본 포스팅은 Todd Dow가 작성한 Machine Speed, Human Judgement: How AI Changed the SOC in 2026 포스팅을 번역한 글입니다.
분석가부터 서로 다른 두 조직의 CISO에 이르기까지 사이버 보안 분야의 거의 모든 계층에서 근무해 온 저는, 과거 보안 조사가 얼마나 어려웠는지 직접 목격해 왔습니다. 여러 도구와 플랫폼에 흩어져 있던 보안 사고 정보를 수동으로 하나하나 맞춰보려 애쓰던 기억이 아직도 생생합니다.
경보는 한 시스템에서 발생하기도 했고, 엔드포인트 활동은 다른 시스템에 나타나기도 했습니다. 네트워크 텔레메트리 데이터는 또 다른 곳에 저장되어 있었으며, 위협 인텔리전스는 또 다른 출처에서 제공되곤 했습니다.
이 모든 정보를 서로 연계하는 작업은 지루할 뿐만 아니라 종종 좌절감을 주기도 했습니다. MITRE ATT&CK 프레임워크에 따라 활동을 매핑하는 데는 몇 시간, 심지어 며칠이 걸리기도 했으며, 공격자가 여전히 환경 내에서 활발히 활동하고 있는 동안 방어자가 이를 포착할 수 있는 시간 내에 작업을 완료하는 것은 불가능해 보일 때가 많았습니다.
대부분의 경우, 우리는 사건이 발생한 후에야 상황을 재구성하곤 했습니다. SIEM은 무슨 일이 일어났는지 파악하고, 어떤 부분이 침해되었는지 식별하며, 무엇이 손실되었는지 이해하는 데 도움을 주었습니다. 하지만 조사는 대체로 사후 분석에 그쳤습니다.
그때와는 상황이 많이 달라졌습니다.
매년 시스코 라이브는 실제 환경에서 대규모로 운영되는 보안 기술을 직접 확인할 수 있는 특별한 기회를 제공합니다. 수천 명의 참가자, 셀 수 없이 많은 디바이스, 수백 개의 애플리케이션, 그리고 방대한 양의 네트워크 트래픽은 현대적인 보안 운영 센터(SOC)를 위한 완벽한 시험장을 만들어 줍니다.
시스코 라이브 2026 SOC에서 시간을 보내며 한 가지가 분명해졌습니다.
- 오늘날 SOC의 운영 방식은 불과 몇 년 전과도 근본적으로 다릅니다.
- 이러한 변화는 단순히 더 나은 도구를 갖게 되었다는 것만이 아닙니다.
- 가장 큰 변화는 AI가 조사 작업 흐름 전반에 내재화되어, 분석가들이 기계 수준의 속도로 업무를 수행하면서도 더 높은 가치를 지닌 의사 결정에 집중할 수 있게 되었다는 점입니다.
여러모로 2026년은 보안 운영의 새로운 시대가 시작된 해처럼 느껴집니다.
얼마 전까지만 해도 상관관계 분석은 수작업이었습니다
불과 몇 년 전만 해도 SOC 분석가들은 하루 중 상당 부분을 서로 연결되지 않은 도구들 간의 정보를 수동으로 연관 짓는 데 할애했습니다.
- 한 시스템에서 경보가 도착하면
- 분석가는 조사를 위해 다른 콘솔을 열어야 했습니다.
- 그리고 또 다른 콘솔을 열었고,
- 그 다음에는 패킷 캡처 도구를 사용하기도 했으며,
- 그 다음에는 위협 인텔리전스 플랫폼을 활용했고,
- 그 다음에는 엔드포인트 보안 제품을 확인했으며,
- 그 다음에는 티켓팅 시스템을 확인해야 했습니다.
분석가는 사실상 통합 계층이 되어버렸습니다. 이 과정은 효과적이었지만 느렸습니다. 더 중요한 점은 확장성이 부족했다는 것입니다. 공격자들은 이미 기계 속도로 활동하고 있었지만, 방어자들은 여전히 인간의 속도로 대응하고 있었습니다.
오늘날, 그 격차는 빠르게 좁혀지고 있습니다.
시스코 라이브 2026에서는 XDR, Splunk Enterprise Security, Secure Firewall, Secure Malware Analytics, Endace, Wireshark 및 AI 지원 분석 기능 간에 수많은 분석 작업이 자연스럽게 이어졌습니다.
분석가들은 정보를 수집하는 데 시간을 낭비하는 대신, 그 정보가 실제로 무엇을 의미하는지 이해하는 데 더 많은 시간을 할애할 수 있게 되었습니다.
이러한 차이는 중요합니다.
미래의 SOC는 분석가를 대체하는 것이 아닙니다.
불필요한 문턱을 없애는 데 목적이 있습니다.
이러한 변화를 잘 보여주는 대화
우리 SOC 팀원 중 한 명이 한 두 가지 발언은 업계 전반에 걸쳐 일어나고 있는 변화를 완벽하게 포착해 주었습니다.
3월 RSA 컨퍼런스에서:
“방금 바이브 코딩을 시작했는데 정말 대단해요. 어젯밤에 이걸 바이브 코딩으로 처리했거든요.”
그리고 불과 몇 달 뒤 시스코 라이브에서:
“도대체 누가 업무에 AI를 안 쓰겠어요?”
이 발언들은 소프트웨어 개발자들이 한 말이 아닙니다.
이 말은 보안 실무자들이 한 것입니다.
이 사실만으로도 놀라운 의미를 담고 있습니다.
AI는 더 이상 데이터 과학자나 엔지니어만을 위한 전문적인 역량으로 여겨지지 않습니다. AI는 일상 업무의 당연한 일부가 되어가고 있습니다.
분석가들이 결국 검색 엔진을 사용할지 자동화 스크립트를 사용할지 논쟁하는 것을 멈췄던 것처럼, 우리는 AI가 단순히 작업 흐름의 또 다른 도구가 되는 시점에 빠르게 다가가고 있습니다.
이제 문제는 AI가 SOC에 속해야 하는지 여부가 아닙니다.
문제는 우리가 AI를 얼마나 효과적으로 통합할 수 있느냐는 것입니다.
분석가 중심 자동화의 등장
올해 제가 목격한 가장 흥미로운 발전 중 하나는 보안 제품에서 나온 것이 아니었습니다. 바로 분석가들이 직접 구축을 시작했다는 점이었습니다. 과거에는 SOC 분석가가 맞춤형 통합, 작업 흐름 개선, 대시보드 개선 또는 자동화를 원할 경우, 종종 엔지니어링 팀에 요청을 제출하고 구현을 위해 며칠, 몇 주, 때로는 몇 달을 기다려야 했습니다.
그 모델은 급속히 변화하고 있습니다.
Codex와 같은 도구 및 각종 AI 코딩 보조 도구는 소프트웨어 개발의 진입 장벽을 극적으로 낮추고 있어, 보안 분석가들이 점점 더 직접 솔루션을 구축할 수 있게 되었습니다.
- 반복적인 데이터 보강 작업을 자동화해야 하나요?
- 이전에 통합되지 않았던 두 시스템을 연결해야 하나요?
- 조사 효율을 높이는 맞춤형 작업 흐름이 필요한가요?
이러한 아이디어 중 상당수는 이제 몇 주가 아닌 몇 시간 만에 프로토타입으로 만들 수 있습니다.
“바이브 코딩”이라는 표현은 다소 캐주얼하게 들릴 수 있지만, 그 의미는 심오합니다. 처음으로 많은 보안 실무자들이 AI를 개발 파트너로 삼아 아이디어를 직접 작동하는 코드로 구현할 수 있게 되었습니다. 그 결과, 다른 누군가가 해 주기를 기다리지 않고도 SOC 운영을 개선할 수 있는 차세대 ‘분석가-개발자’들이 등장하고 있습니다. 수십 년 전 스프레드시트가 비즈니스 사용자에게 힘을 실어주었듯이, 오늘날 AI 지원 코딩은 보안 분석가들에게 힘을 실어주기 시작하고 있습니다.
이러한 변화를 수용하는 조직은 그렇지 않은 조직보다 더 빠르게 혁신을 이룰 것입니다.
에이전트 기반 SOC의 대두
시스코가 최근 논의해 온 주제 중 하나는 ‘에이전트 기반 인력(Agentic Workforce)’의 도입입니다. 보안 운영은 이 개념이 실제로 적용되는 가장 명확한 사례 중 하나일 것입니다.
현대적인 SOC 업무 흐름은 전문가 팀이 협력하는 형태를 점점 더 닮아가고 있습니다.
- 탐지 플랫폼은 의심스러운 활동을 식별합니다.
- 상관 관계 분석 엔진은 관련 이벤트를 연결합니다.
- AI 시스템은 분석 결과를 요약합니다.
- 조사 도구는 증거를 수집합니다.
- 자동화 플랫폼은 대응 조치를 실행합니다.
- 분석가는 결론을 검증하고 의사 결정을 내립니다.
그 결과로 탄생한 것은 완전히 자율적인 SOC가 아닙니다. 오히려 인간과 기계가 각자 가장 잘하는 분야에 기여하는 SOC입니다. 기계는 속도, 규모, 기억력, 패턴 인식에 탁월합니다. 인간은 맥락 파악, 판단력, 창의성, 의사 결정에 탁월합니다. 미래의 가장 효과적인 SOC는 이 두 가지를 모두 활용할 것입니다.
실제 사례: 여러 플랫폼에 걸친 악성코드 조사
시스코 라이브에서 진행된 한 조사 사례는 다운로드된 실행 파일과 관련된 악성코드 탐지 사례였습니다.
Secure Malware Analytics의 판정 결과 XDR 인시던트가 생성되어, 분석가들에게 즉시 조사의 출발점을 제공했습니다.
최신 XDR 플랫폼은 여러 소스의 텔레메트리 데이터를 자동으로 상호 연관시켜 단일 인시던트로 통합함으로써, 사건 경위를 파악하는 데 필요한 시간을 획기적으로 단축합니다.
이를 바탕으로 작업 흐름은 여러 통합 플랫폼 전반으로 자연스럽게 확장되었습니다.
분석가는 XDR에서 Secure Malware Analytics로, 다시 Splunk로 전환할 수 있었으며, Splunk에서 추가 텔레메트리 데이터를 통해 원본 호스트, 대상 서버, 타임스탬프 및 다운로드 활동을 파악할 수 있었습니다.
통합 조사를 통해 분석가는 수동으로 검색을 재구성하거나 데이터를 내보낼 필요 없이 제품 간에 원활하게 전환할 수 있습니다.
추가 조사를 통해 관련 리포지토리 활동이 확인되었고, 사건의 범위를 신속하게 파악할 수 있었습니다.
눈에 띈 것은 개별 도구가 아니었습니다.
바로 작업 흐름이었습니다.
분석가가 서로 연결되지 않은 시스템의 정보를 수동으로 조합해야 하는 번거로움 없이, 조사는 한 데이터 소스에서 다른 데이터 소스로 자연스럽게 이어졌습니다.
몇 년 전만 해도 이러한 증거를 수집하는 데 분석가의 조사 시간 대부분이 소요되었을 것입니다.
오늘날에는 작업 흐름 자체가 그 번거로운 작업의 상당 부분을 수행합니다.
분석가는 상황을 파악하고 적절한 대응 방안을 결정하는 데 집중할 수 있습니다.
실제 사례: 수백 건의 경보를 하나의 결론으로 도출
또 다른 조사 사례는 HTTP 인증 트래픽과 관련된 수많은 XDR 인시던트를 다루었습니다. 과거라면 분석가가 개별 경보를 검토하며 악성 활동인지 판단하는 데 몇 시간을 소비했을 수도 있습니다. 그러나 이번에는 분석가들이 XDR에서 Splunk로, 이어 Endace 패킷 캡처 데이터로, 마지막으로 Wireshark 분석으로 신속하게 전환하여 근본 원인을 파악할 수 있었습니다.
조사 결과, 해당 경보는 실제 공격이 아닌 구식 기본 인증(Basic Authentication) 시도로 인해 발생하고 있는 것으로 드러났습니다. 팀은 기본 트래픽을 검토하고 인증 데이터를 해독함으로써 해당 동작을 확인하고 적절한 대응 전략을 수립할 수 있었습니다.
더 중요한 점은, 이 결과가 단순히 인시던트를 종결하는 데 그치지 않고 탐지 파이프라인 자체를 개선했다는 것입니다.
제안된 조치는 이러한 잡음성 이벤트가 XDR로 유입되기 전에 필터링하여 향후 경보 피로를 줄이고 SOC 효율성을 높이는 것이었습니다.
이것이 바로 현대 보안 운영의 또 다른 특징입니다.
목표는 단순히 경보를 조사하는 데 그치지 않고, 시스템을 지속적으로 개선하는 데 있습니다.
이제 분석가는 몇 번의 클릭만으로 상위 수준의 인시던트에서 패킷 수준의 증거까지 심층적으로 분석하여, 조사 결과를 검증하고 탐지 능력을 향상시킬 수 있습니다.
AI는 이미 운영 현장에 깊이 자리잡았습니다
많은 사람들이 여전히 AI를 분석가 옆에 앉아 있는 챗봇으로 상상합니다.
하지만 현실은 훨씬 더 흥미롭습니다.
시스코 라이브 행사에서는 이미 작업 흐름 전반에 걸쳐 AI가 활용되고 있었습니다:
- XDR 내에서 자동으로 생성되는 인시던트 요약.
- 방대한 양의 텔레메트리 데이터 간 상관관계 분석.
- 보안 이벤트의 자동 보강.
- 통합 플랫폼 전반에 걸친 조사 전환.
- 보안 데이터 조회를 위한 자연어 인터페이스.
- Codex와 같은 도구를 활용한 AI 지원 코드 생성.
- 분석가의 반복적인 업무를 줄여주는 워크플로우 자동화.
분석가의 업무 경험은 점점 더, 잠도 자지 않고, 잊어버리지도 않으며, 인간 혼자서는 도저히 달성할 수 없는 규모로 정보를 처리할 수 있는 뛰어난 연구 조교와 함께 일하는 것과 비슷해지고 있습니다.
그렇다고 해서 전문성의 필요성이 사라지는 것은 아닙니다.
오히려 전문성은 더욱 가치 있게 될 것입니다.
분석가의 역할은 데이터 수집에서 의사 결정으로 전환됩니다.
미래의 SOC
앞으로를 내다보면, 미래의 SOC가 완전히 자율화될 것이라고는 생각하지 않습니다. 또한 분석가들이 대체될 것이라고도 생각하지 않습니다. 제가 확신하는 것은, AI를 효과적으로 활용하는 분석가들이 그렇지 않은 분석가들보다 훨씬 뛰어난 성과를 낼 것이라는 점입니다.
AI를 활용하는 팀과 그렇지 않은 팀 간의 격차는 이미 뚜렷해지고 있습니다.
시스코 라이브 2026에서는 앞으로 다가올 미래를 엿볼 수 있었습니다.
- 조사 속도가 빨라졌습니다.
- 상황 맥락을 파악하기가 더 쉬워졌습니다.
- 지식을 공유하기가 더 쉬워졌습니다.
- 분석가들은 자신만의 자동화 시스템을 구축할 수 있었습니다.
- AI는 몇 초 만에 인시던트를 요약해 주었습니다.
- 작업 흐름은 점점 더 기계 수준의 속도로 운영되었습니다.
그리고 분석가들은 도구와 씨름하는 데 드는 시간을 줄이고 문제 해결에 더 많은 시간을 할애했습니다.
이것이 아마도 가장 중요한 변화일 것입니다.
AI가 SOC를 변화시키는 이유는 분석가를 대체할 수 있기 때문이 아닙니다. AI가 SOC를 변화시키는 이유는, 분석가들이 불과 몇 년 전만 해도 불가능했던 규모와 속도, 효율성으로 업무를 수행할 수 있게 해주기 때문입니다.
현대적인 SOC는 더 이상 단순히 보안 제품들의 집합체가 아닙니다. 점점 더 복잡해지는 환경을 방어하기 위해 사람, 자동화, AI가 함께 협력하는 지능적이고 상호 연결된 시스템으로 진화하고 있습니다.
그리고 제가 시스코 라이브 2026에서 목격한 바에 따르면, 그 미래는 이미 도래했습니다.
라스베이거스 SOC 현장에서 함께한 엔지니어들의 블로그를 확인해 보세요:
- Building the Agentic SOC at Cisco Live Americas 2026
- Building an Agentic Tier-2 SOC Analyst at Cisco Live AMER 2026
- The Experience Dividend: How Better Digital Experience Protects Revenue, Trust, and Growth
- Cable to Cloud – A Product Engineer’s Journey Through the Cisco Live AMER 2026 SOC
- What Working the Cisco Live SOC Taught Me About AI, Detection, and Response
- Educate at Event Speed: Inside the Cisco Live SOC
- Elevating Expertise in the SOC
- SharpHound Recon Attack – How AI enhanced the threat hunt
- Endace: Using LLMs and Endace Full Packet Capture for Incident Response
- Endace: Never Underestimate Cisco Live!
- Endace: Supporting Encryption vs. Using Encryption: When the best laid plans go astray
Authors