

미국은 국토안보부(DHS)의 지원으로 사이버 보안 연구·개발에 필요한 데이터가 공유되고 있다. 이른바 ‘임팩트(IMPACT: Information Marketplace for Policy and Analysis of Cyber-risk & Trust)’는 △메타데이터 검색 △데이터 및 도구 매칭 △데이터 공유 △소셜 네트워크 등의 기능을 제공한다. 임팩트는 국토안보부 내 과학기술국(S&T)과 사이버보안부서(CSD)에서 운용하고 있다.


[이미지=보안뉴스, 자료=한국인터넷진흥원]

메타데이터 검색 기능은 데이터 제공자와 사용자가 인터페이스와 엔진을 사용해 메타데이터를 검색할 수 있게 해준다. 데이터 및 도구 매칭은 사용자와 데이터를 중앙 인터페이스를 이용해 연결시키고 관련 도구를 매칭하는 기능이다. 데이터 공유 기능은 해당 데이터의 정책 및 절차를 검토한 뒤 정상적인 접근 권한을 가진 연구원과 공유토록 한다. 소셜 네트워크는 정보 제공자·사용자·연구원 간 피드백을 통해 데이터·도구·분석 모델에 대한 정보를 최적화하는 기능을 말한다.

임팩트를 통해 미국 학계·산업계·비영리단체·정부기관을 비롯한 7개 국가가 함께 데이터셋을 구축하고 있다. 미국 국토안보부가 승인한 △호주 △캐나다 △이스라엘 △일본 △네덜란드 △싱가포르 △영국에서만 임팩트를 통한 데이터 공유 및 이용이 가능하다.


▲(왼쪽)임팩트 데이터셋 종류, (오른쪽)임팩트 데이터셋 주요 제공자[자료=한국인터넷진흥원]

임팩트 데이터셋은 △공격 △사이버 범죄 인프라 △사이버 보안 제어 정보 △DNS 정보 △익스플로잇 △인프라 정보 △인터넷 토폴로지 및 스캔 정보 △IP 패킷 헤더 △취약점 등 총 23개의 항목으로 세분화 돼 있다. USC, MIT, 조지아테크 등 미국 유수의 대학교를 비롯해 DARPA 등의 참여 기관들은 △내부자 위협에 대한 시뮬레이션 데이터셋 △웹 쿠키 데이터셋 △다크넷 스캐닝을 통해 관찰된 IP주소 및 패킷 수에 대한 데이터셋 △피싱 사이트 데이터셋 등을 공유하고 있다.

현재 우리나라는 임팩트 가입을 위해 미국과 논의 중에 있다. 한-미 사이버 전략 회의를 통해 우리나라 과학기술정보통신부와 미국 국토안보부가 구체적인 협의를 진행하고 있다. 향후 임팩트 가입이 확정될 시 우리나라에서는 KISA가 공유 데이터를 조율하는 역할을 할 전망이다. KISA는 “가입 목표 시점은 올해까지나 정확한 날짜를 적시하긴 아직 어렵다”면서 “양국 정부기관 간 구체적인 절차를 논의하고 있는 상황”이라고 설명했다.

한편, KISA는 지난해부터 정보보호 R&D 데이터 챌린지 대회를 개최하고 있다. 정보보호 R&D 데이터셋을 활용해 악성코드 탐지 등 보안 문제 해결을 위한 보안 기술의 성능 등을 경쟁하는 대회다. 오는 9월부터 열리는 올해 대회는 △AI 기반 악성코드 탐지 △AI 기반 취약점 자동 탐지 △AI 기반 안드로이드 악성 앱 탐지 △차량주행데이터 기반 도난탐지 등 총 4개 트랙으로 운영된다.
[오다인 기자(boan2@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>