수모로직은 2026년 8월 3일 Dojo AI를 확대하며 SOC Analyst Agent를 공개했고, 8월 11일 서울 코엑스에서 열린 ISEC 2026 강연에서 이를 활용한 보안관제 흐름을 소개했다. 이 에이전트는 Sumo Logic SIEM에 들어온 경보마다 관련 로그와 엔터티 맥락을 수집하고 가설을 시험해 악성·의심·정상 판단을 근거와 함께 제시한다. 경보를 단순히 지우는 방식이 아니라 흩어진 신호를 한 사건으로 묶고, 분석가가 먼저 확인할 대상을 좁혀 오탐 검토 부담을 줄이는 제품이다.
사용자는 Cloud SIEM의 인사이트 목록에서 AI 판정을 확인한 뒤 상세 화면의 AI Investigation 탭에서 판단 이유와 핵심 발견 사항을 살펴볼 수 있다. 에이전트는 현재 심각도와 별도로 권고 심각도를 제시하며, 분석가가 동의할 때만 이를 적용할 수 있다. 더 깊은 조사가 필요하면 Ask Mobot을 눌러 해당 사건의 맥락을 그대로 불러오고, 의심 계정·IP 주소·호스트·파일 해시의 연관성이나 관련 로그를 자연어로 질문한다. 공식 문서에 따르면 에이전트는 기존에 수집된 정규화 보안 데이터와 신호를 분석하며 별도의 외부 스캔을 시작하지 않는다.
도입 효과는 수모로직의 자체 SOC 운영 수치로 확인해야 한다. 회사는 자사 환경에서 Dojo AI를 사용한 뒤 평균 복구시간이 64% 줄고, 초기 분류에 걸리는 시간이 89% 감소했으며, 분석가 1명당 매주 25시간을 절약했다고 밝혔다. 이 수치는 제3자가 평가한 고객 평균이 아니라 수모로직 내부 측정치다. 별도 공식 자료에서는 1차 분류 자동화로 분석가 한 명당 매주 20~30시간을 아꼈고, 모든 사건 등급에서 탐지부터 해결까지 약 60%의 시간을 절감했다고 설명했다.
| 확인 항목 | 공식 자료에서 확인된 범위 |
|---|---|
| 자동 분류 | 악성·의심·정상 판정과 근거·로그 증거를 제시한다. |
| 후속 조사 | Mobot에서 사건 맥락을 이어받아 자연어로 관련 로그와 엔터티를 확인한다. |
| 데이터 범위 | 플랫폼 안의 정규화 보안 데이터와 신호를 사용하며 외부 MCP 연결이나 자동 대응은 하지 않는다. |
| 이용 조건 | Cloud SIEM 구독과 기능 활성화가 필요하며 조직별 일일 조사 용량이 적용된다. |
직접적인 수혜자는 반복적인 1차 경보 분류에 시간을 쓰는 SOC 분석가와 인력이 적은 보안팀이다. 다만 공식 문서상 에이전트의 추론 범위는 플랫폼 안의 정규화 보안 데이터로 제한되고, 외부 MCP 커넥터나 자동화 서비스와 연동해 계정을 차단하는 기능은 제공하지 않는다. 판정 표본은 수모로직의 선임 분석가가 정기적으로 검토하지만 에이전트가 과거 조사에서 지속적으로 학습하는 구조도 아니다. 따라서 도입 조직은 기존 경보 묶음으로 악성·의심·정상 판정의 누락과 오탐을 시험하고, 권고 심각도 변경이나 실제 차단은 사람이 증거를 확인한 뒤 결정해야 한다.
SOC Analyst Agent는 Cloud SIEM 구독이 필요하고 조직이 기능을 켜야 사용할 수 있다. 자동 조사는 조직별로 약정된 일일 조사량 안에서 우선순위에 따라 진행되며, 한도를 넘긴 경보는 미조사 상태로 남거나 별도 초과 사용 설정의 적용을 받는다. 수모로직은 8월 발표에서 대부분의 기존 고객이 새 기능에 접근할 수 있다고 안내했지만 공개 자료에는 구체적인 요금이 없다. 보안팀은 내부 성과 수치를 그대로 기대하기보다 자사 로그 품질, 경보 규칙, 조사량과 비용을 함께 검증해야 한다.
저작권자 © STORIUM 무단전재 및 재배포 금지
