AI스페라 크리미널 IP, 오픈CTI와 공식 연동…위협 지표 분석 자동화

• AI스페라의 크리미널 IP가 오픈CTI(OpenCTI)와 공식 연동됨

  • 크리미널 IP는 사이버 위협 인텔리전스(CTI) 솔루션임
  • 오픈CTI는 위협 인텔리전스와 관측 지표를 구조화하고 저장하고 시각화하는 오픈소스 플랫폼임
  • 이번 연동을 위해 만든 크리미널 IP 커넥터가 오픈CTI 커넥터 허브에 공식 등재됨

• 보안팀 입장에선 여러 서비스를 왔다 갔다 하는 일이 줄어드는 게 핵심임

  • 기존에는 분석가가 IP, 도메인, URL을 여러 서비스에서 각각 조회해야 했음
  • 평판, 취약점, 공격 인프라 연관성을 따로 비교하는 식이라 반복 작업이 많았음
  • 이제 오픈CTI에 수집된 위협 지표에 크리미널 IP의 분석 정보가 자동으로 붙음

• 자동 보강되는 정보 범위가 꽤 넓음

  • IP에는 평판 점수, 인터넷 인프라 정보, 취약점, 피싱 분석 결과 등이 추가됨
  • 공개 취약점(CVE) 정보도 연계돼 특정 IP가 실제 공격에 악용될 만한 취약점을 갖고 있는지 확인할 수 있음
  • 자율시스템번호(ASN), 국가, 지역 정보도 관계 정보로 저장돼 피벗 분석에 활용 가능함

• 도메인과 URL 분석도 보강됨

  • 피싱 여부를 자동 분석함
  • 자격증명 탈취 페이지인지, 악성 파일과 연결되는지, 브랜드 사칭 기법이 쓰였는지도 확인함
  • VPN, 프록시, 토르(TOR) 같은 익명화 기술 사용 여부도 함께 제공함

• 주 사용자는 보안운영센터, 침해사고대응팀, 정부기관, 기업 보안팀임

  • 오픈CTI를 이미 쓰는 조직이라면 기존 업무 환경 안에서 크리미널 IP 데이터를 바로 활용할 수 있음
  • 별도 포털을 열어 검색하는 대신 CTI 워크플로우 안에서 위협 정보를 보강하는 방식임

• AI스페라는 이번 연동의 의미를 개별 지표를 실제 대응 가능한 인텔리전스로 바꾸는 데 둠

  • 강병탁 대표는 공격의 맥락까지 제공한다는 점을 강조함
  • 분석가들이 반복 조회보다 실제 위협 분석과 대응에 집중할 수 있을 것으로 기대한다고 밝힘

---

기술 맥락

• 이 연동의 선택은 보안 데이터를 한곳에 몰아넣자는 것보다, 분석가가 이미 쓰는 CTI 흐름 안에서 맥락을 자동으로 붙이자는 데 가까워요. 위협 지표는 IP 하나만 봐서는 의미가 약하고, 평판, 취약점, 인프라 관계가 붙어야 대응 우선순위를 세울 수 있거든요.

• OpenCTI가 중요한 이유는 여러 출처의 위협 정보를 관계형으로 관리할 수 있기 때문이에요. IP, 도메인, URL, 취약점, 공격 인프라를 따로 보는 게 아니라 서로 연결된 객체로 보면 피벗 분석이 훨씬 빨라져요.

• CVE와 ASN을 같이 붙이는 것도 실무적으로 의미가 있어요. 특정 IP가 단순히 수상한지뿐 아니라 어떤 취약점을 노출하고 있는지, 어떤 네트워크 사업자나 지역과 연결되는지 보면 차단, 모니터링, 추가 조사 우선순위를 더 빨리 정할 수 있어요.

• 결국 이건 분석가의 반복 조회 시간을 줄이기 위한 자동화예요. 여러 보안 서비스 화면을 옮겨 다니며 같은 지표를 검색하는 시간이 줄어들면, 남는 시간을 실제 공격 시나리오를 해석하고 대응하는 데 쓸 수 있거든요.