Cloudflare는 대시보드와 API를 통해 모든 계정에서 Threat Signals를 이용할 수 있도록 했다고 발표했다. 이는 오픈 소스 위협 인텔리전스 보고서를 실행하기 어려운 텍스트에서 방어 도구 내부에서 사용할 수 있는 지표로 전환하는 것을 목표로 한다. 이 서비스는 침해 지표를 추출하고, 보고서를 요약하며, 맥락과 태그를 추가한 다음, 결과를 계정 전용 데이터 세트에 저장한다. 이 데이터 세트는 WAF 규칙을 만드는 데 사용할 수 있다.
Threat Signals가 제공하는 기능
이 서비스는 고객이 지정한 RSS 소스를 모니터링하며 RSS 2.0, Atom, RSS 1.0/RDF를 지원한다. 새로운 보고서가 도착하면 워크플로를 사용해 텍스트를 가져와 정제한 뒤, Cloudforce One이 개발한 침해 지표 추출 도구와 기본 기술에 전달한다. 결과에는 텍스트 요약, 핵심 내용, 계정에 존재하는 태그 카탈로그에 따른 분류가 포함되며, 각 지표는 해당 지표가 등장한 원본 보고서와 연결된다.
결과는 모든 계정에 제공되는 요금제에서 최대 30일 동안 계정 범위 전용 데이터 세트에 저장된다. 추출된 지표는 검색 및 조사가 가능한 Threat Events로 전환되며, 애플리케이션과 인프라를 보호하기 위한 WAF 규칙을 만드는 데 사용할 수도 있다.
Threat Events Platform 액세스 확대
Cloudflare는 Threat Signals 출시와 동시에 모든 계정에서 Threat Events Platform을 무료로 이용할 수 있도록 했다. 사용자는 대시보드와 API를 통해 전용 데이터 세트와 연결된 이벤트, 지표, 태그를 조사할 수 있다.
각 계정에는 RSS 소스 하나를 선택할 수 있는 권한이 제공된다. Essentials, Advantage, Elite 기업 요금제 고객은 서비스를 확장해 더 많은 소스를 이용하고, Cloudforce One 독점 데이터 세트에 액세스하며, 사용자 지정 기술을 만들고, 저장 옵션을 늘리고, 오픈 소스 이벤트 또는 독점 이벤트를 기반으로 사용자 지정 WAF 규칙을 만들 수 있다.
이 변경이 중요한 이유
Cloudflare가 해결하려는 문제는 RSS 피드 자체를 읽는 것이 아니라, 구조화되지 않은 보고서를 맥락을 유지한 정보로 전환하는 데 있다. 일반적으로 분석가는 보고서를 요약하고, 지표를 추출해 형식을 통일하며, 분류한 뒤, 이를 위협 인텔리전스 플랫폼에 입력하는 동시에 지표의 출처와 중요성을 설명하는 링크를 유지해야 한다.
Cloudflare가 설명한 바에 따르면 지표를 원본 보고서에서 분리하면 맥락이 사라지며, 몇 주 후 팀이 결정 이유를 알지 못한 채 도메인을 차단 목록에 추가하는 상황으로 이어질 수 있다. 이벤트, 지표, 태그, 원본 보고서를 서로 연결해 두면 분석가는 조사 또는 대응 과정에서 출처를 검토하고 각 지표의 중요성을 파악할 수 있다.
제한 사항 및 주목할 점
무료 제공이 운영상의 제약을 없앤다는 의미는 아니다. 기본 요금제는 RSS 소스 하나로 제한되며, 그 파생 데이터의 저장 기간도 최대 30일이다. 또한 결과의 품질은 고객이 선택한 소스와 자동 추출 기능이 보고서를 해석하는 능력에 따라 달라진다. Cloudflare는 자동 태그를 각 계정의 태그 카탈로그로 제한했으며, 검토를 용이하게 하고 신뢰를 구축하기 위해 태그가 자동으로 추가되었는지 분석가가 추가했는지도 기록한다고 밝혔다.
회사는 RSS가 시작점일 뿐이며 위협 인텔리전스를 입력하기 위한 다른 경로와 형식도 지원하기 위해 작업 중이라고 밝혔다. 이러한 경로가 구체화될 때까지 현재의 실질적인 가치는 RSS 보고서에 의존하며 지표를 WAF 정책에 적용하기 전에 수작업을 줄이고자 하는 조직에 집중된다.