시그니처
백신- 판단 근거
- 본 적 있는 악성코드와 같은가
- AI의 무력화 방법
- 변종을 대량 생산한다
- 변종 10,000개일 때
- 학습되지 않은 것은 전부 통과
AI 공격 대응 · CONTENT SECURITY
탐지를 회피하는 AI,
탐지를 회피하는 AI,
회피할 탐지가 없는 방어
AI는 알려지지 않은 문서 취약점을 스스로 찾아내고, 탐지를 우회하는 변종을 대량으로 만듭니다. 시큐레터는 악성 여부를 판정하지 않습니다. 어셈블리 레벨에서 구조를 해체해 취약점의 원인을 제거하고 다시 조립합니다. 변종이 1개든 10만 개든 결과는 같습니다.
- 판정하지 않는다실행도 시그니처 대조도 하지 않는다
- 구조를 해체한다취약점을 유발하는 요소를 제거한다
- 다시 조립한다표·서식·글꼴은 원본 그대로
HOW · AI 공격의 3가지 수법 AI 공격이 무너뜨리는 것은
AI 공격이 무너뜨리는 것은
방어벽이 아니라 전제입니다
AI 공격이라고 하면 흔히 속도를 떠올립니다. 실제 문제는 변종의 개수입니다. 사람이 만들던 몇 개가 수만 개가 되면, 방어의 전제 자체가 흔들립니다.
- 01 자가 발견
취약점을 스스로 찾는다
사람이 문서 포맷을 뜯어보며 찾던 취약점을, 이제 AI가 자동으로 탐색합니다. 아직 알려지지 않은 문서·콘텐츠 취약점이 공격자 손에 먼저 들어갈 수 있습니다.
- 02 탐지 회피
탐지되지 않도록 변형한다
기존 취약점을 그대로 쓰지 않고, 탐지 규칙에 걸리지 않도록 구조를 바꿉니다. 같은 공격이지만 보안 장비 눈에는 처음 보는 파일이 됩니다.
- 03 대량 생성
그것을 자동으로 대량 생산한다
사람이 몇 개 만들던 변종이 수만 개가 됩니다. AI 공격의 본질은 속도가 아니라 이 개수입니다 — 방어가 감당해야 할 경우의 수가 폭증합니다.
“본 적 있어야 잡는” 방어는 여기서 무너집니다
WHY · 공통 전제의 해부 시그니처도 행위 기반도,
시그니처도 행위 기반도,
결국 “판정”에 의존합니다
시그니처 방어는 본 적 있는 악성코드와 같은지를 봅니다. 행위 기반 방어는 실행했을 때 나쁜 짓을 하는지를 봅니다. 접근은 달라도 전제는 하나입니다 — 맞혀야 막는다. AI가 신규 샘플과 회피 로직을 자동으로 찍어내면 이 전제가 깨집니다.
AI가 변종 10,000개를 만들었을 때
행위 기반
샌드박스 · APT- 판단 근거
- 실행했을 때 나쁜 짓을 하는가
- AI의 무력화 방법
- 실행 조건을 지연시키고 분석 환경을 감지해 얌전히 행동한다
- 변종 10,000개일 때
- 회피 로직 하나면 전부 통과
시큐레터
구조 진단 + CDR- 판단 근거
- 파일 구조에 취약점을 유발하는 요소가 있는가
- AI의 무력화 방법
- 실행도 판정도 거치지 않으므로 회피 대상이 없다
- 변종 10,000개일 때
- 개수와 무관하게 동일
시큐레터는 판정 게임을 하지 않습니다. 회피할 탐지가 없으면 회피 기술도 무력합니다.
WHERE · 그런데 문은 늘어나지 않았다 AI가 얼마나 똑똑해지든,
AI가 얼마나 똑똑해지든,
조직에 들어오는 문은 그대로입니다
여전히 이메일 첨부파일과 웹 게시판 업로드, 그리고 망간 자료전송입니다. 전부를 막는 것은 어렵습니다. 그런데 순서는 있습니다 — 가장 많이 들어오는 문부터 막습니다.
솔루션 오버뷰 · 어디에 적용하나
콘텐츠가 조직에 들어오는 모든 경로를 보호합니다
두 개의 큰 경로 — 파일과 이메일 — 에 같은 MARS 엔진을 장착한다. 필요에 따라 모듈을 얹는다.
PATH 01 · FILE
파일 경로
망간 자료전송 · 문서중앙화 서버 · 웹 게시판 업로드 · 금융/공공 내부망 · 정부·군 보안망 · 제조/에너지 OT · 보안 개발망.
SLF
파일 보안 GW
+SLCDR
무해화 모듈
+ConTI
위협 인텔
- 처리량
- 하루 49,000 ~ 315,000건 (HW 사양별)
- 대표 운영
- 국민건강보험공단 · 대신증권
- 배포
- Appliance (On-Prem)
PATH 02 · EMAIL
이메일 경로
메일 서버 앞단 인라인 배치(On-Prem) 또는 M365 · Google Workspace API 연동(Cloud). 수신 전에 첨부 · 링크를 동시에 분석.
SLE
On-Prem 메일 GW
DISARM
Cloud API
+ConTI
위협 인텔
- 처리량
- 하루 160,000 ~ 912,000건
- 대표 운영
- LIG 넥스원 · 한국투자증권
- 배포
- Appliance · 수 분 내 Cloud 배포
+ 옵션 조합 — 모든 경로에 CDR 무해화(SLCDR) · 위협 인텔리전스(ConTI) 추가 가능. 단일 카테고리로 나눠 판매하지 않고 경로 위에 얹는 방식.
SLCDR ConTI
How It Works · 두 기법의 조합
리버스엔지니어링 분석 + CDR 무해화
MARS 엔진은 분석 기법이고 SLCDR은 무해화 기법이다. 두 가지를 모두 보유한 회사는 국내에 없다.
선행 · 기존 보안의 3한계
샌드박스는 행위가 있어야 판단한다. 행위가 없는 공격은 원리적으로 탐지 불가.
01
리버스엔지니어링 분석 MARS ENGINE
파일을 실행하지 않고 바이너리 수준에서 구조 분해. 알려진 패턴이 없어도 구조 이상을 본다.
02
위협 식별
매크로 · 스크립트 · OLE · 악성 링크 · 외부 템플릿 호출 등 위험 요소를 식별.
03
CDR 무해화 SLCDR
위험 요소 제거 후 원본 레이아웃 · 코멘트 · 하이퍼링크 스키마까지 보존하며 재조립.
04
안전한 전달
검증된 깨끗한 파일을 최종 수신자에게 전달. 수신자 경험은 원본과 동일.
샌드박스가 CCTV로 행동을 지켜보는 것이라면,
MARS는 지문과 DNA로 판별하는 것이다.
인증 · 수상 · 조달
인증 상세 보기 → 품의서에 그대로 붙일 수 있는 근거 세트
KISA 100%
APT 탐지율
TTA GS 1등급
12.027s · 20만건
CC 인증
EAL 보증 등급
조달 등록
나라장터 · 공공
Gartner
Email Sec · KR 유일
ISO 27001
정보보호 경영
CDR 특허
국내 최다
EVIDENCE · 실제로 있었던 일 판정 기반이 놓친 것을,
판정 기반이 놓친 것을,
구조 진단이 잡았습니다
기존 샌드박스를 통과한 HWP 드로퍼 4종이 시큐레터에서 차단됐습니다. 동 기관은 이후 문서 경로 사고 0건입니다.
샌드박스는 실행했을 때 나쁜 짓을 하는지로 판단합니다. 그 판단을 통과하도록 만들어진 파일은 그대로 지나갑니다. 구조 진단은 실행하지 않고 파일 안에 무엇이 들어 있는지를 봅니다 — 그래서 통과한 뒤에 걸렸습니다. AI가 이런 회피형 변종을 자동으로 대량 생산하는 국면에서, 이 차이가 그대로 결과가 됩니다.