흩어진 경보를 사건 하나로 묶고
판정 근거를 남깁니다
Vulnerability Scanner와 Behavioral Analyzer 결과, 쓰고 있는 SIEM·EDR 경보, STIX/TAXII로 받은 위협 정보를 받아 호스트와 계정, 시간 창을 기준으로 같은 공격에서 나온 신호를 사건 하나로 묶습니다. 판정에는 본 증거와 ATT&CK 기법 ID, 신뢰도, 판정과 어긋나는 증거가 같이 남습니다. 격리 같은 조치는 분석가가 승인했거나 미리 정한 정책에 맞을 때만 실행됩니다.
2027 정식 출시 목표Genox 플랫폼으로 운영하는 서비스입니다. 지금은 PoC와 얼리 액세스 상담을 받고 있습니다. 얼리 액세스 안내
판정마다 근거를
순서대로 보여 드립니다
증거에서 근거, 판정, 권고 조치까지 한 화면에 차례로 놓입니다.
단계마다 원본 로그로 바로 들어갈 수 있어서, 분석가가 AI의 판단 과정을 한 줄씩 따라가며 확인할 수 있습니다.
- 증거마다 원본 로그 링크
- ATT&CK 기법 ID와 OWASP LLM Top 10 항목 매핑
- 판정과 어긋나는 증거도 빼지 않고 표시
- 증거샌드박스: 섀도 복사본 삭제 + 대량 암호화
- 증거Scanner: 같은 호스트에 미조치 RCE 취약점
- 근거T1490 + T1486 조합 → 랜섬웨어 실행 단계
- 판정CRITICAL · 신뢰도 0.97
- 권고호스트 격리 (분석가 승인 대기)
같은 공격에서 나온 경보를
한 사건으로 묶습니다
같은 호스트, 같은 계정, 가까운 시간대에 걸리는 경보를 모아 사건 타임라인을 만듭니다. 분석가는 경보 수백 건을 하나씩 여는 대신 사건 단위로 봅니다. 묶는 기준이 너무 넓으면 상관없는 경보가 섞이기 때문에 시간 창과 연결 규칙은 고객 환경에 맞춰 조정합니다.
- 자산·계정 관계 그래프로 확산 경로 표시
- 영향 받은 호스트와 계정 목록 자동 작성
- 담당자와 처리 이력은 ServiceNow·Jira 티켓과 동기화
T1566.00109:12
T120409:14
T149009:14
T102109:15
지난 판정을
그대로 다시 돌려 볼 수 있습니다
판정에 쓴 입력 데이터와 모델 버전, 정책 버전을 같이 저장해 둡니다.
감사나 사후 검토 때 같은 조건으로 다시 돌리고, 원래 판정과 같은지 해시로 확인합니다.
- 재현 해시로 판정 기록이 바뀌었는지 확인
- 모델·정책 버전 변경 이력
- 감사 로그는 전자서명해 보관
원본 2026-11-07 09:159f3a…c21e
재실행 2026-11-07 10:029f3a…c21e
감사 로그 서명 완료✓
핵심 기능
교차 상관분석
스캔 결과와 행위 탐지를 같은 호스트 기준으로 연결
근거 체인
증거·근거·판정·권고가 한 기록으로 남습니다
공격 기법 매핑
MITRE ATT&CK 기법 ID, OWASP LLM Top 10
정책 기반 대응
Cortex XSOAR 같은 SOAR나 EDR API로 승인된 조치만 실행
재현 검증
판정을 다시 돌려 해시 비교
SIEM 연동
Splunk, Sentinel 등 쓰던 SIEM에 판정 결과를 돌려보냄
동작 방식
수신
엔진 결과, SIEM·EDR 경보(API·Syslog), STIX/TAXII 피드
연결
호스트·계정·시간 창 기준으로 신호 연결
추론
ATT&CK 기법 매핑과 근거 체인 작성
판정
위험도와 신뢰도 계산
대응
분석가 승인 또는 사전 정책에 맞는 조치 실행
연동할 수 있는 도구 (API · Syslog)
배포 옵션
| 방식 | 설명 | 추천 |
|---|---|---|
| 온프레미스 · 폐쇄망 | 고객 데이터센터에 설치합니다. 탐지 규칙과 모델 업데이트도 오프라인 패키지로 반입해서 외부 연결 없이 돌아갑니다. | 금융 · 공공 · 국방 |
| 전용 클라우드 | 국내 리전에 고객 한 곳만 쓰는 환경을 따로 만듭니다. 다른 고객과 노드를 같이 쓰지 않습니다. | 엔터프라이즈 · 의료 |
| 매니지드 | 설치와 운영은 Genox 관제센터가 맡고, 고객은 판정 확인과 조치 승인만 하시면 됩니다 (MDR). | 중견 · 중소기업 |
| MSSP 파트너 | 보안관제 기업이 고객사마다 테넌트를 나눠 직접 운영합니다. | 보안 전문기업 |
자주 묻는 질문
AI 판정이 맞는지 어떻게 확인하나요?
판정마다 근거와 재현 해시가 남아서 분석가가 직접 검증할 수 있습니다. 분석가가 오탐이나 미탐으로 표시한 건은 월간 리포트로 모아 드리고, 연결 규칙을 고칠 때 근거로 씁니다.
지금 쓰는 SIEM을 바꿔야 하나요?
바꾸지 않으셔도 됩니다. 기존 SIEM에서 API나 Syslog로 경보를 받아 분석하고, 판정 결과를 SIEM과 티켓 시스템으로 다시 보냅니다. SIEM에 걸어 둔 탐지 규칙은 그대로 두시면 됩니다.
