SOAR
더 많은 작업
SOAR(Security Orchestration, Automation and Response, 보안 오케스트레이션·자동화·대응)는 여러 보안 솔루션과 운영 절차를 연계하고, 반복적인 위협 분석 및 침해사고 대응 업무를 자동화하여 보안 관제의 효율성과 대응 속도를 높이는 보안 운영 기술 및 플랫폼이다.
SOAR는 보안관제센터(SOC, Security Operations Center)에서 발생하는 대량의 보안 경보를 효율적으로 처리하고, 서로 다른 보안 솔루션의 기능을 통합하여 일관된 대응 절차를 실행하기 위해 도입되었다.
기존 보안관제에서는 SIEM, EDR, 방화벽, 침입 탐지 시스템 등에서 발생한 경보를 분석가가 개별적으로 확인하고, 추가 정보를 조사한 뒤 필요한 대응 조치를 수동으로 수행하는 경우가 많았다.
SOAR는 이러한 업무를 사전에 정의한 플레이북(Playbook)에 따라 자동화하고, 여러 보안 솔루션을 하나의 대응 프로세스로 연결한다.[1]
주요 도입 목적은 다음과 같다.
- 업무 자동화: 반복적인 보안 이벤트 확인, 정보 조회, 티켓 생성, 보고 등의 업무 자동화
- 대응 시간 단축: 위협 탐지 이후 조사와 대응에 소요되는 시간 감소
- 대응 절차 표준화: 관제 담당자에 따른 대응 방식의 차이를 줄이고 일관된 절차 적용
- 솔루션 연계: 서로 다른 제조사의 보안 솔루션과 IT 시스템을 통합하여 운영
- 경보 피로 감소: 대량의 경보를 자동 분류하고 분석가가 중요한 사고에 집중하도록 지원
- 대응 이력 관리: 사고 조사, 조치 실행, 승인 및 처리 결과를 기록하여 사후 분석과 감사에 활용
SOAR는 독립적인 보안 탐지 기술이라기보다는 기존 보안 솔루션의 탐지 결과를 활용하고 대응 절차를 통합하는 역할에 중점을 둔다. 따라서 SIEM이나 EDR 등을 대체하기보다는 이들과 연계하여 운영하는 경우가 많다.
SOAR는 오케스트레이션(Orchestration), 자동화(Automation), 대응(Response)의 세 가지 핵심 기능으로 구분할 수 있다.[2]
Security Orchestration
여러 보안 솔루션과 시스템을 연계하여 하나의 통합된 보안 운영 프로세스를 구성하는 기능이다.
- SIEM, EDR, XDR, 방화벽, 위협 인텔리전스 플랫폼 등 연계
- API, 커넥터, 플러그인 등을 통한 이기종 솔루션 간 정보 교환
- 보안 이벤트와 관련된 로그, 자산 정보, 위협정보 통합
- 탐지 솔루션과 실제 대응 조치를 수행하는 솔루션 간 업무 연결
예를 들어 EDR에서 악성코드를 탐지하면 SOAR가 관련 로그와 위협정보를 조회하고, 분석 결과에 따라 방화벽이나 EDR의 대응 기능을 호출하도록 구성할 수 있다.
Security Automation
사전에 정의한 조건과 절차에 따라 반복적인 보안 업무를 자동으로 수행하는 기능이다.
- IP 주소, 도메인, 파일 해시 등의 위협정보 조회
- 보안 경보 분류 및 우선순위 결정
- 관련 로그와 자산 정보 수집
- 악성 여부 판단을 위한 외부 서비스 조회
- 사고 티켓 생성 및 담당자 배정
- 대응 결과 기록 및 보고서 작성
- 정책에 따른 차단·격리 등의 대응 명령 실행
자동화는 단일 업무뿐 아니라 여러 작업을 순차적 또는 조건부로 실행하는 형태로 구현할 수 있다.
Security Incident Response
탐지된 위협에 대해 조사, 판단, 조치, 보고 및 종료까지의 대응 절차를 관리한다.
- 보안사고 접수 및 분류
- 위협 수준과 영향 범위 평가
- 대응 담당자 지정 및 승인 요청
- 악성 IP 차단, 계정 잠금, 단말 격리 등 대응 조치
- 대응 결과 검증 및 추가 조치
- 사고 처리 이력과 증적 관리
모든 조치를 반드시 자동으로 실행하는 것은 아니다. 서비스 중단이나 업무 영향이 발생할 수 있는 조치는 담당자 승인을 거쳐 실행하도록 구성할 수 있다.
SOAR는 역사적으로 SOA, SIRP, TIP의 세 가지 기술 영역이 통합되면서 발전한 개념이다.
| 기술 | 영문명 | 주요 기능 |
|---|---|---|
| SOA | Security Orchestration and Automation |
|
| SIRP | Security Incident Response Platform |
|
| TIP | Threat Intelligence Platform |
|
이러한 구분은 초기 SOAR 기술의 발전 배경을 설명하는 데 유용하지만, 현대 SOAR 제품이 반드시 세 가지 기능을 각각 독립된 모듈로 제공하는 것은 아니다. 특히 TIP는 SOAR와 별도의 제품으로 운영하면서 연계할 수도 있다.[1]
플레이북(Playbook)은 특정 보안 이벤트나 침해사고에 대응하기 위해 실행할 작업, 조건, 순서, 승인 절차 등을 정의한 자동화 워크플로이다.
SOAR의 핵심 구성요소로, 기존 보안관제 조직에서 운영하던 표준 대응 절차를 시스템에서 실행할 수 있는 형태로 구현한 것이다.
플레이북은 조건 분기, 반복 실행, 외부 시스템 호출, 분석가 승인, 오류 처리 등의 기능을 포함할 수 있다.[3]
| 구성요소 | 설명 |
|---|---|
| 트리거(Trigger) | 플레이북을 실행하는 조건. 경보 발생, 사고 등록, 사용자 요청 등이 해당 |
| 액션(Action) | 로그 조회, 위협정보 검색, 차단 명령 등 실제 수행할 작업 |
| 조건(Condition) | 이벤트 유형, 위험도, 분석 결과 등에 따른 작업 분기 |
| 승인(Approval) | 자동 조치 전 담당자 또는 관리자의 승인 요청 |
| 예외 처리(Exception Handling) | 작업 실패, 응답 지연, 연동 오류 등이 발생했을 때 수행할 절차 |
| 기록(Logging) | 작업 실행 과정, 입력값, 처리 결과 및 오류 이력 기록 |
플레이북은 자동화 수준에 따라 다음과 같이 운영할 수 있다.
- 수동 실행: 분석가가 필요할 때 플레이북을 선택하여 실행
- 반자동 실행: 정보 수집과 초기 분석은 자동으로 수행하고 중요한 조치는 승인 후 실행
- 완전 자동 실행: 사전에 정의한 조건을 만족하면 분석부터 대응까지 자동으로 수행
Microsoft Sentinel은 자동화 규칙과 Azure Logic Apps 기반 플레이북을 통해 이러한 기능을 제공한다. 플레이북은 보안사고, 경보 또는 특정 개체를 대상으로 자동 또는 수동 실행할 수 있다.[3]
일반적인 SOAR 기반 보안사고 대응 프로세스는 다음과 같다.
- 이벤트 수신: SIEM, EDR 등에서 발생한 경보 수신
- 초기 분류: 이벤트 유형, 위험도, 중복 여부, 관련 자산 확인
- 정보 보강(Enrichment): 위협 인텔리전스, 자산 정보, 추가 로그 등을 조회하여 분석에 필요한 정보 확보
- 위협 분석: 수집된 정보와 사전에 정의한 규칙에 따라 위협 수준 및 대응 필요성 판단
- 대응 결정: 자동 대응 여부 판단 또는 분석가 승인 요청
- 대응 실행: 관련 보안 솔루션을 호출하여 차단, 격리, 계정 제어 등의 조치 수행
- 결과 확인: 명령 실행 결과와 위협 지속 여부 확인
- 종료 및 보고: 처리 결과 기록, 티켓 종료, 사고 보고서 작성
실제 프로세스는 조직의 보안 정책, 사고 유형 및 연계 솔루션에 따라 달라진다.
- SIEM 또는 네트워크 보안장비에서 의심스러운 IP 주소 탐지
- SOAR가 해당 IP의 위협 인텔리전스 및 관련 접속 기록 조회
- 위험도와 오탐 가능성 평가
- 차단 기준 충족 시 방화벽에 차단 정책 적용
- 처리 결과 기록 및 담당자 통보
정상적인 외부 서비스나 공유 IP가 잘못 차단될 수 있으므로 신뢰 목록, 위험도 기준 및 예외 처리 절차가 필요하다.
- 사용자 신고 또는 메일 보안 솔루션에서 의심 메일 탐지
- 발신자, URL, 첨부파일 해시 등 추출
- 위협 인텔리전스 및 악성 URL 검사 결과 조회
- 동일한 메일을 수신한 다른 사용자 검색
- 악성으로 확인되면 정책에 따라 메일 격리 또는 삭제
- 관련 계정 및 단말에 대한 추가 조사 수행
이러한 시나리오는 여러 솔루션을 순차적으로 조회하고 조치해야 하므로 SOAR 자동화에 적합한 대표적인 사례다.[1]
- EDR에서 악성코드 실행 또는 의심 행위 탐지
- 단말 정보와 프로세스, 파일 해시, 관련 이벤트 수집
- 동일한 악성 파일이나 행위가 다른 단말에서도 발생했는지 확인
- 위험도에 따라 단말 네트워크 격리 또는 분석가 승인 요청
- 악성 파일 제거 및 후속 조사 수행
- 조치 결과 기록
- 비정상적인 로그인 또는 계정 탈취 의심 경보 발생
- 로그인 위치, 접속 IP, 인증 실패 기록, 최근 계정 활동 분석
- 위협 수준에 따라 관리자 승인 요청 또는 계정 보호 조치 실행
- 필요한 경우 세션 무효화, 계정 잠금, 비밀번호 재설정 등의 작업 수행
- 담당자 통보 및 후속 조사
| 기술 | 주요 역할 | SOAR와의 관계 |
|---|---|---|
| ESM | 여러 보안장비에서 발생하는 이벤트의 통합 관리 | 기존 통합보안관리 체계와 연계하여 대응 업무 자동화 |
| SIEM | 로그 수집, 상관분석, 위협 탐지 및 경보 생성 | SIEM의 탐지 결과를 활용하여 조사와 대응 절차 실행 |
| EDR | 엔드포인트의 위협 탐지, 조사 및 대응 | EDR 경보를 수신하거나 단말 격리 등의 대응 기능 호출 |
| XDR | 엔드포인트·네트워크·클라우드 등 여러 보안 영역의 탐지·조사·대응 통합 | XDR과 연계하여 다른 시스템까지 대응 범위를 확장하거나 업무 절차 자동화 |
| 위협 인텔리전스 플랫폼(TIP) | 위협정보의 수집, 분석 및 공유 | 탐지된 이벤트의 위험도 판단을 위한 정보 제공 |
| SOAR | 여러 도구와 인력을 연결하여 조사·대응 프로세스 자동화 | 보안 운영 절차의 통합 및 실행 |
일반적으로 SIEM이 로그를 수집·분석하고 위협을 탐지하는 역할에 중점을 둔다면, SOAR는 탐지 이후 필요한 조사와 대응 작업을 체계적으로 실행하는 역할에 중점을 둔다.
다만 최근 SIEM과 XDR에도 자동화 및 대응 기능이 내장되면서 제품 간 기능이 일부 중복되고 있다. Microsoft Sentinel처럼 SIEM과 SOAR 기능을 함께 제공하는 제품도 있다.[4]
SOAR는 자동화할 업무가 명확하고 연계 시스템이 충분히 확보되어 있을 때 효과적으로 활용할 수 있다. 단순히 SOAR 제품을 도입하는 것만으로 모든 보안관제 업무가 자동화되는 것은 아니다.
- 자동화 대상 선정: 발생 빈도가 높고 처리 절차가 명확하며 오탐에 따른 영향이 작은 업무부터 적용하는 것이 적절하다.
- 연동 가능성: 기존 보안 솔루션의 API, 커넥터, 지원 명령 및 연동 범위를 확인해야 한다.
- 오탐 대응: 잘못된 탐지로 정상 IP를 차단하거나 업무용 단말을 격리하지 않도록 예외 처리와 승인 절차가 필요하다.
- 권한 관리: 자동화 계정에 과도한 권한을 부여하지 않고 필요한 작업에 한정하여 접근 권한을 관리해야 한다.
- 플레이북 유지관리: 보안 정책이나 시스템 환경이 변경되면 플레이북도 수정·검증해야 한다.
- 실행 이력 관리: 자동화 실행 과정과 담당자의 승인·수정 내역을 기록하여 감사와 사후 분석에 활용해야 한다.
- 장애 및 실패 처리: 연계 시스템의 응답 지연, API 오류, 인증 실패 등에 대비한 재시도 및 수동 대응 절차가 필요하다.
특히 계정 비활성화, 네트워크 차단, 서버 격리와 같이 업무 중단을 유발할 수 있는 작업은 자동화 범위와 승인 기준을 신중하게 설정해야 한다.[2]
운영 성과 지표
SOAR 도입 효과를 평가할 때 활용할 수 있는 대표적인 지표는 다음과 같다.
- MTTR(Mean Time to Respond/Remediate): 사고 대응 또는 조치 완료까지 소요되는 평균 시간. 조직별 산정 기준을 명확히 해야 한다.
- 자동 처리율: 전체 대응 대상 중 자동화된 프로세스로 처리된 비율
- 플레이북 성공률: 실행된 플레이북 중 오류 없이 완료된 비율
- 수동 작업 감소량: 자동화 전후 담당자의 처리 건수 또는 소요 시간 변화
- 오탐 및 부적절한 조치 건수: 자동화에 따른 잘못된 대응 발생 현황
| 기업 | 제품 | 특징 |
|---|---|---|
| 시큐레이어 | eyeCloudXOAR SOAR | 국내 보안관제 환경에 맞춘 플레이북과 이기종 보안 솔루션 연계, 사고 분석 및 대응 자동화 지원[5] |
| 안랩 | AhnLab SOAR | 표준화된 플레이북, 보안 솔루션 연계, 사고 대응 프로세스 자동화 지원[6] |
| 팔로알토 네트웍스 | Cortex XSOAR | 보안 도구 통합, 플레이북 자동화, 위협 인텔리전스 및 사고 관리 기능 제공[7] |
| 스플렁크 | Splunk SOAR | 다양한 보안 도구 연동, 플레이북 자동화, 사고 관리 및 Splunk Enterprise Security 연계[8] |
| 마이크로소프트 | Microsoft Sentinel | SIEM과 SOAR 기능을 통합 제공하며 Azure Logic Apps 기반 플레이북과 자동화 규칙 사용[3] |
각 제품은 연동 가능한 보안 솔루션, 플레이북 개발 방식, 자동화 범위, 사고 관리 기능 및 라이선스 구조에 차이가 있다.
최근에는 인공지능과 대형 언어 모델(LLM)을 활용하여 보안 경보 분석, 사고 조사 및 대응 절차 생성을 지원하는 기술이 발전하고 있다.
기존 SOAR는 주로 사전에 정의한 규칙과 플레이북에 따라 작업을 실행하는 방식이었다. 반면 AI 기반 보안관제는 탐지된 상황을 분석하고 필요한 조사 절차나 대응 방안을 동적으로 제안하는 기능까지 포함할 수 있다.
이러한 발전과 관련하여 AI SOC 및 에이전트형 보안 운영 체계가 등장하고 있으며, 기존 SOAR의 자동화 기능과 결합하는 방향으로 활용되고 있다.[9]
다만 AI가 분석 및 대응 방안을 제안하더라도 실제 차단이나 격리 등 영향이 큰 작업은 검증된 플레이북, 권한 통제 및 승인 절차를 거쳐 실행하도록 구성할 수 있다.
- ↑ 1.0 1.1 1.2 IBM, What is SOAR (security orchestration, automation and response)?, 확인: 2026-10-22.
- ↑ 2.0 2.1 AhnLab, SOAR(보안 오케스트레이션, 자동화 및 대응)란?, 확인: 2026-10-22.
- ↑ 3.0 3.1 3.2 Microsoft Learn, Create and manage Microsoft Sentinel playbooks, 확인: 2026-10-22.
- ↑ Microsoft Learn, Incident response with XDR and integrated SIEM, 확인: 2026-10-22.
- ↑ SecuLayer, SOAR 보안 자동화 - eyeCloudXOAR, 확인: 2026-10-22.
- ↑ AhnLab, SOC 운영 자동화 및 대응 고도화 - AhnLab SOAR, 확인: 2026-10-22.
- ↑ Palo Alto Networks, Optimize Operations with Cortex XSOAR, 확인: 2026-10-22.
- ↑ Splunk, Splunk SOAR, 확인: 2026-10-22.
- ↑ AhnLab, AI-Native SOC 시대, 안랩이 그리는 AI 보안관제의 미래, 확인: 2026-10-22.