위협 헌팅이란? 유형 및 가이드
위협 헌팅은 보안 위협을 선제적으로 식별합니다. 조직에서 위협 헌팅을 수행하는 효과적인 전략을 알아보세요.
핵심 요약
- 위협 헌팅은 네트워크에 숨어 있는 위협을 선제적으로 찾는 활동입니다. 헌터는 이미 침해가 발생했다고 가정하고, 자동화된 보안 통제가 놓친 침해 지표, 내부 이동, 공격자 행동을 찾습니다.
- 위협 헌팅은 사고 대응, 포렌식, 침투 테스트와 다릅니다. DF/IR은 침해 후 발생한 일을 파악하고, 침투 테스트는 외부 공격을 시뮬레이션합니다. 위협 헌팅은 이미 내부에 있을 수 있는 공격자를 찾습니다.
- 효과적인 위협 헌팅에는 전체 환경에 대한 가시성과 풍부한 인텔리전스가 필요합니다: 상세한 엔드포인트 텔레메트리, 강력한 검색 기능을 갖춘 SIEM 또는 EDR 도구, 공격자 TTPs를 매핑하는 데 쓰이는 OSINT 피드와 MITRE ATT&CK 프레임워크 같은 위협 인텔리전스 소스가 필요합니다.
- 성공적인 헌팅은 가설에서 시작합니다. 헌터는 조직의 위험 프로필, 중요 데이터, 사용자 행동 기준선을 바탕으로 가설을 세웁니다. 그런 다음 기준선 설정, 클러스터링, 스태킹 같은 기법으로 가설을 검증하고, 가능한 경우 자동화와 머신러닝을 활용합니다.
- 지속적인 위협 헌팅이 가장 효과적인 방식입니다. 비정기적이거나 정기적으로만 수행하는 헌팅은 공격자가 탐지되지 않은 채 머무를 시간을 남깁니다. 내부 전문 인력이 없는 조직은 MSSPs 또는 MDR 제공업체의 관리형 위협 헌팅 서비스를 이용할 수 있습니다.
위협 헌팅은 사이버 위협이 피해를 일으키기 전에 선제적으로 식별하고 완화하는 접근 방식입니다. 이 가이드에서는 위협 헌팅의 원칙과 이점, 보안 전문가가 사용하는 기법을 살펴봅니다.
효과적이지 않은 위협 헌팅에서 위협 인텔리전스와 지속적인 모니터링의 중요성을 알아보세요. 사이버 보안 태세를 강화하려는 조직이라면 위협 헌팅을 이해해야 합니다.
사이버 위협 헌팅이란?
사이버 위협 헌팅은 조직의 네트워크나 시스템에서 잠재적인 사이버 위협의 징후를 선제적이고 체계적으로 찾는 활동입니다. 로그 데이터 분석, 네트워크 스캔, 위협 인텔리전스 피드 활용 등 수동 및 자동화 기법으로 수행합니다. 사이버 위협 헌팅은 방화벽이나 침입 탐지 시스템 같은 기존 보안 통제를 우회했을 수 있는 잠재적 위협을 식별하는 데 목적이 있습니다. 조직은 이러한 위협을 조기에 탐지하고 대응해 사이버 공격으로 인한 피해 위험을 줄이고 시스템과 네트워크의 보안 및 가용성을 유지합니다.
위협 헌팅은 공격자가 공격을 실행하거나 목표를 달성하기 전에 네트워크에 숨어 있는 공격자를 찾아내는 활동입니다. 대부분의 보안 전략과 달리, 위협 헌팅은 고급 보안 솔루션의 데이터 및 기능과 위협 헌팅 전문가 개인 또는 팀의 뛰어난 분석력과 기술 역량을 결합하는 선제적 기법입니다.
위협 헌팅은 사고 대응이나 디지털 포렌식과는 성격이 크게 다릅니다. 디지털 포렌식 및 사고 대응(DF/IR) 방법론은 데이터 침해가 드러난 후 무슨 일이 있었는지 파악하는 데 목적이 있습니다. 반면 위협 헌팅 팀은 방어 계층을 이미 통과했을 수 있는 공격을 찾습니다.
위협 헌팅은 침투 테스트 및 취약점 평가와도 다릅니다. 이 두 활동은 외부 공격을 시뮬레이션합니다. 반면 위협 헌팅 전문가는 공격자가 이미 네트워크 내부에 있다고 가정하고 침해 지표, 내부 확산 및 공격 행위를 입증할 수 있는 기타 단서를 찾습니다.
위협 헌팅과 사고 대응, 침투 테스트 비교
구분 | 위협 헌팅 | 사고 대응 | 침투 테스트 |
목적 | 피해가 발생하기 전에 숨겨진 위협을 선제적으로 발견 | 탐지된 보안 사고에 대응하고 확산 차단 | 외부 공격을 시뮬레이션해 취약점 식별 |
수행 시점 | 지속적 또는 정기적으로 수행하며, 침해가 발생했다고 가정 | 경고 또는 침해가 탐지된 후 대응 | 계획된 주기에 따라 정기적으로 수행 |
접근 방식 | 네트워크 내부에서 침해 및 내부 확산의 징후 탐색 | 확인된 사고를 조사하고 확산을 차단하며 문제 해결 | 네트워크 외부에서 공격자 행동 시뮬레이션 |
위협 헌팅을 시작하려면 무엇이 필요할까요?
앞서 살펴봤듯이 사이버 위협 헌팅은 침해가 발생했다고 가정하고 비정상 활동을 찾아 숨겨진 IOC와 은밀한 행동을 적극적으로 탐색하는 과정입니다. 이를 위해 보안 분석가는 일상적인 네트워크 트래픽의 잡음을 걸러내고 정상 활동과 비정상 활동을 구분해 아직 알려지지 않은 활동을 찾아야 합니다.
효과적인 위협 헌팅은 네트워크 전반에 대한 포괄적인 가시성과 엔드포인트의 풍부한 데이터에서 시작됩니다. 장치 텔레메트리에는 암호화된 트래픽, 파일 해시, 시스템 및 이벤트 로그, 사용자 행동 데이터, 방화벽 제어에 의해 차단된 연결 및 주변 장치 활동 등이 포함되어야 합니다. 이상적으로는 SIEM(보안 정보 및 이벤트 관리)과 같은 도구가 필요합니다. 모든 데이터를 한눈에 파악하고 강력한 검색 기능으로 데이터의 맥락을 이해하면 원시 로그를 수작업으로 살펴보는 시간을 줄일 수 있습니다.
다음 기능은 관리되지 않는 엔드포인트를 보고, IoT 장치와 모바일 장치를 파악하고 네트워크에서 실행 중인 서비스를 찾아내는 데 큰 도움이 됩니다. 브라우저에 통합해 위협 탐지와 조사를 가속하는 유틸리티도 마찬가지입니다.
위협 헌팅 프로그램에는 분석가에게 양질의 데이터를 제공할 적절한 보고 도구가 필요하지만, 분석가가 전적으로 신뢰하는 보안 솔루션으로 네트워크를 보호합니다. 위협 헌팅에는 시간이 많이 들며, 귀사의 SOC (보안 운영 센터) 분석가는 EDR 솔루션이 자율적으로 탐지했어야 할 위협을 수동으로 찾아내는 데 시간을 낭비할 여유가 없습니다. 지능형 위협 탐지는 보안 팀이 직면한 가장 어려운 과제입니다. 특히 조직이 사이버 보안 전문 인력 부족에 시달리거나 수많은 경고 또는 높은 오탐률로 분석가를 압도하는 정보 보안(Information Security) 솔루션을 사용한다면 더욱 그렇습니다.
분석가에게 또 하나의 필수 보안 도구는 양질의 위협 인텔리전스입니다. 위협 헌터는 여러 공개 또는 OSINT (오픈 소스 인텔리전스) 피드를 통해 악성 IP 주소, 새로 발표된 CVE, 최신 악성코드의 샘플 해시 등 최근 IOC를 확인할 수 있습니다. 예를 들어 SANS 연구소는 의심스러운 도메인의 목록을 정리해 제공합니다. MITRE ATT&CK 프레임워크도 사이버 위협 헌터가 지능형 위협 행위자가 사용하는 도구, 전술 및 절차(TTP)를 파악하는 데 유용한 도구입니다. 예를 들어 MITRE ATT&CK 데이터베이스에서 귀사의 업종이나 산업을 표적으로 삼는 것으로 알려진 그룹을 검색하고 그들이 사용한 기법을 알아볼 수 있습니다. 이 인텔리전스를 바탕으로 네트워크 전반에서 해당 그룹의 TTPs 흔적을 찾는 위협 헌팅을 시작할 수 있습니다. 위협 헌팅에 필요한 단계에 관한 자세한 내용은 SentinelOne 백서를 참조하세요.
위협 헌팅의 유형
위협 헌팅 접근 방식은 크게 세 가지로 나뉩니다:
- 구조화된 위협 헌팅: 알려진 공격자의 전술, 기법 및 절차(TTPs) 또는 공격 징후(IoAs)를 바탕으로 세운 가설에서 시작하며, 보통 MITRE ATT&CK 프레임워크에 매핑합니다. 헌터가 어떤 행동을 찾아야 하는지 알기 때문에 공격자가 피해를 입히기 전에 조기에 탐지할 수 있습니다.
- 비구조화된 위협 헌팅: 의심스러운 IP, 파일 해시, 이상 징후와 같은 단서 또는 침해 지표(IoC)에서 시작합니다. 그런 다음 헌터는 과거 및 현재 데이터에서 관련 패턴을 찾습니다. 이 접근 방식은 기존 탐지 규칙을 우회하는 새로운 위협이나 이전에 발견되지 않은 위협을 찾아내는 데 유용합니다.
- 상황별(엔터티 중심) 위협 헌팅: 내부 위험 평가 또는 인수합병이나 새로운 취약점과 같은 특정 사건을 바탕으로 조직 내 위험도가 가장 높은 자산, 사용자 또는 시스템에 집중합니다. 헌터는 공격자가 표적으로 삼을 가능성이 가장 높은 대상을 우선 살펴봅니다.
무엇을 찾아야 하는지 어떻게 알 수 있을까요?
Using OSINT 도구와 MITRE ATT&CK 같은 프레임워크는 무엇을 찾아야 하는지 알아야 효과적으로 활용할 수 있습니다. 여기서 효과적인 위협 헌팅의 핵심 요소인 가설 수립과 검증이 중요해집니다.
위협 헌터는 조직의 특성, 위협 행위자의 관심을 끌 수 있는 사업 활동(신규 직원 채용, 자산이나 기업 인수 등), 평상시 사용 패턴을 충분히 이해해야 합니다.
공격자는 일반 사용자처럼 행동하며 피싱 또는 스피어 피싱 캠페인 등을 통해 사용자 자격 증명을 탈취하려는 경우가 많습니다. 따라서 사용자의 일반적인 행동을 파악하면 비정상적인 파일 접근이나 로그인 이벤트를 조사할 때 기준으로 삼을 수 있습니다. 여기에 공격자에게 가치 있는 기업 데이터가 무엇이고 어디에 있는지에 대한 이해를 더하면 “공격자가 xyz에 있는 데이터를 탈취하려는가?”와 같은 가설을 세울 수 있습니다. 이어서 다음과 같은 질문에 답할 데이터를 수집할 수 있습니다:
“지난 n일 동안 위치 XYZ에 처음 접근한 사용자는 누구인가?”
고급 위협 헌팅 기법은 통계 분석과 머신러닝을 활용해 가능한 한 많은 작업을 자동화하려 합니다. 예를 들어 사용자 행동을 모니터링하고 기존 행동과 비교해 이상 징후를 찾는 방식은 개별 쿼리를 실행하는 것보다 훨씬 효과적이지만, 실제로는 두 기법이 모두 필요할 수 있습니다. 보안 소프트웨어 스택 전반의 완전한 통합을 지원하는 풍부한 네이티브 API를 갖춘 SentinelOne과 같은 도구를 사용하면 두 기법 모두 더 쉽게 적용할 수 있습니다.
위협 헌팅은 얼마나 자주 해야 할까요?
일부 기업은 필요할 때만 새로운 위협을 헌팅합니다. 특히 민감한 서비스나 파일 위치에 대한 접근 시도가 발생하거나 담당자가 다른 업무를 마치고 시간이 날 때 헌팅을 시작합니다. 임시 위협 헌팅은 인력과 예산이 제한된 조직에도 추가 방어 수단이 됩니다. 하지만 제한된 행동만 최소한으로 조사할 수 있어 가장 효과가 낮은 방식입니다.
정기적인 위협 헌팅은 담당자가 일정한 간격으로 시간을 확보해 헌팅을 수행하는 방식입니다. 조직은 시기별로 조사 우선순위를 정하고 효율을 높일 수 있습니다. 하지만 정기적인 위협 헌팅은 고도화된 공격에 일정한 잠복 시간 동안 활동할 틈을 줍니다. 따라서 헌팅 간격이 짧을수록 좋습니다.
인력과 예산이 충분하다면 지속적인 실시간 위협 헌팅이 이상적입니다. 네트워크와 엔드포인트를 선제적으로 조사해 네트워크상의 공격을 지속적으로 찾아냅니다.
위협 헌팅은 누가 수행해야 할까요?
위협 헌팅은 전문적인 업무입니다. 다양한 도구를 다루고, 조직이 직면한 위험을 이해하고 분석하며, 고도화된 공격자가 사용하는 수법과 도구에 정통한 보안 분석가가 필요합니다.
내부 위협 헌팅 전문가를 채용하는 것도 좋은 방법입니다. 하지만 충분한 예산과 적합한 인재를 확보해야 합니다. 많은 기업에는 위협 헌팅 업무의 일부 또는 전부를 MSSPs (관리형 보안 서비스 제공업체)에 맡기는 편이 더 현실적일 수 있습니다.
위협 인텔리전스 강화
SentinelOne 위협 추적 서비스 WatchTower가 어떻게 더 큰 인사이트를 확보하고 공격에 대응하는 데 도움이 되는지 알아보세요.
결론
위협 헌팅은 악의적인 활동을 선제적으로 찾아 최신 위협에 앞서 대응하는 방법입니다. 행동 기반 AI와 같은 고급 기술은 대부분의 사이버 공격을 즉시 차단하고 위협 헌팅에 필요한 가시성을 제공합니다. 하지만 악의적인 공격자는 기업 네트워크 보안을 우회할 새로운 방법을 끊임없이 찾습니다. 조직은 내부자 위협 및 고도로 표적화된 공격과 같은 경로를 경계해야 합니다. 전문 분석가의 역량을 더하면 조직의 보안을 한층 강화할 수 있습니다.
이 글이 마음에 드셨나요? LinkedIn, Twitter, YouTube 또는 Facebook에서 팔로우하고 게시하는 콘텐츠를 확인하세요.
사이버 보안에 대해 더 알아보기
위협 헌팅 FAQ
위협 헌팅은 네트워크에 숨어 있는 사이버 위협을 적극적으로 찾는 활동입니다. 경고가 문제를 알려주길 기다리는 대신 공격자가 이미 내부에 있다고 가정하고 악의적인 활동의 징후를 찾습니다. 보안 데이터를 심층 분석해 자동화 도구가 놓쳤을 수 있는 위협을 발견합니다.
보안 전문가가 네트워크를 지속적으로 순찰하며 의심스럽거나 평소와 다른 활동을 찾는 것과 같습니다.
위협 헌팅 전문가는 데이터 탈취를 시사하는 비정상적인 네트워크 트래픽 패턴을 발견할 수 있습니다. 사용자 계정이 새벽 3시에 파일에 접근한 이유나 여러 국가에서 의심스러운 로그인 시도가 발생한 이유를 조사할 수도 있습니다. 새로운 위협 인텔리전스 보고서를 바탕으로 특정 악성코드의 특징을 찾는 것도 한 가지 사례입니다.
시스템에서 해커의 내부 확산 징후를 확인하는 등 알려진 공격 수법과 일치하는 지표를 찾을 수도 있습니다.
정교한 공격자는 자동화된 보안 도구를 피해 몇 달 동안 네트워크에 숨어 있을 수 있습니다. 침해를 탐지하는 데 평균 194일이 걸리므로 공격자에게는 데이터를 훔칠 시간이 충분합니다. 위협 헌팅은 숨은 위협을 더 빨리 찾아 피해를 줄입니다.
위협 헌팅 전문가는 위협 인텔리전스나 비정상적인 활동을 바탕으로 잠재적 위협에 관한 가설을 세웁니다. 그런 다음 네트워크 로그, 엔드포인트 데이터, 보안 경고를 조사해 가설을 입증하거나 반박할 증거를 찾습니다.
의심스러운 활동을 발견하면 실제 위협인지 판단하기 위해 추가로 조사합니다. 이 과정은 지속적으로 반복되며, 전문가는 발견한 내용을 바탕으로 헌팅 기법을 계속 개선합니다.
사이버 보안 위협의 네 가지 주요 유형 중 첫째는 시스템을 손상시킬 수 있는 바이러스와 랜섬웨어 등의 악성코드입니다. 둘째인 피싱 공격은 사람을 속여 비밀번호를 넘기거나 악성 링크를 클릭하게 만듭니다. 셋째인 분산 서비스 거부 공격은 시스템에 과도한 트래픽을 보내 서비스를 이용할 수 없게 만듭니다.
넷째인 지능형 지속 위협은 해커가 오랫동안 네트워크에 숨어 활동하는 정교한 공격입니다. 각 유형에는 서로 다른 탐지 및 대응 전략이 필요합니다.
흔히 쓰이는 위협 헌팅 기법에는 유사한 데이터 포인트를 묶어 이상 징후를 찾는 클러스터링이 있습니다. 스태킹은 데이터를 범주별로 정리하고 의심스러운 이상값을 찾는 기법입니다. 기준선 설정은 정상적인 네트워크 활동을 파악한 뒤 기준에서 벗어난 활동을 찾는 기법입니다.
분석은 로그와 보안 데이터를 살펴 위협을 시사하는 패턴을 식별하는 기법입니다. 그룹화는 여러 지표를 결합해 의심스러운 방식으로 함께 나타나는지 확인하는 기법입니다.
위협 헌팅은 선제적이고 지속적인 활동인 반면, 사고 대응은 경고가 발생했을 때 시작하는 사후 대응입니다. 위협 헌팅 전문가는 피해가 발생하기 전에 위협을 적극적으로 찾지만, 사고 대응 팀은 공격이 탐지된 후 대응합니다.
위협 헌팅이 지속적인 순찰이라면, 사고 대응은 화재 현장에 출동하는 긴급 구조 활동과 같습니다. 포렌식은 사고가 발생한 후 원인을 파악하지만, 위협 헌팅은 사고가 발생하기 전에 막는 데 집중합니다.
위협 헌팅 프로세스는 단서 식별, 조사, 해결의 세 단계로 이루어집니다.
- 단서 식별 단계에서는 위협 인텔리전스, 이상 징후 또는 구체적인 가설을 바탕으로 조사 대상을 정합니다.
- 조사 단계에서는 데이터를 검색해 가설을 뒷받침하거나 반박하는 증거를 찾습니다.
- 해결 단계에서는 조사 결과를 기록하고, 실제 위협은 사고 대응 팀에 전달하거나 향후 헌팅을 위해 축적한 지식을 업데이트합니다.
다음에 대해 더 알아보기 위협 인텔리전스
보안 운영을 혁신할 준비가 되셨나요?
SentinelOne AI SIEM이 귀사의 SOC를 자율적으로 운영되는 강력한 조직으로 어떻게 전환할 수 있는지 알아보세요. 지금 문의하여 맞춤형 데모를 요청하고 보안의 미래를 직접 확인해 보세요.
