Druva 랜섬웨어 탐지, AI로 AI 지원 공격에 맞서다

Druva는 9월 17일, AI 지원 공격으로 악성 활동을 일상적인 변경과 구분하기가 더 어려워지는 상황에 대응해 2단계 랜섬웨어 탐지 시스템을 출시했다. 새로운 Druva 랜섬웨어 탐지 기능은 백업 스냅샷을 분석하고, 의심되는 암호화를 검증하며, 관리자가 더 깨끗한 복구 지점을 식별하도록 돕는다.

이 대립은 단순히 AI와 AI의 대결이 아니다. 기존 이상 탐지는 비정상적인 행위를 찾아내지만, 이상 징후만으로 랜섬웨어가 데이터를 변경했다는 사실이 입증되지는 않는다. 보안 및 복구 팀은 어떤 백업이 여전히 신뢰할 수 있는지 판단하는 동안 경고를 연관 분석하느라 중요한 시간을 잃을 수 있다.

Druva는 이러한 불확실성을 증거로 대체하려 한다. 이 시스템은 행동 모델, 파일 수준의 포렌식 검사, 그리고 Dru MetaGraph의 ID 컨텍스트를 결합한다. 이 접근 방식은 사이버 복구의 익숙한 약점을 겨냥한다. 대응자가 무엇을 복원할지 확신을 갖고 선택할 수 없다면, 빠른 탐지는 큰 의미가 없다.

Druva, 이상 경고에서 랜섬웨어 확인으로 전환

Druva의 핵심 변화는 의심스러운 활동을 식별하는 방식에서 벗어나, 랜섬웨어가 백업 스냅샷을 변경했는지를 확인하는 방식으로의 전환이다.

첫 번째 단계에서는 랜섬웨어와 연관된 행동을 찾기 위해 백업 메타데이터를 조사한다. 이러한 신호에는 대량 파일 이름 변경, 비정상적인 확장자, 랜섬 노트와 같은 아티팩트가 포함된다. Druva는 전용 AI 및 머신러닝 모델이 여러 스냅샷에 걸쳐 이러한 지표를 평가한다고 설명한다.

의심스러운 결과가 즉시 확인된 랜섬웨어 사고로 전환되는 것은 아니다. 대신 Druva는 영향을 받은 스냅샷을 두 번째 포렌식 단계로 격상한다. 이 분리는 일반적인 관리 또는 애플리케이션 활동에서 발생할 수 있는 오탐을 줄이기 위한 것이다.

두 번째 단계에서는 실제 파일을 조사한다. Druva의 기술 문서에 따르면, 검사는 엔트로피 분석, MIME 유형 일관성, 파일 헤더 및 구조적 무결성을 포함한다.

엔트로피는 파일 내용이 얼마나 무작위적으로 보이는지를 측정한다. 암호화는 종종 이러한 무작위성을 높이지만, 높은 엔트로피만으로 악의적인 의도가 입증되지는 않는다. MIME 분석은 파일이 보고하는 형식과 실제 콘텐츠를 비교해, 변경된 확장자로 위장한 파일을 드러내는 데 도움이 된다.

Druva는 이후 이러한 조사 결과를 상호 연관 분석한 뒤 중요 경고를 발행한다. 이 시스템은 잠재적 활동에 대한 고심각도 경고와 확인된 영향을 보고하는 중요 경고를 구분한다.

이 구분은 실무적인 사고 대응 문제를 해결한다. 변경된 파일 수가 급증한 것은 랜섬웨어를 의미할 수 있지만, 마이그레이션, 소프트웨어 업데이트 또는 대규모 관리 작업에서 비롯될 수도 있다. 모든 편차를 공격으로 취급하면 경고 피로가 발생하고 조사가 느려진다.

Druva는 증거가 Recovery Insights 및 Security Command Center에 표시된다고 설명한다. 관리자는 영향을 받은 스냅샷을 조사하고, 명백한 감염 이전 시점을 식별하며, 데이터를 프로덕션으로 되돌리기 전 Restore Scan을 실행할 수 있다.

이 기능은 VMware 가상 머신, Microsoft Azure 가상 머신, AWS EC2 및 EBS 워크로드를 대상으로 제한적 제공에 들어갔다. Druva는 이 기능이 Premium Security 서비스로 제공되며, 계정 관리자 또는 지원 케이스를 통해 활성화해야 한다고 밝혔다.

회사는 이 기능이 Druva의 클라우드 백업 아키텍처 내에서 실행되므로 에이전트리스라고 설명한다. 고객은 또 다른 로컬 탐지 에이전트나 별도의 스캐닝 어플라이언스를 설치할 필요가 없다.

이 아키텍처는 사고 발생 시 중요하다. 엔드포인트 도구는 비활성화되거나 조작될 수 있고, 복구 팀과 격리될 수도 있다. 백업 텔레메트리는 보호된 데이터에 어떤 일이 일어났는지 파악할 수 있는 별도 정보원으로 남는다.

다만 이 기능은 초기 침입을 막거나 랜섬웨어 실행 전에 이를 중단하지는 않는다. 그 가치는 의심스러운 행동이 보호된 데이터에 도달하고 백업 스냅샷 내에서 확인된 이후부터 시작된다.

이처럼 더 좁은 역할은 중요하다. Druva 랜섬웨어 탐지는 주로 증거와 복구를 위한 기능이며, 엔드포인트, ID, 이메일 또는 네트워크 방어를 대체하지는 않는다.

AI 지원 랜섬웨어, 불확실성의 비용을 높이다

AI는 공격 속도와 변형의 폭을 키워 랜섬웨어 경쟁의 양상을 바꾸지만, 방어자는 여전히 프로덕션 시스템을 복원하기 전에 신뢰할 수 있는 증거를 필요로 한다.

보도된 출시는 AI를 이용해 더 많은 경로를 시험하고 전술을 더 빠르게 바꾸는 공격자를 중심으로 이 제품을 설명한다. 탈취된 자격 증명 역시 악성 활동을 정상 사용자 활동처럼 보이게 할 수 있다.

이는 모든 랜섬웨어 페이로드가 자율적으로 작동한다는 뜻은 아니다. AI는 전체 공격을 통제하지 않으면서도 작전의 여러 부분을 지원할 수 있다. 피싱을 개선하고, 스크립트를 생성하며, 정찰을 가속하거나, 운영자가 표적 환경에 맞춰 조정하도록 도울 수 있다.

Proofpoint의 AI 시대 랜섬웨어 연구에 따르면, 설문에 참여한 랜섬웨어 피해자 중 65%는 AI가 공격의 효과를 높였다고 믿었다. 같은 연구는 사고의 47%가 악성 링크에서 시작됐다고 보고했다.

이 수치는 Druva의 대응 뒤에 놓인 ID 문제를 강화한다. 많은 공격은 사용자가 링크를 열거나 침입자가 유효한 자격 증명을 사용하는 것처럼, 처음에는 승인된 것으로 보이는 행동을 통해 시작된다.

접근이 정상적으로 보이기 시작하면, 고립된 보안 신호는 해석하기가 더 어려워진다. 변경된 정책, 새 권한 또는 낯선 애플리케이션 연결은 정상적인 관리 활동일 수 있다. 반면 수평 이동이나 지속성 확보를 위한 준비일 수도 있다.

기존 이상 탐지는 탐색 범위를 좁혀주기 때문에 여전히 유용하다. 하지만 보안 팀은 여전히 경고가 공격을 의미하는지, 어떤 시스템이 영향을 받았는지, 그리고 환경이 마지막으로 신뢰할 수 있었던 시점이 언제인지를 판단해야 한다.

복구 팀에는 추가적인 문제가 있다. 가장 최신의 백업이 자동으로 최선의 복구 지점이 되는 것은 아니다. 공격자가 며칠 동안 접근 권한을 유지했다면, 최근 스냅샷에도 손상된 데이터나 악의적인 변경 사항이 보존될 수 있다.

감염된 스냅샷을 복원하면 사고가 재발할 수 있다. 불필요하게 오래된 스냅샷을 선택하면 정상적인 비즈니스 활동을 잃을 수 있다. 올바른 복구 지점은 이 두 결과 사이에 있으며, 이를 식별하려면 백업 작업이 정상 완료되었다는 상태 표시만으로는 부족하다.

Druva는 수년간 축적된 백업 텔레메트리가 이러한 판단을 위한 더 안정적인 기반을 제공할 수 있다고 주장한다. 과거 스냅샷은 시간에 따른 변경을 보여주고, 파일 포렌식은 이러한 변경이 암호화와 유사한지 검사할 수 있다.

이 때문에 AI 지원 랜섬웨어는 기존 보안 기업뿐 아니라 백업 공급업체에도 압박을 가한다. 고객은 보호된 데이터가 조사, 검증 및 조율된 복구를 지원하기를 점점 더 기대하고 있다.

Rubrik, Cohesity, Commvault, Veeam 역시 데이터 보호를 사이버 복원력의 일부로 포지셔닝한다. Gartner의 공급업체 비교는 이들 제품 중 여러 개를 같은 구매 범주의 대안으로 제시한다.

경쟁의 초점은 플랫폼이 변경 불가능한 사본을 저장하는지 여부에서, 그 사본에 대해 무엇을 입증할 수 있는지로 이동하고 있다. 구매자는 데이터가 깨끗한지, 어떤 ID가 관련됐는지, 운영을 얼마나 빨리 재개할 수 있는지를 알고 싶어 한다.

Druva의 대응은 이러한 변화를 반영한다. 이 회사의 AI는 범용 보안 도우미로 제시되지 않는다. 대신 오류의 비용이 큰 특정 판단, 즉 보호된 데이터가 랜섬웨어 영향을 받았는지를 판별하는 데 적용된다.

Druva 랜섬웨어 탐지, 신호를 복구 증거로 전환하다

2단계 설계가 중요한 이유는 폭넓은 행동 기반 선별과 복구를 승인하는 데 필요한 더 엄격한 증거를 분리하기 때문이다.

첫 번째 단계에서는 광범위한 탐지가 장점이다. 모델은 변경된 확장자, 생성된 아티팩트, 대량 이름 변경, 의심스러운 파일 변환을 검사할 수 있다. 이러한 패턴은 확립된 시그니처 없이도 알려진 랜섬웨어와 그 변종을 드러낼 수 있다.

그러나 이 같은 폭넓은 탐지는 모호함도 만든다. 많은 정상 워크로드가 대규모 또는 비정상적인 변경을 일으킨다. 개발 시스템은 낯선 파일 형식을 생성하고, 데이터베이스 프로세스는 대규모 데이터세트를 다시 작성하며, 마이그레이션은 대량 수정처럼 보일 수 있다.

두 번째 단계는 이러한 모호성에 대한 Druva의 답이다. 파일이 암호화 또는 구조 조작과 일치하는 특성을 보이는지 평가한다. 이후 시스템은 경고와 함께 이를 뒷받침하는 지표를 제시한다.

Druva는 이를 설명 가능한 증거라고 부른다. 실무적으로는 관리자가 위험 점수만 받는 것이 아니라, 플랫폼이 왜 특정 스냅샷을 격상했는지 확인할 수 있어야 한다는 의미다.

이 구분은 보안 운영 팀과 백업 관리자 간 협업을 개선할 수 있다. 보안 분석가는 의심되는 공격을 이해하고, 백업 팀은 사용 가능한 복원 지점을 이해한다. 조치를 취하기 전에 두 그룹 모두 공유된 기록이 필요하다.

워크플로는 탐지로 시작하지만 복구 결정으로 끝난다. Druva의 제품 설명은 이 과정을 행동 기반 탐지, 포렌식 검증, 사이버 복구로 구분한다.

가능성 높은 영향을 확인한 뒤 플랫폼은 복구 도구에 조사 결과를 표시한다. 팀은 증거를 검토하고, 감염 이전 스냅샷을 선택하며, 제안된 복원 지점을 스캔한 다음 복원을 진행할 수 있다.

이는 “무언가가 변경됐다”는 수준에서 멈추는 경고보다 더 유용하다. 진단을 시스템을 다시 서비스로 복귀시키는 운영 업무와 연결하기 때문이다.

그럼에도 모델의 출력은 Druva 환경 내에서 볼 수 있는 데이터에 의존한다. 수집되지 않은 이벤트를 재구성할 수 없으며, 모든 악의적 변경이 식별 가능한 증거를 남긴다고 보장할 수도 없다.

암호화 탐지는 현대 랜섬웨어의 일부만 다룬다. 공격자는 무엇인가를 암호화하기 전에 데이터를 탈취하고, ID를 파괴하며, 접근 정책을 변경하거나, 지속성을 확보할 수 있다. 일부 갈취 캠페인은 데이터를 전혀 암호화하지 않을 수도 있다.

Druva는 기존 서비스를 통해 이 공백을 일부 해결한다. Threat Watch는 알려진 침해 지표를 검사한다. Data Anomaly Detection은 비정상적인 데이터 활동을 표시하며, 관리형 탐지 및 대응 서비스는 관리 위협과 파괴적 활동을 모니터링한다.

새 기능은 이러한 도구들 사이에 위치한다. 일반적인 이상 탐지보다 구체적이지만, 더 폭넓은 사고 조사를 대체하지는 않는다. 이 기능의 역할은 랜섬웨어 영향을 검증하고 더 안전한 복원 선택을 지원하는 것이다.

회사는 “거의 제로”에 가까운 오탐을 주장하지만, 이 주장은 다양한 고객 환경에서 독립적인 테스트가 필요하다. 오탐 성능은 워크로드 유형, 데이터 볼륨, 로컬 운영 패턴에 따라 달라지는 경우가 많다.

제한적 제공은 Druva에 그러한 검증을 위한 통제된 기간을 제공한다. 동시에 초기 발표가 보편적으로 배포된 프로덕션 기능이 아니라, 새롭게 등장하는 기능을 설명한다는 의미이기도 하다.

엔터프라이즈 구매자에게 평가 질문은 구체적이다. Druva는 복구를 지연시키지 않으면서 악의적인 암호화와 대량의 정상 변경을 일관되게 구분할 수 있는가?

이 기준은 AI 자체의 존재보다 더 중요하다. 효과적인 모델은 대응자가 그 결론을 검토하고 이의를 제기할 수 있을 만큼 충분한 증거를 보존하면서 조사 시간을 줄여야 한다.

Dru MetaGraph, 조사를 ID 영역으로 확장하다

파일 증거는 랜섬웨어가 무엇을 손상했는지 보여줄 수 있지만, 공격자가 어떻게 해당 데이터에 도달했는지를 설명하려면 ID 컨텍스트가 필요하다.

Druva는 위협 파이프라인을 ID, 활동, 데이터 맥락을 연결하는 인텔리전스 계층인 Dru MetaGraph와 결합하고 있다. 이 시스템은 서비스 ID와 AI 에이전트를 포함해 사람 계정과 비인간 ID를 모두 포괄한다.

이 시스템은 Microsoft Entra ID, Active Directory, Okta 전반의 관계를 파악한다. Druva는 이를 통해 대응 담당자가 시간 경과에 따른 권한, 애플리케이션, 정책, ID 관련 변경 사항을 검토할 수 있다고 말한다.

그래프가 유용한 이유는 공격이 단 하나의 고립된 이벤트로 끝나는 경우가 드물기 때문이다. 침입자는 자격 증명을 탈취하고, 권한을 높이며, 지속성을 확보하고, 시스템 간 이동한 뒤 보호된 데이터에 영향을 미칠 수 있다.

평면적인 알림 목록에서는 분석가가 이러한 관계를 수동으로 조합해야 한다. Dru MetaGraph는 침해된 ID를 중심으로 예상되는 영향 범위를 포함해 공격 경로를 연결된 순서로 표시하는 것을 목표로 한다.

Druva는 관측된 행동을 ATT&CK knowledge base에 매핑한다고 말한다. MITRE ATT&CK는 실제 공격자의 행동을 전술과 기법으로 체계화해 보안 팀에 조사 공통 언어를 제공한다.

이 매핑은 개별 이벤트의 목적을 구분하는 데 도움을 줄 수 있다. 권한 변경은 권한 상승을 의미할 수 있으며, 새 인증 메커니즘은 지속성 확보를 지원할 수 있다.

Druva는 맥락 기반 보기를 통해 조사 시간을 며칠에서 몇 시간으로 줄일 수 있다고 주장한다. 다만 이는 회사 측의 주장으로, 공개 자료에는 이러한 시간 단축을 뒷받침하는 폭넓은 독립 벤치마크가 제시되지 않았다.

더 중요한 설계 선택은 ID 이력과 백업 이력을 연결하는 데 있다. 파일 수준 알림은 의심스러운 암호화를 식별할 수 있고, ID 기록은 공격자가 영향을 받은 리소스에 어떻게 도달했는지 보여줄 수 있다.

이 계층들을 함께 사용하면 공격 이전 상태를 확립하는 데 도움이 될 수 있다. 대응 담당자는 깨끗한 데이터뿐 아니라 신뢰할 수 있는 계정, 권한, 정책도 식별해야 한다.

지속적인 접근 권한을 제거하지 않은 채 파일을 복원하면 공격자에게 환경으로 돌아올 경로를 남기게 된다. 데이터를 검증하지 않은 채 계정을 재설정하면 사용자가 손상되거나 암호화된 시스템으로 돌아갈 수 있다.

Druva는 시스템이 맞춤형 복구 계획을 생성할 수 있다고 말한다. 이 계획은 영향을 받은 객체를 식별하고, 조치를 권고하며, 깨끗한 스냅샷을 가리킨다. 다만 각 권고 사항은 여전히 운영 측의 검토가 필요하다.

이는 Druva의 가장 분명한 경쟁 논거를 만든다. SaaS 백업 플랫폼은 이미 여러 복구 지점에 걸친 과거 데이터를 보유한다. 여기에 ID 관계를 더하면 해당 스냅샷을 침해 후 분석을 위한 타임라인으로 전환할 수 있다.

같은 아키텍처는 거버넌스 관련 질문도 낳는다. ID 그래프에는 계정, 권한, 애플리케이션, 행동에 관한 민감한 정보가 담긴다. 고객은 수집 범위, 보존 기간, 접근 통제, 지역별 처리 방식을 이해해야 한다.

AI 에이전트는 이 문제를 더욱 시급하게 만든다. 비인간 ID는 지속적으로 작동하고, 여러 애플리케이션에 연결되며, 이를 생성한 작업보다 오래 지속되는 권한을 부여받을 수 있다.

보안 팀은 정상적인 자동화 작업과 해당 ID를 악용하는 공격자를 구분해야 한다. Druva의 그래프는 맥락을 더할 수 있지만, 맥락이 ID 통제와 사람의 판단 필요성을 없애지는 않는다.

따라서 핵심 경쟁 구도는 Druva와 랜섬웨어만의 대결이 아니다. 보안, ID, 백업 팀이 사고의 서로 다른 부분을 보는 파편화된 대응 프로세스에 맞서는 증거 기반 복구의 경쟁이다.

어려운 시험은 알림 양이 아니라 신뢰다

Druva는 복잡한 워크로드, 은밀한 공격, 그리고 암호화 우선 패턴을 따르지 않는 사고에서도 증거가 신뢰할 수 있음을 입증해야 한다.

제품의 가장 강력한 약속은 정확성이다. Druva는 다단계 검증으로 오탐 신호를 걸러내고 확인된 증거를 제공할 수 있다고 말한다. 복구 결정은 기업 전체에 영향을 줄 수 있으므로 이 약속은 면밀한 검토가 필요하다.

오탐은 깨끗한 스냅샷을 격리하거나 복원을 지연시킬 수 있다. 반대로 미탐은 침해된 데이터를 안전하다고 판단해 악성 변경 사항을 프로덕션으로 되돌릴 수 있다.

공격자가 탐지기에 적응할수록 위험은 커진다. 일반적인 랜섬웨어 지표를 이해하는 공격자는 몸값 요구 메시지를 남기지 않거나, 파일 변경 속도를 늦추거나, 예상 임계값 이하의 일부 자산만 암호화할 수 있다.

AI는 변형을 생성하고 행동을 시험함으로써 이러한 적응을 더 빠르게 만들 수 있다. 따라서 방어 모델은 정상 운영이 끊임없는 에스컬레이션을 일으킬 정도로 민감해지지 않으면서 발전해야 한다.

Druva는 텔레메트리, 위협 인텔리전스, 지속적인 모델 개선을 통해 탐지가 향상된다고 말한다. 고객은 이러한 업데이트가 어떻게 시험되는지, 그리고 모델 변경이 알림 일관성에 영향을 미치는지 물어야 한다.

또한 각 결론을 뒷받침하는 증거도 검토해야 한다. 특히 압박이 큰 복구 상황에서는 일반적인 신뢰도 점수보다 읽기 쉬운 설명이 더 가치 있다.

워크로드 범위도 또 하나의 제약이다. 초기 제한적 제공 버전은 VMware, Azure 가상 머신, AWS EC2 및 EBS를 지원한다. 조직은 SaaS 애플리케이션, 엔드포인트, 데이터베이스, 컨테이너, 물리 시스템 전반에 핵심 데이터를 보유하는 경우가 많다.

Druva는 이러한 환경 일부에 다른 보호 기능을 제공하지만, 새로운 2단계 랜섬웨어 기능은 처음부터 보편적인 범위를 지원하지 않는다. 구매자는 더 폭넓은 플랫폼 포트폴리오와 이 기능의 현재 지원 목록을 구분해야 한다.

타이밍 문제도 있다. 백업 기반 분석은 보호 워크플로가 데이터를 캡처하는 주기에 따라 데이터를 확인한다. 프로덕션 활동에서 작동하는 보안 통제는 이벤트를 더 빨리 관찰할 수 있는 반면, 백업 분석은 분리성과 과거 맥락을 제공한다.

두 역할은 서로 보완적이다. 엔드포인트 및 ID 통제는 공격을 차단하거나 억제하는 데 도움이 될 수 있다. 백업 포렌식은 피해를 검증하고 더 많은 정보를 바탕으로 서비스 복귀를 지원할 수 있다.

어떤 벤더도 이 관계를 잘못된 선택지로 바꿔서는 안 된다. 복구 인텔리전스가 예방, 모니터링, 세분화, 사고 대응 또는 검증된 연속성 계획의 필요성을 없애지는 않는다.

경쟁사 주장은 비슷한 주의가 필요하다. Rubrik, Cohesity, Commvault, Veeam 모두 서로 다른 아키텍처를 활용한 탐지 및 클린 복구 기능을 설명한다. 마케팅 비교는 고객의 실제 워크로드나 복구 제약 조건을 재현하는 경우가 드물다.

구매자에게는 시나리오 기반 테스트가 필요하다. 유용한 평가는 대표적인 스냅샷에 의심스러운 파일 변경, 정상적인 대량 작업, 통제된 암호화를 주입하는 방식이 될 수 있다. 이후 팀은 탐지 품질, 설명, 복원 시간을 비교할 수 있다.

훈련에는 ID 침해도 포함해야 한다. 테스트는 플랫폼이 권한 변경, 지속성, 측면 이동, 손상된 데이터를 유용한 복구 순서로 연결하는지 판단해야 한다.

운영 사용성도 중요하다. 전문가만 해석할 수 있는 증거는 야간 사고 발생 시 규모가 작은 팀에 도움이 되지 않는다. 알림은 불확실성을 숨기지 않으면서 조치를 안내해야 한다.

Druva의 발표는 추측을 줄일 수 있는 신뢰할 만한 메커니즘을 제시하지만, 검증 문제를 해결하지는 못한다. 실제 배포 환경에서는 시스템이 얼마나 자주 정확한지, 무엇을 놓치는지, 팀이 얼마나 빠르게 행동할 수 있는지를 보여줘야 한다.

엔터프라이즈 구매자가 다음으로 주목해야 할 사항

다음 증거는 추가 AI 브랜딩이 아니라 확장된 제공 범위, 독립적인 탐지 결과, 고객 복구 훈련에서 나와야 한다.

첫 번째 신호는 제한적 제공에서 폭넓은 프로덕션 접근으로의 전환이다. Druva는 더 많은 고객이 언제 이 기능을 활성화할 수 있는지, 지원 워크로드가 초기 클라우드 및 가상 머신 범위를 넘어 확장되는지 명확히 해야 한다.

더 넓은 제공 범위는 다양한 데이터셋에서 성능이 일관되게 유지될 때에만 제품 스토리를 강화할 수 있다. 지연이나 좁은 지원 범위는 포렌식 정확성을 일반화하는 일이 출시 발표가 시사하는 것보다 어렵다는 신호가 될 수 있다.

두 번째 신호는 독립적인 검증이다. 구매자는 현실적인 시뮬레이션에서 나온 복구 시간 결과와 함께 측정된 오탐 및 미탐 결과를 필요로 한다.

유용한 벤치마크에는 정상적인 대규모 변경, 알려진 랜섬웨어, 익숙하지 않은 변종, 느린 암호화, 파일을 건드리기 전에 ID를 변경하는 공격이 포함되어야 한다. 또한 데이터셋과 의사결정 임계값도 설명해야 한다.

독립적인 증거는 2단계 분석이 신뢰할 수 있는 확인을 제공한다는 Druva의 주장을 강화할 수 있다. 상당한 수준의 수동 검토가 필요한 결과는 시스템이 불확실성을 명확한 복구 증거로 대체한다는 생각을 약화시킬 것이다.

세 번째 신호는 실제 사고 워크플로 내 고객 도입이다. 중요한 질문은 보안 팀과 백업 팀이 동일한 증거를 사용해 더 빠르고 안전한 결정을 내리는지다.

고객 보고서는 시스템이 영향을 받은 스냅샷을 어떻게 식별했는지, 공격 이전 시점을 어떻게 선택했는지, 제안된 복원을 어떻게 검증했는지, 침해된 ID를 어떻게 처리했는지 설명해야 한다. 복원력 향상에 대한 일반적인 언급만으로는 이 질문에 답할 수 없다.

경쟁사 대응도 주목할 만하지만, 기능 수가 비교를 지배해서는 안 된다. 더 의미 있는 시험은 다른 플랫폼이 더 명확한 증거, 더 넓은 맥락, 또는 더 빠른 검증된 복구를 제공하는지다.

Druva의 랜섬웨어 탐지는 AI가 공격 활동과 방어 분석을 모두 가속하는 시점에 등장했다. 이 2단계 아키텍처는 AI에 제한된 역할을 부여한다. 폭넓게 선별하고, 깊이 검증하며, 발견 사항을 복구와 연결하는 역할이다.

이러한 초점은 합리적이다. 해결되지 않은 질문은 고객 환경, 공격자 기법, ID 관계가 복잡해질 때 Druva가 그 정확성을 유지할 수 있는지 여부다.

이 기능을 평가하는 보안 리더는 까다로운 훈련 한 가지를 실행해야 한다. 플랫폼에 깨끗하고, 특이하며, 악의적인 스냅샷이 섞인 세트를 제공한 뒤, 대응 팀에게 벤더의 안내 없이 복구하도록 요청해야 한다. 압박 상황에서 증거가 올바른 결정을 뒷받침한다면 Druva의 AI 대응은 실질적 가치를 지닌다. 팀이 여전히 사고를 수동으로 재구성해야 한다면, 제품은 더 많은 입증이 필요하다.