CISA KEV 위협 인텔 오케스트레이터

제로터치 파이프라인으로, CISA KEV(알려진 악용 취약점) 카탈로그의 새롭게 무기화된 CVE를 매주 자동으로 프로덕션 준비가 된 Sigma 탐지 규칙으로 변환합니다.

문제점

새로운 KEV 항목을 수동으로 사용 가능한 탐지 규칙으로 전환하는 것은 느립니다: 권고 확인, 공격 패턴 연구, Sigma 규칙 작성, 테스트, 팀 브리핑. CVE당 약 4~6시간이 소요됩니다. 한 주에 10개의 새 항목이면 일주일 내내 작업이며, 대부분의 SOC는 매주 월요일에 여분의 분석가 주간을 가지고 있지 않습니다.

이 도구의 기능

매주 월요일 오전 8시, 파이프라인은 다음을 수행합니다:

1. 실시간 CISA KEV 카탈로그를 가져와 마지막 실행 이후 새로 추가된 무기화된 CVE를 분리합니다.
2. Google Gemini를 사용하여 CVE별 Sigma 탐지 규칙을 생성하며, 구조화된 프롬프트를 통해 모델이 다음을 강제합니다:
   • CVE에 명명된 정확한 제품/벤더를 대상으로 함 (일반적인 플레이스홀더 규칙이 아님)
   • 기법에 맞는 올바른 Sysmon EventID 사용 (프로세스 생성, 네트워크, 이미지 로드, LSASS, 레지스트리)
   • 오탐을 제어하기 위해 3~5개의 조건 필터 포함
   • 관련 MITRE ATT&CK 기법에 매핑
   • Splunk, Elastic 또는 Wazuh에 바로 적용 가능한 깨끗한 YAML만 출력
3. 처리된 모든 CVE를 Google Sheet에 기록하여 취약점이 공개된 시점과 탐지 규칙이 존재한 시점의 지속적인 타임스탬프 감사 추적을 제공합니다. 단순한 로그가 아니라 SOC 2 / ISO 27001 사전 취약점 관리 증거 요구 사항을 염두에 두고 구축되었습니다.
4. CVE 목록, 심각도 및 초안 탐지 로직이 포함된 분석가 대기 주간 브리핑을 이메일로 발송합니다.

전체 블로그 확인: 고급 위협 인텔: CVE당 6시간에서 0분으로

아키텍처

CISA KEV Catalog (API)
        │
        ▼
  n8n Schedule Trigger (Mon 8:00 AM)
        │
        ▼
  Filter: new + weaponized CVEs
        │
        ▼
  Gemini (Sigma rule generation, one CVE per call)
        │
        ├──▶ Google Sheets (audit trail)
        │
        └──▶ Email digest (analyst briefing)