PurifySec: Claude API로 만든 SOC 경보 분류 보조 도구
Claude는 곁가지 도구가 아니라 제품의 엔진이에요. PurifySec은 각 경보를 Anthropic Messages API로 Claude에 보내도록 설계됐어요. Claude는 읽기 전용 도구로 관련 SIEM/EDR 이벤트를 가져오고, 스키마로 검증된 JSON 분류 노트를 돌려줘요. 사람 분석가가 이를 승인, 수정, 반려해요.
한 문단 요약: PurifySec은 2026년 3월 13일 설립된 한국 법인 주식회사 퓨리파이솔루션이 SOC 팀을 위해 만드는 방어 목적의 보안 분류 제품이에요. 작동하는 프로토타입은 Claude API로 동작해요. Claude가 읽기 전용 도구로 SIEM/EDR 데이터를 조회하고, 발견 사항을 MITRE ATT&CK에 매핑하고, 사고 요약과 조치 보고서를 구조화된 JSON으로 작성해요. 모든 결과는 분석가가 승인해요. 방어 목적 전용이에요.
// Illustrative example with fictional sample data { "alert": "Multiple failed logins, then success", "sources": ["edr", "identity_provider"], "summary": "14 failed sign-ins for one account from a new IP, then a successful login.", "suggested_priority": "high", "attack_candidates": [ { "id": "T1110", "name": "Brute Force" } ], "evidence": ["idp event #1-14: auth_failure", "idp event #15: auth_success"], "next_steps": ["Verify with account owner", "Review MFA logs for the session"], "status": "awaiting_analyst_approval" }
문제
분류와 보고서 작성이 SOC 분석가 시간의 큰 부분을 차지해요.
분석가는 경보마다 원시 이벤트를 읽고, 여러 콘솔(SIEM, EDR, ID 제공자)에서 맥락을 모으고, 우선순위를 정하고, 기록을 남겨요. PurifySec은 이 과정을 겨냥해요. 처음 읽기, 맥락 조회, 초안 작성은 Claude가 하고, 결정은 분석가가 해요.
우리가 만드는 것은 모델을 둘러싼 워크플로예요: 커넥터, 도구 정의, 출력 스키마, 모델 라우팅, 평가, 프롬프트 인젝션 방어, 리뷰 대기열, 감사 기록.
- 자유 텍스트가 아닌 구조화된 결과. 분류 결과는 판정, 우선순위, 근거, ATT&CK 후보, 다음 단계를 담은 스키마 검증 JSON으로 나와요.
- 근거와 연결. 각 주장은 근거가 된 원본 이벤트를 인용하도록 설계돼, 분석가가 빠르게 확인할 수 있어요.
- 설계부터 읽기 전용. Claude의 도구는 데이터를 조회할 수만 있고, 시스템을 바꿀 수 없어요.
- 사람의 승인 단계. 분석가가 승인하기 전에는 어떤 결과도 초안 상태를 벗어나지 않아요.
- 1
경보 수집
읽기 전용 커넥터가 고객 소유 시스템에서 SIEM/EDR 경보와 로그를 가져와요. 데이터를 정규화하고, 비밀 정보를 가리고, 로그 텍스트는 신뢰할 수 없는 데이터로 표시해요.
- 2
도구를 쓰는 Claude 분석
Claude가 Anthropic Messages API로 경보를 읽고, 필요한 정보를 모으기 위해 읽기 전용 도구(이벤트 검색, 호스트·사용자 맥락)를 호출해요.
- 3
구조화된 분류와 ATT&CK 매핑
결과는 스키마로 검증된 JSON 레코드예요: 제안 판정과 우선순위, 근거, MITRE ATT&CK 기법 후보, 다음 단계.
- 4
분석가 승인
분석가가 초안을 승인, 수정, 반려해요. 승인된 결과만 티켓이나 보고서가 되며, 모든 결정은 감사 로그에 남아요.
기능
SOC 워크플로를 위한 방어 목적 보조 도구
아래 기능은 우리가 만들고 있는 제품을 설명해요. 일부는 아직 완성하고 다듬는 중이에요.
SIEM/EDR 경보 분류
경보와 주변 이벤트를 읽고, 핵심 지표를 짚고, 관련 경보를 묶고, 짧은 근거와 함께 우선순위를 제안해요. 분석가가 확정하거나 바꿔요.
사고 요약과 타임라인
경보, 로그, 분석가 메모로 읽기 쉬운 타임라인을 만들어 교대 인수인계, 티켓, 경영진 보고에 쓸 수 있어요.
로그 분석
고객이 소유하거나 관리 권한이 있는 시스템에서, 로그 줄들이 무엇을 보여주는지 설명하고 이상 징후를 짚고 다음에 확인할 점을 제안해요.
MITRE ATT&CK 매핑
관찰된 행위에 대해 ATT&CK 전술과 기법 후보를 근거와 함께 제안해, 분석가가 확인할 수 있게 해요.
보안 코드 리뷰
고객 소유 소스 코드에서 흔한 취약점(인젝션, 안전하지 않은 역직렬화, 하드코딩된 비밀 정보 등)을 검토하고, 안전한 수정이 담긴 조치 보고서 초안을 써요.
조치·보고서 초안
조치 단계, 사후 보고서, 경영진 요약을 한국어나 영어로 작성해요. 모든 내용은 수정할 수 있고 분석가 승인이 필요해요.
Claude 기반
Claude는 제품 런타임의 일부예요
우리 애플리케이션은 처리하는 경보마다 Claude API를 호출해요. Claude가 경보를 읽고, 어떤 읽기 전용 도구를 부를지 정하고, 구조화된 분류 레코드를 돌려줘요. 아래 카드는 그 설계를 설명하며, 일부는 아직 만드는 중이에요. 기술 설계 읽기 →
Messages API + 도구 사용
Claude는 추측하는 대신, 조사 중에 타입 있는 읽기 전용 도구로 SIEM/EDR 데이터를 조회해요.
구조화된 JSON 출력
모든 분류 결과는 고정된 스키마를 따르며, 리뷰 대기열에 오기 전에 검증돼요.
프롬프트 캐싱
고정된 지시, 도구 정의, 긴 로그 맥락을 캐시해 비용과 지연 시간을 관리해요.
모델 라우팅
대량의 1차 분류에는 작은 Claude 모델을, 깊은 조사에는 큰 Claude 모델을 써요.
평가 하네스
프롬프트나 모델을 바꿀 때마다 분류 정확도, ATT&CK 매핑, 근거 충실도를 확인하는 회귀 테스트를 계획하고 있어요.
프롬프트 인젝션 방어
로그 내용은 지시가 아닌 신뢰할 수 없는 데이터로 다루며, 읽기 전용 도구와 사람의 승인이 마지막 안전장치예요.
설계부터 사람이 최종 판단
PurifySec은 제안하고, 결정은 사람이 해요.
✓ 허용 범위 (방어 목적)
- SIEM/EDR 경보 분류와 사고 요약
- 고객 소유 또는 권한이 있는 시스템의 로그 분석
- MITRE ATT&CK 매핑
- 고객 소유 코드의 보안 코드 리뷰
- 조치 가이드와 보고서 초안
✕ 허용하지 않는 범위
- 모의 해킹이나 시스템 공격
- 익스플로잇이나 개념 증명 공격 코드 작성
- 악성코드 분석이나 제작
- 분석가 승인 없는 자동 조치
- 소유자 허가가 없는 시스템에서의 사용
Anthropic 이용 정책을 따라요. 자세한 내용은 책임 있는 사용 정책을 확인해 주세요.
로드맵
지금 단계와 계획
현재 단계 이후는 모두 계획이며, 확정된 약속은 아니에요.
- 현재 단계
1. 작동하는 프로토타입
- Claude API로 만든 작동하는 프로토타입
- 커넥터, 출력 스키마, 리뷰 대기열 완성 중
- 평가 하네스 설계 중 (합성·샘플 데이터)
- 계획
2. 디자인 파트너 파일럿
- 소수의 SOC 팀을 위한 얼리 액세스
- 각 팀의 SIEM/EDR 도구에 읽기 전용 커넥터 연결
- 분석가의 판단과 비교해 분류 품질 측정
- 경보당 모델 라우팅, 프롬프트 캐싱, 비용 조정
- 계획
3. 엔터프라이즈 준비
- 분석가 팀을 위한 SSO와 역할 기반 접근 제어
- 감사 로그 내보내기와 데이터 보관 설정
- 엔터프라이즈 검토를 위한 보안 문서
- 파일럿 피드백에 따른 커넥터 추가
상태: 작동하는 프로토타입
PurifySec은 2026년 3월 13일 설립된 한국 회사 주식회사 퓨리파이솔루션의 제품이에요. 작동하는 프로토타입이 있으며, 소수의 보안팀과 얼리 액세스 파일럿 프로그램을 준비하고 있어요. PurifySec은 Anthropic과 제휴 관계가 아니에요. 회사의 다른 제품으로 AI 데이트가 있어요.
얼리 액세스 파일럿에 관심 있으신가요?
팀 소개, 사용 중인 SIEM/EDR 도구, 도움받고 싶은 분류 업무를 알려 주세요. 이메일로 답장드릴게요.
hello@purifysec.com · JisubLee@purifysec.com (AI 총괄)
hello@purifysec.com으로 메일 보내기