🛡️ Darktrace 실무 스터디 가이드

데이터 엔지니어 · AI 엔지니어를 위한 핵심 요약
#ai-security #ndr #anomaly-detection 📅 2026.03 🔒 엔터프라이즈 AI 보안
대상: AI 정보보안 엔지니어 · 보안 전문가

📋 목차

  1. Darktrace란?
  2. 왜 써야 하는가?
  3. 핵심 개념 & 아키텍처
  4. 퀵스타트
  5. 핵심 설정 레퍼런스
  6. 실무 팁 & 트러블슈팅
  7. 참고 자료

1. Darktrace란?

Darktrace는 자기학습 AI (Enterprise Immune System) 기반의 사이버 보안 플랫폼입니다. 네트워크 트래픽, 클라우드, 이메일, 엔드포인트를 실시간으로 모델링하여 알려지지 않은 위협과 내부자 위협을 탐지합니다. 전통적인 시그니처 기반 탐지를 넘어, 비지도 학습으로 조직의 '정상'을 스스로 학습합니다.

🧬 자기학습 AI

데이터 없이도 조직의 고유한 패턴을 학습. 레이블, 파라미터 튜닝 불필요.

🔍 실시간 변칙 탐지

초단위로 네트워크·클라우드·이메일 활동을 분석, 알려지지 않은 공격 탐지.

⚡ 자율 대응 (Antigena)

탐지된 위협을 실시간으로 차단·격리. 사람의 개입 없이 능동적 방어.

NDR (Network Detection & Response) UEBA (User Entity Behavior Analytics) SOAR 연동 클라우드·OT·5G

2. 왜 써야 하는가? · 기존 대안과 비교

전통적인 SIEM, IDS/IPS, EDR과 Darktrace의 핵심 차이:

영역Darktrace (AI NDR)기존 SIEM/IDSEDR (엔드포인트)
탐지 방식비지도 자기학습시그니처 / 룰 기반시그니처 + 행위 기반
제로데이 공격✅ 탁월 (알려지지 않은 위협)❌ 취약⚠️ 부분적
내부자 위협✅ 행동 기반 탐지❌ 어려움⚠️ 제한적
데이터 필요0 (사전 학습 불필요)많은 룰/시그니처엔드포인트 에이전트
실시간 자동 대응✅ Antigena❌ 수동 or 플레이북⚠️ 제한적
클라우드·OT·IoT✅ 네이티브⚠️ 확장 필요❌ 에이전트 한계
💡 핵심 인사이트: Darktrace는 ‘무엇이 정상인지’를 스스로 정의합니다. 따라서 랜섬웨어, 공급망 공격, 내부 데이터 유출 등 기존 탐지를 회피하는 위협에 강력합니다.

3. 핵심 개념 · AI 아키텍처

Darktrace의 내부는 Probabilistic Mathematics와 Bayesian 추론으로 작동합니다. 아래는 단순화된 데이터 흐름입니다.

┌────────────────────────────────────────────────────────────┐ │ DARKTRACE CORE ENGINE │ │ ┌──────────┐ ┌────────────┐ ┌──────────────────┐ │ │ │ Network │ │ Recursive │ │ Bayesian │ │ │ │ Traffic │───▶│ Bayesian │───▶│ Network │ │ │ │ (PCAP) │ │ Clustering│ │ (변칙 점수) │ │ │ └──────────┘ └────────────┘ └────────┬─────────┘ │ │ ┌──────────┐ ┌────────────┐ │ │ │ │ Cloud │ │ Temporal │ ▼ │ │ │ Logs │───▶│ Modeling │ ┌──────────────────┐ │ │ │ (AWS,Az) │ │ (LSTM 기반)│ │ Anomaly Score │ │ │ └──────────┘ └────────────┘ │ & Threat Path │ │ │ ┌──────────┐ └──────────────────┘ │ │ │ Email │──── (그래프 분석) ───▶ Antigena (자율 대응)│ │ └──────────┘ │ └────────────────────────────────────────────────────────────┘ * 모든 데이터는 실시간으로 '정상 프로파일'과 비교 * 점수가 임계치 초과 → 알림 + 자동 차단 (옵션)

📈 변칙 점수 (Anomaly Score)

0~100%로 표현. 95% 이상이면 즉시 대응 필요. 다차원 통계 기반.

🧠 자기학습 모델

조직마다 고유한 '면역 체계' 구축. 배포 후 1~2주 학습기간.

⚙️ Antigena

자율 대응 모듈. 네트워크 차단, 계정 격리, 세션 종료 등.

4. 퀵스타트 · 설치 → 설정 → 첫 탐지

Darktrace는 가상 어플라이언스 또는 SaaS로 배포됩니다. 아래는 on-premise 환경 기준 CLI/Python 예제입니다.

📦 1단계: 어플라이언스 초기 설정 (CLI)

# Darktrace vSensor / vManager 초기 구성
ssh admin@<darktrace-ip>
darktrace> configure network --interface eth0 --ip 10.0.1.50/24
darktrace> configure gateway 10.0.1.1
darktrace> configure dns 8.8.8.8
darktrace> enable packet-capture --interface eth1
darktrace> start engine

🐍 2단계: Python SDK로 이벤트 조회

# pip install darktrace-api (공식 SDK)
import darktrace
from darktrace import DarktraceAPI

client = DarktraceAPI(
    host="https://10.0.1.50",
    public_token="your_public_token",
    private_token="your_private_token",
    verify_ssl=False   # 테스트 환경
)

# 최근 변칙 이벤트 조회
events = client.events.list(
    from_time="2026-03-01T00:00:00Z",
    to_time="2026-03-10T23:59:59Z",
    min_score=80
)
for ev in events[:5]:
    print(f"[{ev['score']}] {ev['threat_type']} → {ev['device_ip']}")

🚀 3단계: 첫 탐지 확인 (CLI)

# 실시간 알림 확인 (syslog / API polling)
darktrace> show alerts --since 1h --severity high
# 출력 예시
# 2026-03-10 14:23:11 | 98% | C2 Beaconing | 192.168.1.201 → 45.33.32.156
# 2026-03-10 14:25:44 | 95% | Unusual SMB | 10.0.1.22 → 10.0.1.88
⚠️ 주의: 초기 학습 기간(약 7~14일) 동안은 가양성(False Positive)이 많을 수 있습니다. 임계치를 80~85%로 시작하고 점진적으로 조정하세요.

5. 핵심 설정 레퍼런스

파라미터기본값권장 (실무)설명
anomaly.threshold90%85% (초기) / 95% (안정화)변칙 점수 임계치
learning.period_days1421 (대규모 네트워크)자기학습 기준 기간
antigena.modemonitorautonomous (숙련된 팀)자동 차단 활성화
pcap.capture_size512 MB1 GB (트래픽 많을 시)패킷 캡처 버퍼
email.integrationdisabledenabled (M365/Gmail)이메일 위협 분석
cloud.aws_flowlogsoffVPC Flow Logs + CloudTrail클라우드 가시성
💡 팁: anomaly.threshold는 환경별로 다르게 설정하세요. 개발망은 80%, 프로덕션은 95% 등. API로 동적 변경 가능.

6. 실무 팁 & 트러블슈팅

문제원인해결책
🔴 가양성 폭주학습 기간 부족 / 임계치 낮음임계치 90%→95% 상향, 학습기간 21일로 증가
🔴 Antigena 차단 과도자율 모드가 민감함→ monitor 모드로 전환 후 화이트리스트 추가
🔴 클라우드 데이터 누락VPC Flow Logs 미활성AWS: aws ec2 create-flow-logs / Azure: NSG 흐름 로그
🔴 API 속도 저하토큰 권한 부족 / Rate limit관리자 토큰 발급, 요청 간 200ms 지연
🔴 이메일 위협 미탐지MS Graph API 권한 누락Darktrace에 Mailbox.Read.All 위임
⚠️ 중요: Darktrace는 암호화 트래픽(SSL/TLS)을 분석하지 못합니다. TLS 프록시 또는 SSL 해독 지점과 연동하세요. 
# 트러블슈팅: 디버그 로그 활성화 (CLI)
darktrace> debug set --level verbose --module engine
darktrace> tail logs --lines 50 | grep "anomaly"

7. 참고 자료 · 공식 문서

🔗 빠른 링크: https://darktrace.com/resources/api-guide · https://customerportal.darktrace.com/kb

🛡️ Darktrace 실무 스터디 가이드 · 2026.03 · AI 정보보안 엔지니어

#ai-security #ndr #anomaly-detection · 본 문서는 Darktrace 공식 문서를 기반으로 한 실무 요약입니다.