시그니처 탐지가 침묵할 때 — sec-watch 조사 사례

환경: 연 매출 약 1,800억 엔 규모의 뷰티·코스메 기업으로, 웹·애플리케이션·DB 계층에 걸쳐 수백 대 규모의 서버를 운영. 관리형 시그니처 룰 그룹을 갖춘 WAF와 대규모 사내 보안 모니터링 체제를 이미 갖추고 있었다.
문제: 시그니처 탐지는 이미 아는 페이로드에만 반응한다. 2026-11-06, 단일 외부 송신원이 83분간 정찰 캠페인을 실행했다 — OAuth 엔드포인트 탐색, 외부 콜백 서비스를 이용한 SSRF 시도, 실제 동작하는 XSS 페이로드, 같은 밀리초 안에서의 User-Agent 10종 로테이션, 패스·쿼리 파라미터에 대한 카나리아 무차별 시도, 마지막으로 인증 후 영역(/login, /dashboard) 탐색까지. 고객 WAF의 관리형 시그니처 룰 그룹(SQLi·Common·PHP·Known Bad Inputs)은 그 어느 것에도 반응하지 않았다. 요청이 막힌 것은 공격 탐지가 아니라 IP 허용 리스트 룰 덕분이었다. 시도를 "보는 것"과 그것이 무엇인지, 성공했는지, 무엇을 건드렸는지 "아는 것"은 다르다.
AI 자동 범위: GIIP sec-watch(Jev 기반 2차 판정, WAF·CDN·DB 감사 로그 대상)가 같은 날 두 번의 스윕으로 이 환경의 의심 이벤트 30건을 표면화했다. 이어서 모니터링 머신이 모든 판정을 원본 기록 — WAF 로그, CDN 로그, DB 감사 로그 — 과 전문 대조해 전체 타임라인을 복원했다. 30건을 근거와 함께 네 그룹으로 나눴다: 악성 캠페인 21건(전건 WAF 차단, 오리진 미도달), 허용 리스트에 있는 정규 클라이언트 경로로 실재 콘텐츠 ID에 주입 문자를 넣은 수동 테스트 7건(허용되어 오리진 도달, 200/301 응답, 실시자 미확인 — 조용히 넘기지 않고 "주의 필요"로 보고), 오탐 2건(내부 CMS 정상 조작, 모니터 자체 IP 리스트의 기존 오등록 — 각각 근거와 함께 정상으로 정리). 레포트는 조사 범위, 공격 패턴, 공격 성공 여부, 피해 대상을 판정 단위로 확정하고 확인된 사실과 추정을 명시적으로 구분했으며, 구체적인 후속 제안(명시 거부 리스트 추가, 테스트된 파라미터의 서버측 검증, 오등록 IP 제외)까지 담았다.
사람 검토 범위: 판단과 변경은 사람이 맡았다: 송신원을 명시 거부 리스트에 올릴지, 정규 클라이언트에 그 경로의 주입 테스트 경위를 물을지, 서버측 검증을 넣을지는 근거와 함께 고객 팀에 제안으로 넘겼다 — 레포트는 확인된 사실과 제언에서 선을 긋고, 운영 보안 정책을 몰래 바꾸지 않는다.

결과

같은 날, 고객은 30건 전부에 대한 판정을 받았다: 캠페인은 오리진에 도달하지 못했고 데이터 유출 증거는 없었다. 오탐 2건은 정상 조작으로 종결됐다. 그리고 시그니처 탐지 뒤에 아무것도 없는 허용 리스트 경로라는, 유일하게 현실적인 리스크 경로가 검증할 파라미터와 함께 명시됐다. 탐지는 이벤트를 올렸고, 조사가 그것을 판단으로 바꿨다.

시그니처 탐지는 침묵했다. GIIP sec-watch가 정찰 캠페인을 잡고, 침입이 성공하지 않았음을 증명했다.

이 사례에 도입한 GIIP 서비스