CrowdStrike에 보안 데이터 12종이 모인다, 탐지보다 검증이 관건이다

CrowdStrike는 2026년 8월 31일 미국 라스베이거스 Fal.Con 2026에서 Project QuiltWorks 확장을 발표했다. CrowdStrike의 8월 31일 발표 에 따르면 Abnormal AI, Artemis Security, AttackIQ, ExtraHop, HackerOne, Horizon3, Netskope, Picus Security, Rubrik, SafeBreach, Terra Security, Zscaler 등 12개 업체의 실시간 데이터가 Falcon Next-Gen SIEM에 통합된다.

SiliconANGLE의 현장 보도 도 같은 날 12개 데이터원이 이메일, ID, 네트워크, 클라우드, 데이터 보호, 공격 시뮬레이션 영역을 아우른다고 확인했다. 따라서 제목의 ‘보안 데이터 12종’은 표준화된 데이터 형식 12개가 아니라 서로 다른 12개 제공사에서 들어오는 보안 신호를 뜻한다. 통합의 실질적 목적은 경고 수를 늘리는 것이 아니라 분산된 신호를 공격 경로와 방어 성능의 증거로 연결해 대응 우선순위를 정하는 데 있다.

12개 데이터원은 네 가지 판단 영역을 잇는다

참여사들은 같은 종류의 제품을 공급하지 않는다. 각 업체의 주력 기능을 운영 관점에서 묶으면 이메일·ID, 노출과 공격 경로, 네트워크·클라우드·데이터 보호, 보안 통제 검증이라는 네 영역으로 나뉜다. 이는 CrowdStrike가 발표한 공식 데이터 스키마가 아니라 서로 다른 신호가 어떤 판단에 쓰이는지 보여주기 위한 편집상 분류이며, 일부 업체의 기능은 여러 영역에 걸친다.

• 이메일·ID 행위: Abnormal AI는 계정 침해와 비정상적인 사용자 행위를 파악하는 맥락을 제공한다.
• 노출·공격면·침투 경로: Artemis Security, HackerOne, Horizon3, Terra Security는 취약점과 외부 노출, 공격자가 실제로 이동할 수 있는 경로, 환경별 탐지·완화 정보를 판단하는 영역에 가깝다.
• 네트워크·클라우드·데이터 보호: ExtraHop, Netskope, Rubrik, Zscaler는 네트워크 활동과 사용자·애플리케이션 접근, 데이터 상태 및 복구 맥락을 보탠다.
• 보안 통제 검증: AttackIQ, Picus Security, SafeBreach는 공격 행위를 재현해 배치된 방어 수단의 예방·탐지 성능을 확인하는 역할에 무게를 둔다.

이 구성이 유효하려면 서로 다른 제공사의 이벤트가 같은 자산, 계정, 애플리케이션과 시간대에 연결돼야 한다. 이메일에서 계정 이상이 감지됐더라도 관련 단말과 네트워크 이동, 접근 가능한 중요 자산, 데이터 노출 상태를 결합하지 못하면 분석가에게는 별개의 경고만 늘어난다. 반대로 공통 식별자와 맥락이 맞으면 한 신호가 실제 침해 경로의 일부인지 더 빠르게 좁힐 수 있다.

수집 뒤에는 상관분석과 공격 경로 판단이 이어진다

공개된 구조에서 Falcon Onum은 제3자 데이터를 실시간으로 수집하고 유입 과정에서 선별·분석하는 파이프라인을 맡는다. 들어온 신호는 Falcon Next-Gen SIEM에서 상관분석되고, Falcon IQ는 고객 텔레메트리와 CrowdStrike 위협 인텔리전스, Falcon OverWatch 결과를 결합한다. Charlotte AI 기반 에이전트는 데이터 온보딩과 노출 우선순위 지정에 관여한다.

이를 보안 운영 흐름으로 정리하면 데이터 수집→사건 상관분석→공격 경로 분석→악용 가능성 및 통제 검증→대응→재검증이 된다. 앞부분은 여러 도구가 낸 정보를 하나의 사건 맥락으로 묶는 단계다. 이후에는 공격자가 최초 진입점에서 어떤 ID와 시스템을 거쳐 중요 자산에 도달할 수 있는지, 이미 배치된 방어 수단이 그 행위를 막거나 찾아낼 수 있는지를 가려야 한다.

여기서 취약점의 심각도나 경고 등급만으로는 우선순위가 완성되지 않는다. 같은 취약점이라도 외부에서 접근할 수 있는지, 중요 자산으로 이어지는 경로가 있는지, EDR이나 방화벽 같은 보완 통제가 작동하는지에 따라 실제 위험은 달라진다. QuiltWorks가 더 많은 데이터원을 모으더라도 이 연결과 검증이 부정확하면 자동화된 대응 역시 잘못된 전제 위에서 빨라질 수 있다.

Picus가 보탠 것은 환경별 검증 결과다

Picus Security는 9월 1일 공개한 Project QuiltWorks 참여 설명 에서 CrowdStrike의 EDR 텔레메트리와 위협 인텔리전스를 고객 환경에 맞는 공격 시나리오로 바꾸고, 실제 배치된 통제를 대상으로 검증한다고 밝혔다. Picus의 검증 데이터는 Falcon Next-Gen SIEM으로 전달돼 해당 환경에서 노출을 악용할 수 있는지와 통제가 관련 행위를 차단·탐지하는지를 판단하는 자료로 쓰인다.

이 역할은 ‘취약점이 발견됐다’는 사실과 ‘지금 이 환경에서 우선 대응해야 한다’는 결론 사이의 간극을 줄이는 데 초점이 있다. Picus가 설명한 흐름에서는 수정 조치 뒤에도 관련 행위를 다시 시험해 방어 격차가 실제로 닫혔는지 확인한다. AttackIQ와 SafeBreach가 포함된 통제 검증 영역 역시 단순한 경고 추가보다 방어 성능에 관한 증거를 통합 판단에 보태는 의미가 크다.

다만 이는 참여사와 CrowdStrike가 제시한 제품 역할 및 설계 방향이다. 12개 데이터원을 결합한 구성이 모든 고객 환경에서 탐지 정확도나 대응 시간을 얼마나 개선했는지 보여주는 비교 평가나 실제 운영 지표는 아직 공개되지 않았다. 제목의 ‘검증이 관건’이라는 판단은 통합만으로 성과가 보장된다는 뜻이 아니라, 수집된 신호가 실제 공격 가능성과 통제 효과로 확인돼야 대응 근거가 된다는 의미다.

통합 효과는 데이터 품질과 검증 범위에 달렸다

보안 운영센터가 체감할 수 있는 이점은 여러 제품의 경고가 한 화면에 나타나는 것보다 조사 과정에서 콘솔을 오가는 횟수와 수동 대조 작업이 줄어드는 데 있다. 이메일 경고와 ID, 네트워크, 취약점, 데이터 보호 정보를 같은 사건으로 연결할 수 있다면 초기 분류와 담당 팀 배정이 빨라질 가능성이 있다.

그러나 자산 이름과 계정 식별자가 시스템마다 다르거나 시간 정보가 맞지 않으면 상관분석의 신뢰도가 낮아진다. 누락·중복 이벤트, 자산 소유자, 업무 중요도, 데이터 보존 범위도 우선순위에 영향을 준다. 실시간 전송이라는 조건만으로 서로 다른 신호가 자동으로 같은 사건이 되는 것은 아니다.

검증 범위도 결과 해석의 경계가 된다. 어떤 공격 기법과 자산, 통제를 시험했는지 추적할 수 있어야 하며, 시험하지 않은 영역을 방어된 것으로 간주할 수는 없다. 탐지 규칙 변경처럼 되돌리기 쉬운 조치와 계정 차단이나 시스템 격리처럼 업무 중단을 일으킬 수 있는 조치는 자동화 권한과 승인 수준도 달라야 한다.

적용 조건과 실제 운영 성과는 아직 공개되지 않았다

현재 확인된 것은 CrowdStrike가 12개 업체의 실시간 데이터를 Falcon Next-Gen SIEM에 통합하는 QuiltWorks 확장을 발표했고, Picus가 환경별 악용 가능성과 통제 성능을 검증하는 역할을 제시했다는 점이다. 반면 업체별 데이터 필드, 한국 리전에서의 제공 조건, 라이선스와 비용, 기존 고객의 기본 활성화 여부, 데이터 보존 및 국외 이전 조건은 이번 공개 자료에 구체적으로 제시되지 않았다.

따라서 이번 확장의 성과를 공급사 수만으로 평가하기는 이르다. 중복 경고가 실제로 줄었는지, 공격 경로와 중요 자산을 정확히 연결했는지, 악용 가능한 노출을 선별했는지, 수정 뒤 통제 효과가 재검증됐는지를 보여주는 고객 환경의 운영 지표가 필요하다. 그 자료가 나오기 전까지 Project QuiltWorks의 변화는 폭넓은 데이터 통합과 검증 중심의 운영 구조를 제시한 단계로 보는 것이 정확하다.

함께 읽기:

• Breedr, 소 한 마리마다 데이터 기록…2700만 달러가 몰린 이유