AI로 로그인 이상 징후 탐지하기: AWS Bedrock 기반 로그인 보안 관제 자동화

문제 상황

• 기존 크리덴셜 스터핑 모니터링의 비효율과 실시간 분석 한계
• 비정상 로그인 알림만으로는 공격 유형과 정황 파악이 어려운 운영 공백
• 계정 연관 정보와 맥락 판단이 필요한데 룰 기반 분석으로는 유사 패턴 식별에 한계

원인 분석

• 로그인 이력 외 회원 정보까지 함께 봐야 공격 여부를 판단할 수 있는 구조
• 사람이 직접 확인하는 방식으로는 24*365 대응과 시간 격차 최소화가 어려움
• 무작위 계정, 이름·번호 유사성 등 복합 정황을 단순 쿼리로 처리하기 어려움

해결 방법

• AWS Bedrock 기반 LLM 분석으로 로그인 이력과 연관 정보를 함께 해석
• 주기적 배치로 비정상 로그인 패턴 탐지 후 Bedrock에 분석 요청하는 흐름 구성
• 분석 결과를 Slack으로 전달하고, Playground와 Prompt Management로 프롬프트 테스트·버전 관리

성능/운영 포인트

• VPC 내부 접근과 TLS 1.2 이상 전송 암호화, stateless 특성으로 운영 적합성 확보
• 프롬프트 변경 시 추가 배포 없이 즉시 반영 가능한 운영 유연성
• read timeout을 1분으로 조정해 간헐적 응답 지연 대응

적용해볼 점

• 비정상 이벤트 알림과 정황 분석을 분리하지 말고 자동화 연계
• LLM 적용 시 토큰량과 결과 문장 형식을 사전에 점검
• 야간·휴일 대응이 필요한 관제 업무에 AI 분석 도입 검토