Vectra AI 실무 스터디 가이드

1. Vectra AI란?

Vectra AI는 AI 기반 네트워크 탐지 및 대응(Network Detection and Response, NDR) 플랫폼입니다. 실시간 네트워크 트래픽 분석, 사용자 및 엔터티 행동 분석(UEBA), 그리고 자동화된 위협 대응을 통해 알려지지 않은 위협(제로데이, 내부자 위협 등)을 탐지합니다.

3대 핵심 능력

2. 왜 써야 하는가?

기존 보안 솔루션(IDS/IPS, SIEM, EDR)과 비교한 Vectra AI의 핵심 차별점:

3. 핵심 개념 & 아키텍처

Vectra AI 플랫폼은 크게 Sensor, AI Engine, Detect UI로 구성됩니다.

주요 개념

• Detection — AI 모델이 생성한 위협 인스턴스 (예: 랜섬웨어, C&C, 내부 스캔)
• Host / Account — 탐지된 개체 (IP, 호스트명, 사용자 계정)
• Score — 0~100 범위의 위험 점수 (100 = 가장 위험)
• Entity — 네트워크 상의 디바이스, 서버, 사용자 등

4. 퀵스타트

Vectra AI Sensor를 Linux 서버에 설치하고 기본 탐지를 확인하는 과정입니다.

4.1 설치 (Ubuntu 22.04 예시)

# 1. 시스템 업데이트
sudo apt update && sudo apt upgrade -y

# 2. Vectra Sensor 패키지 저장소 등록
echo "deb https://packages.vectra.ai/apt stable main" | sudo tee /etc/apt/sources.list.d/vectra.list
wget -qO- https://packages.vectra.ai/vectra.gpg | sudo apt-key add -

# 3. Sensor 설치
sudo apt update
sudo apt install vectra-sensor -y

# 4. 서비스 시작 및 상태 확인
sudo systemctl start vectra-sensor
sudo systemctl status vectra-sensor

4.2 기본 설정 (Detect UI 연동)

# Sensor 설정 파일 열기
sudo vi /etc/vectra/sensor.conf

# 주요 설정 항목 (예시)
[DETECT]
url = https://your-detect-instance.vectra.ai
token = YOUR_API_TOKEN

[NETWORK]
interface = eth0
capture_mode = metadata

[LOGGING]
level = info

4.3 첫 탐지 확인 (Python 예제)

import requests
import json

# Vectra Detect API 호출
DETECT_URL = "https://your-detect-instance.vectra.ai/api/v2.3"
API_TOKEN = "YOUR_API_TOKEN"

headers = {
    "Authorization": f"Token {API_TOKEN}",
    "Content-Type": "application/json"
}

# 최근 1시간 내 탐지 조회
response = requests.get(
    f"{DETECT_URL}/detections",
    headers=headers,
    params={"timestamp_gte": "now-1h", "ordering": "-risk_score"}
)

if response.status_code == 200:
    detections = response.json()
    for det in detections[:5]:
        print(f"[{det['risk_score']}] {det['title']} — {det['src_ip']} → {det['dst_ip']}")
else:
    print(f"API Error: {response.status_code}")

5. 핵심 설정 레퍼런스

Sensor 설정 파일 (/etc/vectra/sensor.conf) 및 Detect UI에서 자주 사용하는 설정 항목입니다.

6. 실무 팁 & 트러블슈팅

실제 운영에서 자주 마주치는 문제와 해결 방법입니다.

🔧 문제 1: Sensor가 Detect에 연결되지 않음

증상: vectra-sensor-cli status에서 "Detect connection: failed"

해결

# 1. 네트워크 연결 확인
curl -v https://your-detect-instance.vectra.ai/api/v2.3/health

# 2. DNS / 방화벽 확인
nslookup your-detect-instance.vectra.ai
# 443 포트 outbound 허용 필요

# 3. API 토큰 재발급 후 sensor.conf 업데이트
sudo systemctl restart vectra-sensor

🔧 문제 2: 탐지가 너무 많음 (False Positive)

해결: Sensitive host / subnet 제외 목록을 설정하고, 위험 점수 임계값을 조정합니다.

# sensor.conf 예시
[FILTER]
exclude_subnets = 10.100.0.0/16, 192.168.20.0/24
min_risk_score = 30   # 30점 미만 탐지 무시

🔧 문제 3: CPU/메모리 과부하

해결: capture_mode = metadata로 변경, 또는 process_priority = low 설정. 또한 Sensor 배포를 분산 (멀티 센서) 고려.

7. 참고 자료

• Vectra AI 공식 제품 페이지
• Vectra AI 문서 (Docs)
• Vectra Detect API v2.3 레퍼런스
• Vectra 블로그 (위협 인텔리전스)
• Vectra AI GitHub (통합 예제)