SIEM 데이터 수집 비용 0달러의 승부수: 메이브 3,400만 달러 투자로 본 에이전트 보안관제의 실체

비싼 중앙 저장소로 로그를 모으던 보안관제의 종말과 메이브의 3,400만 달러 베팅

기업 보안팀의 일과는 늘 모순으로 가득 차 있다. 수십 가지 보안 도구를 사들여 설치했지만, 정작 시스템 경보가 울리면 보안 분석가는 화면 대여섯 개를 띄워두고 수동으로 단서를 이어 붙여야 한다. 중앙 보안관제 시스템(SIEM)은 방대한 로그 데이터를 모아두는 창고 역할을 해왔지만, 여기에 데이터를 밀어 넣을 때마다 클라우드 데이터 수집 비용과 보관 요금이 눈덩이처럼 불어난다. 결국 기업들은 예산 한계 때문에 일부 로그만 선별해 저장하고, 정작 침해 사고가 터졌을 때 공격자의 계정 권한이나 클라우드 인프라의 실시간 설정 상태 같은 핵심 맥락을 확인하지 못해 우왕좌왕한다.

2025년 이스라엘 8200 부대 출신 라지엘 오렌(Raziel Oren)과 가이 에셸(Guy Eshel)이 설립한 보안 스타트업 메이브(Mave Security)는 바로 이 병목을 정조준했다. 메이브는 2026년 10월, 레드닷 캐피털 파트너스(Red Dot Capital Partners)가 주도한 2,800만 달러 규모의 시리즈 A와 델 테크놀로지스 캐피털(Dell Technologies Capital) 등이 참여한 600만 달러 시드 라운드를 합쳐 총 3,400만 달러(약 470억 원)의 투자를 유치했다. 설립 불과 1년여 만에 연간 반복 매출(ARR)이 400% 이상 폭발적으로 성장하며 포춘 50대 기업과 수백 개 고객사를 거느린 글로벌 보안관제 서비스 기업(MSSP)을 고객으로 확보했다.

메이브의 핵심 아이디어는 단순하지만 파괴적이다. 기존처럼 모든 로그를 값비싼 중앙 저장소로 퍼 나르는 대신, 각 보안 도구가 위치한 현장으로 AI 에이전트를 보낸다. 숙련된 보안 분석가가 각 소프트웨어의 관리자 화면에 들어가 직접 명령어를 입력하고 조사하듯, AI 에이전트가 개별 도구의 고유 언어(API)로 직접 질문을 던지고 답변을 회수해 사건의 전말을 하나의 이야기로 재구성한다.

기가바이트당 과금의 덫 vs 고정 구독: 실제 숫자로 검증한 팩트 비교 매트릭스

기업들이 보안 도구를 도입할 때 가장 크게 당황하는 지점은 ‘숨은 운영 비용’이다. 일반적인 클라우드 감시 및 로그 통합 도구인 Datadog 같은 모니터링 환경에서도 호스트당 기본 단가 외에 로그 수집량(GB)이 늘어날수록 청구서 금액이 기하급수적으로 뛴다. 보안 영역의 SIEM은 이 문제가 훨씬 심각하다. 전체 네트워크 패킷과 엔드포인트 로그를 전부 적재하려면 연간 수십만 달러가 순수 데이터 보관료로 증발한다.

반면 메이브는 데이터를 가져와 쌓아두지 않고 개별 시스템에 직접 쿼리를 날리는 방식을 택했다. 이로 인해 인프라 데이터 수집 요금이 전혀 발생하지 않는다. 메이브의 도입 효과를 기존 대규모 SIEM 구축 방식 및 분석가 수동 대응 모델과 직접 비교하면 다음과 같다.

기업 보안 현장과 인프라 예산에 미치는 3대 파급력

메이브가 제시한 에이전트 방식은 단순히 보안 담당자의 업무를 덜어주는 보조 도구에 그치지 않는다. 최고정보보호책임자(CISO)와 재무팀이 매년 골머리를 앓는 세 가지 고질병을 정면으로 파고든다.

1. 운영 비용(OPEX): 데이터 전송료와 스토리지 유지비의 극적인 다이어트

대다수 기업은 보안 데이터를 수집할 때 ‘비용과 안전 사이의 타협’을 강요받는다. 방화벽 로그, 클라우드 인프라 변경 이력, 직원 계정 활동 내역을 전부 중앙으로 모으려면 네트워크 대역폭 비용과 클라우드 스토리지 요금이 폭발하기 때문이다. 결국 많은 보안팀이 “비용 절감을 위해 일부 시스템의 상세 로그는 일주일만 보관하고 지우자”는 결정을 내린다.

메이브는 데이터를 중앙으로 옮겨오지 않는다. 방화벽 데이터는 방화벽에 두고, 클라우드 권한 데이터는 클라우드 콘솔에 둔 채 AI 에이전트가 필요할 때만 접속해 값을 읽어온다. 데이터 복제와 전송이 발생하지 않으므로 데이터 이동 요금과 중앙 스토리지 비용이 발생하지 않는다. 기업 규모에 맞춘 고정 요금제로 계약하기 때문에 매달 청구서를 받아 들고 가슴을 졸일 필요가 없다.

2. 처리 속도(Lead Time): 공격자 돌파 시간 29분을 앞서는 즉시 대응

크라우드스트라이크 등 글로벌 보안 업계의 최신 집계에 따르면, 해커가 기업 시스템의 첫 번째 방어선을 뚫고 내부망을 장악하기까지 걸리는 시간(Breakout Time)은 2023년 62분에서 최근 29분 수준으로 절반 이상 단축되었다. 공격자들 역시 자동화 공격 도구를 무차별로 쏟아붓고 있기 때문이다.

하지만 사람이 수동으로 경보를 확인하는 기존 보안관제센터는 경보 하나를 분석하는 데 여전히 수십 분에서 수 시간이 걸린다. 공격자는 이미 내부망 깊숙이 침투했는데, 보안팀은 여전히 “이 IP가 정상적인 직원의 접속인지”를 파악하기 위해 다른 화면을 뒤적이고 있는 셈이다. 메이브는 모든 경보를 접수하자마자 수 분 안에 100% 자동 조사한다. 실제로 발생했던 실시간 침해 시도에서 샤이니헌터스(ShinyHunters) 같은 악명 높은 해커 조직의 활동을 조기에 식별하고, 침투가 본격화되기 전에 시스템을 격리하는 성과를 거두었다.

3. 공급망 및 운영 안정성: 잘못된 자동화 차단 사고를 막는 엄격한 통제선

보안 자동화 도구를 도입할 때 기업 엔지니어들이 가장 두려워하는 것은 ‘엉뚱한 정상 업무 차단’이다. 자동화 프로그램이 오작동을 일으켜 정상 결제 서버를 악성코드로 오인해 내려버리면 비즈니스가 멈춰 선다.

메이브는 자율주행차처럼 AI가 마음대로 모든 결정을 내리도록 방치하지 않는다. AI 에이전트가 사건의 전말을 밝혀내더라도, 실제 대응 조치는 보안팀이 사전에 설정한 규칙 울타리 안에서만 작동한다. 예를 들어 “위험도 점수가 90점 이상이고 외부 C2 서버와의 통신이 확인된 비인가 계정만 암호 재설정 및 세션 만료를 집행한다”는 식의 조건을 충족해야만 차단 조치가 내려진다. 통제권을 사람이 쥐고 있으면서도 속도는 기계의 속도로 대응하는 안전장치를 확보한 것이다.

파편화된 보안 시장을 봉합하는 신기술 완충벽과 경쟁 지형

현재 엔터프라이즈 보안 시장은 극심하게 쪼개져 있다. 엔드포인트 침해 탐지(EDR), 클라우드 보안 태세 관리(CSPM), 신원 및 접근 관리(IAM), 네트워크 위협 탐지 등 분야마다 서로 다른 벤더의 소프트웨어가 난립해 있다. 시스코, 팔로알토 네트웍스 같은 공룡 기업들은 이 모든 것을 자사 단일 제품군으로 통합하라고 요구하지만, 이미 수십억 원을 들여 다른 도구를 깔아둔 기업 입장에서 전체 교체는 불가능에 가깝다.

메이브는 기존 도구를 쫓아내지 않고 그 위에 얹히는 ‘협업형 계층’으로 포지셔닝했다. 드롭존(Dropzone)이나 프로핏 시큐리티(Prophet Security) 같은 신생 에이전트 보안 기업들도 유사한 영역에 뛰어들고 있으나, 메이브는 이미 금융 및 헬스케어 등 엄격한 규제를 받는 산업군에서 레퍼런스를 확보하며 앞서나가고 있다. 특히 수백 개의 중소기업 고객을 대신 관리해 주는 글로벌 대형 보안관제사들이 메이브를 적극 채택하고 있다는 점은 주목할 만하다. 보안관제사 입장에서는 부족한 인력으로 수많은 고객사의 서로 다른 보안 인프라를 일일이 들여다보는 인건비 부담을 극적으로 낮출 수 있기 때문이다.

메이브 도입 적합 대상 판정: 지금 당장 서둘러야 할 곳과 관망해야 할 곳

보안 현장에 AI 에이전트를 도입하는 일은 조직의 운영 방식 자체를 바꾸는 중대한 결정이다. 기업의 현재 인프라 상태와 보안 성숙도에 따라 투자 대비 효과는 극명하게 갈린다.

지금 즉시 도입해야 할 기업 (Fit 조건 3가지)

• 보안 도구가 10개 이상 난립해 분석가들이 화면 전환에 지친 기업: 엔드포인트, 클라우드, 네트워크 장비가 제각각 흩어져 있어 경보가 뜰 때마다 3개 이상의 관리자 콘솔을 열어 수동 복사-붙여넣기를 하고 있다면 에이전트 도입 즉시 업무 시간을 90% 이상 아낄 수 있다.
• SIEM 데이터 수집 비용이 매달 예산을 초과해 로그 저장을 포기하고 있는 기업: 기가바이트 단위 종량제 청구서 때문에 중요도가 낮아 보이는 시스템의 로그 보관 주기를 억지로 줄이고 있다면, 원천 시스템 직접 질의 방식으로 전환해 비용 누수를 막고 보안 사각지대를 없애야 한다.
• 수십 개 고객사의 서로 다른 보안 환경을 관리해야 하는 보안관제 전문 기업(MSSP): 고객사마다 제각각인 보안 도구 구성을 일일이 분석가가 수작업으로 대응하느라 야간 당직 인건비가 감당되지 않는 환경에서는 에이전트 자동 분석이 가장 확실한 마진 개선책이 된다.

도입을 보류하고 지켜봐야 할 기업 (Non-Fit 리스크 3가지)

• 보안 도구가 2–3개에 불과하고 인프라가 단순한 초기 기업: 클라우드 환경 하나에 단일 보안 도구만 쓰고 있다면 자동 순서 제어할 시스템 자체가 적다. 에이전트 플랫폼에 연간 수만 달러 이상의 고정 라이선스를 지출하는 것은 과잉 투자다.
• 사내 보안 장비의 API 연동 기능이 닫혀 있는 폐쇄망 레거시 환경: 메이브의 에이전트는 기존 도구의 API 인터페이스를 통해 질의를 주고받는다. 10년 이상 된 온프레미스 장비나 외부 API 조회가 차단된 특수 폐쇄망 환경에서는 에이전트가 제 성능을 발휘하기 어렵다.
• 자동화된 시스템 격리나 계정 차단에 대한 사내 규정이 전무한 조직: AI가 조사를 끝내도 차단 권한을 어디까지 위임할 것인지에 대한 내부 보안 정책 합의가 없다면, 결국 마지막 단계에서 사람이 결재를 올리느라 침투 골든타임을 놓치는 비효율이 반복된다.