제로데이(Zero-day)
알려진 시그니처와 패치가 준비되기 전에도
AI가 공격 징후를 분석하고 PLURA-XDR이 대응합니다.
AI 기반 제로데이 공격 탐지·대응 체계
Unknown Attack · AI Detection · XDR Response
제로데이 공격은 알려진 시그니처나 보안 패치가 준비되기 전에 취약점과 우회 기법을 악용합니다.
PLURA-AI·XDR은 웹 요청·응답 본문, 서버·PC의 프로세스와 파일 변화, 계정 행위와 네트워크 연결을 함께 분석해
기존 룰에 없는 비정상 공격 징후를 AI로 탐지하고 대응합니다.
제로데이 대응은 새로운 CVE 번호나 시그니처가 배포될 때까지 기다리는 방식만으로는 충분하지 않습니다.
웹 경보 한 건이나 프로세스 한 개만 보는 것이 아니라, 공격 전후의 본문·행위·계정·증거 로그를 연결해야 합니다.
PLURA는 AI가 알려지지 않은 공격 패턴과 비정상 행위를 분석하고,
WAF 차단·EDR 격리·포렌식 증거 수집·가상패치로 이어지는 AI-XDR 대응 흐름을 제공합니다.
Request Body
Response Body
Behavior Analytics
AI Correlation
Virtual Patching
Forensic Evidence
- 웹 공격 : 우회 인젝션, 비정상 업로드, 예상하지 못한 응답과 데이터 노출 분석
- 호스트 침해 : 웹 프로세스의 명령 실행, 파일 생성, 권한 상승, 외부 연결 추적
- 계정 악용 : 공격 이후 로그인, 관리자 권한 사용, 원격 접속과 내부 이동 확인
- 유출·영향 : 대량 조회, 압축·전송, 암호화, 서비스 중단 징후를 상관 분석
제로데이 대응을 구성하는 5단계
-
1
원문 로그 수집
요청·응답 본문과 호스트 행위 확보 -
2
AI 이상징후 분석
기존 룰에 없는 공격 패턴 식별 -
3
XDR 상관 분석
웹·계정·서버·PC의 공격 흐름 연결 -
4
차단·격리 대응
WAF·EDR 정책과 가상패치 적용 -
5
포렌식·재발 방지
침해 범위 확인과 탐지 정책 고도화
알려지지 않은 공격을 탐지에서 대응까지 연결합니다
- 01 공격 신호 수집 웹 본문, 프로세스, 파일, 계정, 네트워크 로그를 원문으로 확보
- 02 AI 위험도 판단 정상 기준과 다른 입력·응답·행위 조합을 분석해 의심 징후 식별
- 03 공격 체인 확인 초기 침투부터 명령 실행, 권한 상승, 외부 통신까지 맥락화
- 04 정책 기반 대응 위험도와 승인 정책에 따라 IP 차단, 세션 차단, 호스트 격리 수행
- 05 증거화·개선 포렌식 증거를 보존하고 가상패치·필터·감사 정책에 반영
- 탐지 우선패치가 없더라도 비정상 공격 징후와 침해 이후 행위를 먼저 확인합니다.
- 대응 연계고위험 이벤트는 자동 대응하고, 불확실한 이벤트는 분석·승인 절차로 연결합니다.
- 증거 보존AI 판단 근거가 되는 원문 로그와 조치 이력을 남겨 재현 가능한 보고를 지원합니다.
-
PLURA-WAF w/ AI :
본문까지 보는 신종 웹 공격 탐지URL과 시그니처만이 아니라 요청·응답의 의미와 결과를 함께 분석합니다. 난독화·분할·인코딩을 이용한 우회 입력 확인
비정상 파일 업로드와 웹셸 의심 행위 분석
오류 메시지·개인정보·민감정보 노출 징후 탐지
탐지 결과를 차단 정책과 가상패치로 연결
-
PLURA-EDR w/ Behavior :
취약점 악용 이후의 행위 추적취약점 이름을 몰라도 서버와 PC에서 발생한 비정상 행위를 확인합니다. 웹 서비스 프로세스의 셸·스크립트 실행 탐지
파일 생성·권한 변경·서비스 등록 추적
권한 상승·방어 회피·외부 도구 실행 분석
프로세스 종료·호스트 격리·증거 수집 연계
-
PLURA-SIEM w/ XDR :
분절된 신호를 하나의 공격으로 연결웹·호스트·계정·네트워크 이벤트의 시간과 대상 관계를 상관 분석합니다. 웹 공격 이후 서버 명령 실행 여부 확인
탈취 계정의 원격 접속과 내부 이동 추적
C2 통신·대량 조회·데이터 유출 징후 분석
AI 위험도 기반 SOC 우선순위와 대응 승인 지원
-
PLURA-Forensic·VAS :
증거화와 재발 방지까지 완성탐지 이후 침해 범위를 확인하고 방어 기준을 지속적으로 개선합니다. 포렌식 스냅샷과 변경 내역 비교
의심 파일·계정·설정·접속 흔적 보존
운영체제 보안 설정과 감사 정책 점검
가상패치·탐지 필터·하드닝 정책 고도화
PLURA-AI·XDR에서 제로데이 대응이 작동하는 방식
| 영역 | 수집되는 증거 | AI·XDR 분석 | PLURA 대응 |
|---|---|---|---|
| Web | 요청·응답 본문, URL, 헤더, 업로드 파일, 로그인 행위 | 우회 입력, 비정상 응답, 데이터 노출, 웹셸 의심 패턴의 위험도 판단 | PLURA-WAF 탐지·차단, 가상패치, SIEM 상관 분석 |
| Host | 프로세스 실행, 파일 생성, 레지스트리·설정 변경, 네트워크 연결 | 취약점 악용 이후 명령 실행, 권한 상승, 지속성 확보, C2 징후 연결 | PLURA-EDR 프로세스 차단·호스트 격리, Forensic 수집 |
| Account | 로그인 성공·실패, 관리자 권한 사용, 원격 접속, 계정 변경 | 공격 이후 계정 악용, 비정상 위치·속도·대상 접근과 내부 이동 분석 | 계정 위험도 상향, 접근 차단, SOC 관제와 대응 승인 연계 |
| Evidence | 스냅샷 차이, 의심 아티팩트, 정책 변경, 대응·승인 이력 | 침해 여부와 범위 검증, 공격 체인 재구성, 재발 방지 기준 도출 | PLURA-Forensic·VAS 연동, 보고서·증적 관리, 정책 개선 |
핵심은 AI가 단독으로 결론을 내리는 것이 아니라, 원문 로그와 상관관계를 근거로 위험도를 제시하고 조직의 정책에 따라 자동 차단 또는 분석가 검토로 연결하는 것입니다.
기존 시그니처 중심 대응 vs AI 기반 PLURA 제로데이 대응
| 비교 항목 | 기존 시그니처 중심 방식 | PLURA-AI·XDR 운영 방식 |
|---|---|---|
| 탐지 기준 | 알려진 CVE·패턴·룰과의 일치 여부 중심 사후 의존 | 원문 본문과 행위의 비정상성·연쇄 관계를 AI로 분석 행위 중심 |
| 가시성 | 웹·서버·PC·계정 경보가 제품별로 분리 | 웹 요청·응답, 호스트 행위, 계정, 포렌식 증거를 통합 |
| 신종 공격 | 시그니처가 없으면 탐지·설명이 제한될 수 있음 | 알려지지 않은 공격이라도 비정상 결과와 후속 행위로 의심 징후 식별 |
| 대응 속도 | 분석 후 장비별 정책을 각각 변경 | 위험도와 승인 정책에 따라 WAF 차단·EDR 격리·SOC 대응을 연결 |
| 증거·보고 | 경보 메시지 중심으로 공격 흐름 재구성이 어려움 | 원문 로그, 공격 단계, AI 판단 근거, 조치 이력을 함께 보존 |
| 재발 방지 | 패치 또는 신규 시그니처 배포를 기다리는 비중이 큼 | 가상패치·탐지 필터·감사 정책·하드닝 기준을 즉시 보완 |
AI 기반 제로데이 대응 운영 원칙
- 원문 로그를 남깁니다요청·응답 본문과 호스트·계정 행위가 있어야 AI 판단과 사고 재현이 가능합니다.
- 위험도에 따라 대응합니다고확신 공격은 자동 차단하고, 불확실한 이벤트는 분석가 확인과 승인 절차로 연결합니다.
- 탐지 결과를 방어 정책으로 전환합니다확인된 공격 특성과 증거를 가상패치, 필터, 감사 정책, 보안 설정 개선에 반영합니다.