[한전KDN] 생성형 AI 기반 에너지분야 공공 특화 차세대 보안관제 기술개발

한전KDN 생성형 AI 보안관제 – 사이버 공격 분석부터 취약점 보고서까지 자동화하다

“보안관제에서 가장 중요한 것은 공격을 많이 보는 것일까요, 아니면 중요한 공격을 빠르게 판단하는 것일까요?”

공공기관의 보안관제센터에는 매일 수많은 보안이벤트가 들어옵니다. 방화벽과 침입방지시스템, 서버와 각종 보안장비가 해킹 시도와 이상행위를 계속 기록하기 때문입니다.

이벤트가 발생했다고 해서 모두 실제 공격인 것은 아닙니다. 관제 담당자는 로그와 네트워크 정보, 공격 패턴을 확인해 실제 공격인지 오탐인지 판단해야 하고, 필요한 경우 해당 기관에 조치를 요청해야 합니다.

사이버 공격은 갈수록 빨라지고 복잡해지고 있습니다. 생성형 AI와 자동화 도구가 공격에도 활용되면서 공격 규모와 속도는 커지고, 사람만으로는 구분하기 어려운 정교한 공격도 등장하고 있어요.

한전KDN은 이 환경에서 보안관제의 역할을 ‘사람이 모든 이벤트를 직접 분석하는 구조’에서 ‘AI가 분석을 보조하고 사람이 최종 판단하는 구조’로 바꾸는 작업을 시작했습니다.

핵심은 생성형 AI를 단순 챗봇으로 사용하는 것이 아닙니다.

관제 담당자가 실제로 시간을 많이 쓰는 업무를 중심으로 AI를 연결해 분석·검색·보고 업무를 빠르게 처리하고, 담당자의 숙련도 차이까지 줄이는 것입니다.

Challenge – 공격은 많아지는데, 보안관제는 여전히 사람의 숙련도에 크게 의존했어요

공공분야의 보안관제는 여러 단계로 운영됩니다.

산하기관에서 발생한 보안이벤트를 단위관제와 부문관제센터가 수집·분석하고, 필요한 경우 국가 차원의 관제로 연결됩니다.

한전KDN은 보안관제 전문기업으로서 에너지·공공 분야의 보안이벤트를 분석하고 대응하는 역할을 수행하고 있습니다.

문제는 관제 업무가 사람의 경험과 전문성에 크게 의존한다는 점입니다.

같은 보안이벤트를 보더라도 숙련된 담당자는 공격 패턴과 로그 사이의 관계를 빠르게 파악할 수 있지만, 경험이 적은 담당자는 페이로드를 해석하거나 여러 로그의 인과관계를 확인하는 데 더 많은 시간이 필요합니다.

신규 공격 유형이 등장하면 난도는 더 높아집니다.

단순한 시그니처나 정해진 규칙만으로는 새로운 공격을 판단하기 어렵고, 공격기법과 관련 정보를 다시 찾아가며 분석해야 합니다.

보안관제 업무 자체도 계속 늘고 있습니다.

실시간 이벤트 분석뿐 아니라 취약점 점검, 기관별 보안현황 확인, 보고서 작성과 발송 등 추가적인 보안업무까지 수행해야 합니다.

결국 증가하는 보안이벤트와 업무를 제한된 인력으로 얼마나 빠르고 일관되게 처리할 것인가가 중요한 과제가 됐습니다.

Solution – 생성형 AI를 관제 담당자의 ‘분석 보조자’로 만들었어요

한전KDN은 생성형 AI를 실제 관제업무에 적용하기 위해 세 가지 파일럿 서비스를 개발했습니다.

모두 범용적인 질문·답변 서비스가 아니라 관제 현장에서 반복적으로 시간이 많이 걸리는 업무에 초점을 맞췄습니다.

또한 보안 데이터를 외부에 전송하기 어려운 업무 특성을 고려해 자체 GPU 서버를 활용한 온프레미스 AI 환경을 기반으로 설계했습니다.

① AI가 보안이벤트의 정탐·오탐 판단을 도와줘요

첫 번째는 AI 관제 지원 서비스입니다.

보안관제에서는 이벤트가 발생하면 실제 공격인지, 정상적인 활동이 잘못 탐지된 것인지 판단해야 합니다.

이 과정에서 담당자는 공격기법을 확인하고 IPS 페이로드를 해석하며, 여러 로그의 연관관계를 분석합니다.

AI 관제 지원 서비스에서는 담당자가 의심스러운 이벤트를 챗봇 형태로 질문할 수 있습니다.

생성형 AI는 이벤트 내용을 바탕으로

• 의심 이벤트로 판단한 근거

• IPS 페이로드 해석과 디코딩

• 관련 공격기법 요약

• 유사 이벤트 비교

• 정탐·오탐 판단을 위한 참고정보

등을 제공합니다.

AI가 최종적으로 공격 여부를 확정하는 것이 아니라, 담당자가 더 빠르고 일관되게 판단할 수 있도록 분석 근거를 정리해주는 방식입니다.

특히 경험이 적은 담당자는 공격기법을 처음부터 찾아보는 시간을 줄일 수 있고, 숙련된 담당자는 여러 정보 사이의 관계를 빠르게 확인할 수 있습니다.

② “최근 이런 공격을 찾아줘”라고 말하면 검색 쿼리를 만들어줘요

두 번째는 자연어 기반 로그검색 지원 서비스입니다.

보안관제에서는 수많은 로그 가운데 필요한 정보를 찾기 위해 검색 쿼리를 작성해야 합니다.

예를 들어 Splunk 환경에서는 SPL이라는 별도의 검색 언어를 사용합니다. 담당자가 원하는 조건을 정확한 쿼리로 만들어야 하기 때문에 검색 언어에 익숙하지 않은 직원에게는 진입장벽이 될 수 있어요.

기존 대시보드는 미리 만들어놓은 조회 조건에서는 편리하지만, 새로운 분석이 필요한 순간에는 한계가 있습니다.

생성형 AI를 적용하면 담당자가 자연어로 원하는 검색 내용을 입력할 수 있습니다.

예를 들어 특정 기간의 이벤트나 IP, 공격유형을 말하면 AI가 이를 SPL 쿼리로 변환하고 검색 결과까지 요약해줍니다.

이를 통해 자연어 질문 → 검색 쿼리 생성 → 보안로그 검색 → 결과 요약

이 하나의 흐름으로 연결됩니다.

쿼리 작성 능력이 관제업무의 장벽이 되는 것을 줄이고, 필요한 로그에 더 빠르게 접근할 수 있게 한 것입니다.

③ 390여 개 사이트의 취약점 보고서도 AI가 정리해요

세 번째는 회원기관 웹서버 보안 취약점 보고서 자동 생성 서비스입니다.

한전KDN이 관리하는 대국민 서비스는 약 390개 사이트에 이릅니다.

기존에는 웹서버의 Open Port나 CVE 코드 등을 확인한 뒤 기관별 결과를 정리하고, 각각 메일로 전달하는 작업이 필요했습니다.

단순히 취약점 목록만 전달하면 해당 기관이 실제로 무엇을 해야 하는지 이해하기 어려울 수도 있습니다.

AI 기반 서비스는 기관의 공인 IP 대역을 바탕으로 취약점 정보를 분석한 뒤 CVE, NVD와 외부 위협정보를 종합합니다.

이후 취약점의 세부내용과 대응방안을 포함한 표준화된 형태의 보안 보고서를 자동으로 생성합니다.

단순한 취약점 리스트가 “어떤 취약점이 있고 → 어떤 위험이 있으며 → 어떻게 대응해야 하는지” 까지 정리된 보고서로 바뀌는 것입니다.

보고서 생성뿐 아니라 기관별 취합과 공유까지 자동화해 반복적인 행정업무도 크게 줄였습니다.

Benefit – 2시간 걸리던 취약점 보고서 업무를 5분으로 줄였어요

세 가지 파일럿 서비스는 실제 관제업무에서 시간 단축 효과를 확인했습니다.

AI 관제 지원

이벤트의 정탐 여부를 판단하는 데 걸리는 시간은 60분 → 20분으로 줄었습니다. 기존 시간의 약 3분의 1 수준입니다.

2개월간 관제근무자가 직접 사용하며 측정한 결과로, 이벤트 분석에 필요한 정보 탐색과 판단 보조 과정이 줄어든 효과입니다.

자연어 기반 로그검색

SPL 쿼리를 작성하는 데 걸리는 시간은 30분 → 5분으로 단축됐습니다. 기존 대비 약 6분의 1입니다.

검색 언어를 직접 작성하는 대신 자연어로 질문하고 AI가 검색 쿼리를 생성하면서 분석에 필요한 로그에 더 빠르게 접근할 수 있게 됐습니다.

취약점 보고서 자동 생성

31개 공기업을 대상으로 취약점 결과를 취합하고 발송하는 작업은 120분 → 5분으로 줄었습니다. 기존 대비 약 24분의 1 수준입니다.

세 가지 서비스 가운데 가장 큰 업무시간 절감 효과가 확인된 영역입니다.

AI가 줄인 것은 업무시간뿐만이 아니에요

이번 사례에서 중요한 변화는 단순히 ‘몇 분을 줄였다’는 데 그치지 않습니다.

보안관제는 담당자의 숙련도 차이가 결과에 영향을 줄 수 있는 업무입니다.

AI가 분석 근거와 공격정보를 함께 제공하면 신규 담당자도 필요한 정보를 빠르게 찾을 수 있고, 숙련자 역시 반복적인 조사 작업을 줄일 수 있습니다.

보안관제의 품질을 개인의 경험에만 맡기는 대신 AI를 통해 분석 절차와 판단근거를 보다 표준화하는 기반이 만들어지는 것입니다.

취약점 보고서 자동화는 개별 담당자의 효율을 넘어 기관 전체의 보안 수준을 높이는 데도 활용할 수 있습니다.

31개 공기업이 동일한 형식으로 취약점과 대응방안을 제공받으면 기관별 보안 대응 격차를 줄이고, 취약점 조치도 더 체계적으로 관리할 수 있습니다.

확장 가능성 – 보안관제 Copilot에서 자율형 SOC로

현재 생성형 AI는 관제 담당자의 분석을 지원하는 역할에 가깝습니다.

앞으로는 AI가 관제 업무의 더 많은 단계를 연결하는 방향으로 발전할 수 있습니다.

기존에는 보안이벤트를 사람이 확인하고 분석한 뒤 SOAR(Security Orchestration, Automation and Response)를 이용해 대응 프로세스를 수행했습니다.

향후에는 AI Agent가 보안이벤트 분석, 외부 위협정보 확인, 탐지규칙 생성, 대응 플레이북 생성, 결과 분석 등을 연결하는 구조로 확장됩니다.

보안 빅데이터 플랫폼과 AI Agent, SOAR를 연결해 사람이 반복적으로 지시하지 않아도 AI가 분석과 대응 절차를 이어가는 Agentic AI 기반 보안관제로 발전시키는 것이 장기 방향입니다.

이 과정에서 KISA C-TAS, CVE·CWE, NVD, MITRE ATT&CK 등 외부 위협·취약점 정보와 내부 보안데이터를 함께 활용해 AI가 참고할 수 있는 보안정보의 범위도 확대됩니다.

다만 사이버보안은 잘못된 판단이 곧 실제 보안사고로 이어질 수 있는 영역입니다.

따라서 생성형 AI가 모든 판단을 대신하기보다, 충분한 검증을 거쳐 분석·추천·자동화 범위를 단계적으로 넓히는 것이 중요합니다.

마무리 – 보안관제의 경쟁력은 ‘더 많은 사람’보다 ‘더 빠른 판단’으로 이동하고 있어요

사이버 공격의 규모와 속도가 계속 커지면 사람이 모든 이벤트를 직접 확인하는 방식만으로는 대응하기 어렵습니다.

그렇다고 보안관제를 AI에 전부 맡길 수도 없습니다. 한전KDN은 그 사이에서 생성형 AI의 역할을 명확하게 설정했습니다.

AI가 공격정보를 찾아주고, 복잡한 로그를 검색할 쿼리를 만들어주고, 취약점과 대응방법을 보고서로 정리하면, 사람은 그 결과를 검토하고 실제 대응이 필요한 상황에 집중합니다.

사람의 판단을 없애는 AI가 아니라, 사람이 더 빠르고 일관되게 판단할 수 있도록 만드는 AI.

이것이 생성형 AI 기반 차세대 보안관제가 만드는 가장 큰 변화입니다.