안녕하세요, 중국 상하이에서 Detection Engineer로 일하고 있습니다.

SOC에서 알림을 받으면 늘 같은 일을 반복하게 됩니다. 원시 데이터를 열어보고, 필요한 값을 뽑아 정리하고, ATT&CK를 매핑하고, 보고서 형식에 맞춰 옮겨 적죠. 그런데 이 중에서 사람의 판단이 실제로 필요한 건 "이게 무슨 의미인가"를 해석하는 부분 하나뿐이더군요.

그래서 나머지를 자동화해봤습니다. Splunk 탐지가 뜨면 webhook으로 Dify에 넘기고, 전처리와 지표 추출은 코드가, 해석은 LLM이 맡아 분석 보고서를 메일로 보내는 파이프라인입니다. 글에서는 인코딩된 PowerShell을 예시로 들었지만, 전처리 로직만 바꾸면 어떤 탐지에도 붙는 구조입니다. 웹셸 업로드든 의심스러운 인증 흐름이든 동일하게 적용됩니다.

설계에서 제일 신경 쓴 건 두 가지입니다. IOC 추출을 LLM에게 맡기면 존재하지 않는 도메인을 만들어내서, 추출은 정규식이 결정론적으로 하고 LLM은 해석만 하도록 역할을 갈랐습니다. 그리고 분석 대상 데이터는 대부분 공격자가 내용을 통제하는 문자열인데, 그게 그대로 LLM 프롬프트로 들어갑니다. 프롬프트 인젝션이 이론이 아니라 실무 위험이 되는 지점이라 방어 로직을 같이 넣었습니다.

혹시 SOC에 LLM 붙여보신 분 있으시면, 어디까지 자동화하고 어디부터 사람이 봐야 한다고 보시는지 궁금합니다.

링크: SOC 1차 분석 자동화 — Splunk × Dify × LLM