AWS Bedrock으로 로그인 이상 징후를 탐지하는 AI 기반 보안 관제 자동화

크리덴셜 스터핑과 다 계정 어뷰징을 빠르게 판별하기 위해 AI 기반 로그인 보안 관제 자동화 시스템을 구축했다. 기존에는 비정상 로그인 알림만 받고 사람 손으로 계정과 연관 정보를 확인해야 해, 정황 파악과 대응까지 시간이 오래 걸렸다.

로그인 이력만으로는 공격 유형을 구분하기 어려워 LLM을 도입했다. 계정 정보와 로그인 이력을 함께 넣어 맥락을 분석하면, 휴대폰 번호 뒷자리가 오름차순이거나 이름의 일부만 다른 식의 유사성까지 파악할 수 있어 룰 기반 접근의 한계를 보완할 수 있었다.

아키텍처는 비교적 단순하게 구성했다.

• 배치 서비스가 주기적으로 로그인 이력을 조회해 비정상 패턴을 감지한다.
• 이상 징후가 발견되면 로그인 이력과 연관 정보를 추가로 수집한 뒤 AWS Bedrock에 분석을 요청한다.
• Bedrock의 분석 결과를 Slack으로 전송해 거의 실시간으로 상황을 확인한다.

운영 측면에서는 Bedrock Playground로 프롬프트와 토큰 사용량을 점검하고, Prompt Management로 프롬프트 버전을 저장·교체하며 빠르게 개선했다. 또한 간헐적인 응답 지연에 대응하기 위해 Bedrock Client read timeout을 1분으로 조정했다.

도입 이후에는 비정상 로그인 시도의 정황을 즉시 파악할 수 있게 됐고, 대응 방식 결정까지 걸리는 시간이 줄었다. 야간이나 휴일에도 결과를 바로 확인할 수 있어 운영 효율이 크게 개선됐다.