GitLab의 Signals Engineering 팀은 보안 침해 사고 이후 발생하는 '탐지 격차(Detection Gap)' 분석을 자동화하기 위해 GitLab Duo Agent Platform을 활용하고 있습니다. 이 플랫폼은 AI 에이전트가 사고 타임라인과 데이터를 직접 분석하여 수동 검토 없이도 미흡했던 탐지 지점을 찾아내고, 이를 MITRE ATT&CK 프레임워크에 매핑하여 구체적인 개선안을 제시하도록 돕습니다. 결과적으로 보안 팀은 반복적이고 소모적인 분석 업무에서 벗어나 실제 탐지 역량을 강화하는 데 집중할 수 있게 되었습니다.

탐지 격차 분석의 어려움과 자동화의 필요성

탐지 격차의 정의: 공격자가 행동을 취했음에도 불구하고 기존 보안 탐지 시스템이 이를 포착하지 못한 지점을 의미합니다.
수동 분석의 한계: 사고 데이터를 일일이 읽고 공격자의 행동을 탐지 기회와 매핑하는 작업은 시간이 많이 걸리며, 담당 엔지니어에 따라 결과가 일관되지 않을 가능성이 큽니다.
워크플로우 통합: GitLab 팀은 사고 기록이 남는 'GitLab Issues' 내에서 분석 과정이 자연스럽게 이루어지도록 자동화된 프로세스를 구축했습니다.

GitLab Duo Agent Platform의 특징

에이전트 기반 프레임워크: 단순한 챗봇을 넘어 추론하고, 행동을 취하며, 이슈(Issues)나 머지 리퀘스트(MR), 코드와 같은 GitLab 리소스와 기본적으로 통합되는 AI 에이전트를 구축할 수 있습니다.
두 가지 활용 경로: 즉시 사용 가능한 '보안 분석가 에이전트(Security Analyst Agent)'를 활용하거나, 특정 팀의 표준에 맞춘 '맞춤형 에이전트'를 직접 제작할 수 있습니다.

보안 분석가 에이전트 (Security Analyst Agent) 활용

즉각적인 도입: 보안 도메인 지식이 사전 학습되어 있어, 종료된 사고 이슈에서 에이전트를 호출하는 것만으로 분석을 시작할 수 있습니다.
분석 범위: 사고 설명, 타임라인, 작업 내역 및 댓글을 검토하여 탐지가 누락된 전술, 기술 및 절차(TTP)를 식별합니다.
장단점: 별도의 설정 없이 바로 가치를 제공하지만, 기업 고유의 SIEM 환경이나 로그 소스, 특정 탐지 표준에 대한 맥락은 부족할 수 있습니다.

맞춤형 탐지 엔지니어링 어시스턴트 구축 기술

GitLab 팀은 더 정교한 분석을 위해 'Detection Engineering Assistant'라는 맞춤형 에이전트를 구축했으며, 핵심은 시스템 프롬프트(System Prompt) 설계에 있습니다.

명확한 역할 정의: 에이전트에게 "GitLab Signals Engineering 팀의 탐지 엔지니어"라는 구체적인 역할을 부여하여 응답의 일관성을 높였습니다.
탐지 철학 주입: 오탐(False Positive)을 줄이고 행동 기반 탐지를 우선시하는 팀의 원칙을 프롬프트에 포함하여, 에이전트가 팀의 기준에 맞는 권고안을 내도록 했습니다.
기술 스택 및 로그 소스 정보: 실제 사용 중인 SIEM과 수집 가능한 로그 소스 정보를 입력하여, 이론적인 제안이 아닌 실제 구현 가능한 탐지 규칙을 제안하게 했습니다.
MITRE ATT&CK 및 출력 형식 지정: 모든 결과를 ATT&CK 기법에 매핑하고, 탐지 누락 내용, 로그 소스, 권장 접근 방식을 포함한 정형화된 리스트로 출력하도록 설정했습니다. (실제 시스템 프롬프트는 약 1,870단어, 337행에 달할 정도로 상세함)

실용적인 권장 사항

AI를 이용한 탐지 분석 자동화를 고려한다면, 처음에는 GitLab에서 제공하는 보안 분석가 에이전트로 시작하여 AI의 잠재력을 확인해 보는 것이 좋습니다. 이후 분석의 정확도를 높이고 싶다면, 팀의 고유한 탐지 표준과 인프라 정보를 상세히 담은 시스템 프롬프트를 설계하여 맞춤형 에이전트를 구축하는 단계로 발전시킬 것을 권장합니다.