위협 행위자란 무엇인가? 유형 및 사례"

효과적인 방어를 위해서는 위협 행위자를 이해하는 것이 중요합니다. 다양한 사이버 적대자들의 동기와 전술을 살펴보세요.

위협 행위자는 사이버 공격을 수행하는 개인 또는 집단입니다. 본 가이드는 다양한 유형의 위협 행위자, 그들의 동기 및 전술을 살펴봅니다.

효과적인 사이버 보안 전략 수립에 있어 위협 행위자 이해의 중요성을 알아보세요. 위협 행위자 이해는 조직이 위험을 예측하고 완화하는 데 필수적입니다.

본 글에서는 위협 행위자의 정의, 표적, 유형 및 공격 방어 방법을 살펴봅니다.

위협 행위자란 무엇인가?

사이버 위협 행위자는 사이버 보안에 위협을 가하는 개인 또는 단체를 의미합니다. 위협 행위자는 사이버 공격의 배후 주체이며, 동기, 공격 유형, 표적 산업 분야 등 다양한 요소에 따라 분류됩니다.

오늘날 사이버 위협 환경은 그 어느 때보다 역동적이며 위협 행위자들은 더욱 정교해지고 있습니다.

위협 행위자와 그들의 동기를 이해하면 조직이 취약점을 악용하고, 사용자 신원을 탈취하고, 보안 통제를 회피하며, 데이터를 손상 또는 삭제하거나, 민감한 정보를 조작하는 등.

위협 행위자의 표적

위협 행위자들은 주로 금전적 이익, 데이터, 민감한 정보 획득 또는 서비스 중단 및 평판 훼손을 목적으로 대기업을 표적으로 삼습니다. 그러나 중소기업(SMB) 역시 위협 행위자들의 빈번한 표적이 되었습니다. 상대적으로 부족한 자원으로 인해 중소기업의 보안 시스템이 대기업보다 취약할 수 있기 때문입니다.

오늘날의 위협 환경에서는 규모나 업종에 관계없이 대부분의 조직이 위협 행위자의 표적이 될 가능성이 높습니다. 실제로 기업들은 2020년 대비 2021년에 주당 50% 증가한 사이버 공격 시도를 경험했습니다. 오늘날 위협 행위자들은 경로가 보호되지 않은 경우, 기업의 핵심 자산으로 직행하는 길을 찾아낼 수 있으며 실제로 그렇게 할 것입니다.

위협 행위자의 유형과 특성

"위협 행위자"는 기술 수준, 자원, 공격 동기 등에 따라 분류되는 다양한 개인 및 집단을 포괄하는 광범위한 용어입니다.

다음은 가장 흔한 위협 행위자 유형과 그들의 행동 배후에 있는 일반적인 동기입니다:

1. 사이버 범죄자

사이버 범죄자는 디지털 기술을 이용해 불법 활동을 수행하는 개인 또는 집단입니다. 이들은 주로 금전적 이익을 목적으로 활동합니다.

이 유형의 위협 행위자는 일반적으로 사회공학적 기법을 사용합니다. 예를 들어 피싱 이메일과 같은 전술을 사용하여 피해자를 유인하여 악성 링크를 클릭하거나 악성 소프트웨어(악성코드)를 다운로드하도록 합니다. 사이버 범죄의 다른 예로는 데이터 도용, 피해자를 속여 돈을 송금하게 하는 행위, 로그인 정보 도용, 몸값 요구 등이 있습니다.

2. 국가

국가들은 위협 행위자 그룹에 자금을 지원하여 다른 통치 기관의 네트워크에서 간첩 활동이나 사이버 전쟁을 포함한 다양한 악의적인 활동을 수행하게 할 수 있습니다. 국가가 자금을 지원하는 위협 행위자들은 일반적으로 막대한 자원을 보유하고 있기 때문에, 그들의 행동은 종종 지속적이고 탐지하기 더 어렵습니다.

국가 지원 위협 행위자들은 은밀하게 상대방 네트워크를 표적으로 삼아 민감한 데이터 및 자산의 유출 또는 손상, 핵심 인프라 교란, 기밀 정보 수집을 주로 시도합니다.

3. 테러 단체

물리적 테러 행위와 마찬가지로 사이버 테러리스트의 목표는 일반적으로 자신들의 목적을 달성하기 위한 피해와 파괴를 일으키는 것입니다. 이러한 유형의 위협 행위자는 가장 큰 피해나 혼란을 야기할 수 있는 기업, 국가 기관, 중요 인프라 또는 서비스를 표적으로 삼습니다.

4. 스릴 추구자

스릴 추구자는 개인적인 즐거움을 위해 컴퓨터 시스템이나 네트워크를 공격하는 위협 행위자입니다. 얼마나 많은 데이터와 민감한 정보를 훔칠 수 있는지 보고 싶거나 특정 네트워크와 컴퓨터 시스템이 어떻게 작동하는지에 관심이 있는 스릴 추구자들은 반드시 대상에 큰 피해를 주려는 의도를 가지고 있는 것은 아닙니다. 그러나 컴퓨터 시스템과 네트워크를 방해하거나 취약점을 악용하여 향후 더 정교한 사이버 공격을 감행할 수도 있습니다.

5. 내부자 위협

내부자 위협은 증가 추세에 있습니다. 이러한 위협은 다음과 같은 유형으로 분류할 수 있습니다:

• 악의적 내부자: 악의적인 내부자는 기업 환경에 접근 권한을 가진 개인으로, 주로 금전적 이익을 위해 위협 행위자를 돕는 방식으로 고용주를 배신하기로 결정합니다.
• 부주의한 내부자: 부주의한 내부자는 악의적 의도는 없지만 부주의로 인해 데이터 유출을 초래할 수 있는 직원입니다. 피싱 이메일을 클릭하거나 승인되지 않은 소프트웨어를 설치하거나 회사 기기를 분실할 수 있습니다.

6. 해커

'위협 행위자'라는 용어가 종종 '해커'와 혼용되지만, 해커와 위협 행위자는 동일하지 않습니다. 해커는 컴퓨터 기술을 활용해 문제를 해결하거나 도전 과제를 극복하는 사람으로, 그 의도가 선하든 악하든 상관없습니다. 반면 위협 행위자는 거의 항상 악의적인 의도를 지닙니다.

할리우드는 이 용어를 대중화하며 파괴 행위나 법 위반과 같은 악의적인 의도를 가진 사악한 인물들의 이미지를 연상시켰습니다. 그러나 해커는 다양한 유형과 능력을 지닌 다채로운 집단입니다.

다음은 다양한 유형의 해커와 그들이 할 수 있는 일의 예시입니다:

블랙햇 해커

블랙햇 해커는 악의적인 의도로 조직이나 정부 기관을 상대로 컴퓨터 네트워크나 시스템에 침입하려 합니다. 블랙햇 해커는 종종 단독으로 또는 조직화된 범죄 집단과 함께 활동하며, 사회공학적 기법, 비밀번호 해킹, 악성코드 감염, 키 입력 기록, 봇넷 생성 등을 포함한 다양한 기법을 사용하여 대상을 해킹합니다. 분산 서비스 거부(DDoS) 공격을 실행합니다.

화이트 해커

화이트 해커(윤리적 해커라고도 함)는 조직이나 정부 기관과 협력하여 취약점을 식별하고 사이버 시스템을 악의적인 해커로부터 보호합니다. 다른 유형의 해커와 달리 화이트 해커는 협력하는 조직이나 기관으로부터 컴퓨터 네트워크나 시스템에 침투할 수 있는 허가를 항상 받습니다.

그레이 해커

그레이 햇 해커는 화이트 햇 해커와 블랙 햇 해커의 중간에 위치합니다. 그레이 햇 해커는 대상의 취약점이나 잠재적 공격 경로에 대한 주의를 환기시키기 위해 컴퓨터 네트워크나 시스템에 침투한 후, 발견한 문제를 해결하는 대가로 비용을 청구합니다. 대부분 이 유형의 해커는 악의적인 의도 없이 보안 문제를 악용하지만, 허가 없이 수행되며 종종 불법적인 수단을 사용합니다.

초보 해커(Green Hat Hackers)

초보 해커는 해킹 커뮤니티의 경험 많은 구성원들로부터 정보를 얻으려 하는 초보자들입니다. 그린햇 해커는 조직적인 공격을 수행할 만한 기술이나 지식을 항상 갖추고 있지는 않지만, 자신이 한 행동이나 해결 방법을 명확히 이해하지 못할 경우 심각한 피해를 초래할 수 있습니다.

블루 햇 해커

블루 햇 해커는 화이트 햇 해커와 가장 유사합니다: 이들은 컨설팅 회사에서 근무하는 보안 전문가로, 시스템 출시 전에 테스트를 수행하기 위해 특별히 고용됩니다. 때로는 블루 햇 해커들도 자신의 행동이 초래할 결과를 깊이 생각하지 않고, 어떤 잘못에 대한 보복으로 개인이나 기업을 표적으로 삼기도 합니다.

레드 햇 해커

레드 햇 해커는 해킹 세계에서 종종 "다크 호스"로 여겨지며, 블랙 햇 해커를 무력화하기 위해 혼자 또는 비공개 그룹에서 활동합니다. 블랙햇 해커를 당국에 신고하는 화이트햇 해커들과는 달리, 레드햇 해커들은 자원을 파괴하고 피해를 입히는 데 주로 집중합니다.

스크립트 키디

다른 유형의 해커들과는 달리, 스크립트 키디들은 지루함을 달래기 위해 해킹을 하며, 자신만의 컴퓨터 스크립트나 코드를 작성하지 않습니다. 대신 기존 스크립트나 코드를 바이러스나 애플리케이션에 삽입하여 타인의 컴퓨터 시스템을 해킹합니다. 해킹 세계에서 스크립트 키디는 다른 유형의 해커들에 비해 상대적으로 기술이 부족하고 미숙한 것으로 악명 높습니다.

해커티비스트

해커티비스트는 종종 블랙햇 해커로 분류되지만, 그들의 해킹 동기는 정치적입니다. 표현의 자유를 지키거나 인권 침해 사례를 폭로하는 등, 해커티비스트는 개인, 조직 또는 정부 기관을 표적으로 삼습니다.

대부분의 경우 해커티비스트들은 세상을 긍정적으로 변화시키려 한다고 믿습니다. 예를 들어 해킹 집단 '애노니머스(Anonymous)'는 여러 정부를 상대로 한 수많은 사이버 공격으로 유명하며, 지지자들로부터 "자유투사"이라 불리기도 합니다.

다양한 유형의 해커 중 '위협 행위자(threat actor)'라는 용어는 블랙햇 해커, 블루햇 해커, 스크립트 키디, 해커티비스트에게 가장 직접적으로 적용됩니다. 사이버 범죄자든 내부자든, 싱귤러리티의 위협 인텔리전스는 모든 유형의 위협 행위자를 추적하고 방어하는 데 도움을 줍니다.

알아야 할 관련 사이버 보안 개념

위협 행위자의 핵심 구성 요소와 속성을 이해하는 것 외에도, 다음과 같은 사이버 보안 개념을 검토하는 것이 도움이 됩니다:

악성 소프트웨어(Malware)

악성 소프트웨어는 컴퓨터를 손상시키거나 무력화하도록 설계된 악성 프로그램입니다. 악성 코드는 데이터 도용, 시스템 장악 또는 다른 컴퓨터에 대한 공격을 수행하는 데 사용될 수 있습니다.

바이러스, 웜, 트로이 목마, 랜섬웨어 등 다양한 유형의 악성 코드가 존재합니다. 악성 코드는 이메일 첨부 파일, 감염된 웹사이트 또는 손상된 소프트웨어를 통해 확산될 수 있습니다.

피싱

피싱은 합법적인 출처에서 온 것처럼 보이는 이메일이나 웹사이트를 사용하여 사용자를 속여 민감한 정보를 공개하거나 악성 링크를 클릭하도록 유도하는 사이버 공격의 한 유형입니다.피싱 공격은 종종 위조된 이메일 주소와 합법적인 것과 유사하게 보이는 웹사이트를 사용하기 때문에 탐지하기가 매우 어려울 수 있습니다. 공격자는 성공 가능성을 높이기 위해 특정 개인이나 조직을 표적으로 삼기도 합니다.

서비스 거부 공격(DoS 공격)

서비스 거부 공격(DoS 공격)은 시스템이나 네트워크를 사용자가 이용할 수 없게 만드는 사이버 공격 유형입니다. DoS 공격은 웹사이트나 온라인 서비스를 표적으로 삼으며, 전체 시스템을 마비시킬 수 있습니다.

DoS 공격은 일반적으로 대상에 트래픽이나 요청을 과도하게 쏟아부어 부하를 감당하지 못하게 하고 사용 불가능하게 만드는 방식으로 수행됩니다. 또한 데이터를 손상시키거나 취약점을 악용하거나 자원을 과부하시키는 방식으로 시스템이나 네트워크를 무력화하는 데도 사용될 수 있습니다.

랜섬웨어

랜섬웨어는 파일을 암호화하거나 시스템을 잠가 사용자가 접근할 수 없게 만드는 악성코드 유형입니다. 이메일 첨부 파일, 감염된 웹사이트 또는 취약점이 있는 소프트웨어를 통해 확산될 수 있습니다. 이 유형의 악성코드는 자산에 대한 접근을 차단하거나 암호화하여, 사용자가 자신의 장치, 파일 또는 시스템에 대한 접근 권한을 되찾기 위해 몸값을 지불하도록 강요하는 경우가 많습니다.

랜섬웨어를 무작위로 탈취한 데이터의 단순한 암호화로 생각하는 것은 오늘날의 다양한 데이터 갈취 전략을 정확히 반영하지 못합니다. 랜섬웨어 행위자들 최근에는 시간이 많이 소요되는 암호화 대신 데이터 절도로 방향을 전환하고 있습니다. 피해자 데이터의 완전한 암호화는 많은 위협 행위자들에게 너무 힘들고 느리며, 탐지 위험을 높인다는 것이 추세로 나타납니다.

이제 등장한 것은 전통적이고 시간이 많이 소요되는 암호화를 넘어 모든 도난 데이터를 파괴하는 데 집중하는 다양한 위협 행위자들이다. 현재 행위자들은 데이터를 거의 보존하는 데이터 갈취 방식이나 부분적 손상만을 가해 신속하게 움직이며 점점 더 큰 몸값을 요구하는 방식을 통해 더 빠른 공격을 우선시하는 것으로 관찰된다.

드라이브 바이 다운로드

드라이브 바이 다운로드는 사용자의 인지나 동의 없이 시스템을 악성코드로 감염시키는 사이버 공격 유형입니다. 일반적으로 사용자가 감염된 웹사이트를 방문하거나 악성 링크를 클릭할 때 발생합니다.&

이 공격 방식은 바이러스, 트로이 목마, 랜섬웨어를 포함한 모든 유형의 악성 코드 설치에 활용될 수 있습니다.

위협 행위자 사례

일부 위협 행위자는 단독 공격자일 수 있으며, 다른 이들은 대규모 조직 범죄 집단이나 사이버 위협 조직의 일원일 수 있습니다.

최근 사이버 공격 사례를 검토하면 조직이 자사 네트워크나 시스템을 노릴 수 있는 위협 행위자의 유형을 더 잘 예측하고 향후 유사한 사건에 대비하는 데 도움이 될 수 있습니다.

MeteorExpress

2021년 7월, 와이퍼 공격 – 감염된 컴퓨터의 하드 드라이브를 삭제하도록 설계된 악성 코드를 이용한 공격 – 이 이란 국가 철도 시스템을 마비시켰습니다. 해킹이 성공하자, 디스플레이는 철도 승객들에게 불만 사항을 이란 최고 지도자 하메네이의 사무실 전화번호로 직접 전달하라고 지시했습니다.&

이 캠페인은 "MeteorExpress"라는 이름으로 불리며, 위협 행위자가 기술적 능력을 활용해 정보 시스템에 접근하고 이를 정치적 목적으로 악용하는 방식을 보여줍니다. 현재까지도 이 공격의 배후는 미스터리로 남아 있습니다.

8220 갱

8220 갱로 알려진 범죄 조직은 AWS, Microsoft Azure, Google Cloud, Aliyun 및 Qcloud를 포함한 클라우드 인프라 서비스를 표적으로 삼아 피해자의 비용으로 불법 암호화폐 채굴기를 배포합니다. 이 조직은 수년간 활동해 왔지만, 2021년 중반까지 오래 운영된 인프라 세트를 활용한 새로운 캠페인을 통해 봇넷 규모를 약 2,000 감염된 호스트에서 현재 약 30,000까지 증가시켰습니다.

8220 Gang과 같은 위협 행위자들은 종종 수년간 캠페인을 서서히 진화시켜 해체하기 어려울 정도로 거대해질 때까지 운영합니다.

REvil 랜섬웨어

REvil 랜섬웨어는 제로데이 공격을 통해 수천 개의 기업 엔드포인트에 성공적으로 전달되었습니다. 이 공격은 관리형 보안 서비스 제공업체(MSSP) 및 IT 관리 회사에서 일반적으로 사용하는 Kaseya VSA 서버를 대상으로 했습니다. 이 공격은 공격자들이 모든 피해자를 대상으로 5천만 달러(원래 7천만 달러)의 일시불로 범용 복호화 도구를 제공하는 등, 현재까지 발생한 랜섬웨어 사건 중 가장 큰 규모 중 하나로 보입니다.

초기에는 공급망 공격>으로 간주되었으나, 이 정교하게 조직된 대규모 랜섬웨어 캠페인은 위협 행위자들에게 사이버 공격이 얼마나 수익성이 높은지, 그리고 현대적인 엔드포인트 탐지 및 대응(EDR) 도구가 조직에 얼마나 중요한지 보여줍니다.

Aoqin Dragon&

SentinelLabs 연구진에 의해 "Aoqin Dragon"으로 명명 및 추적된 이 국가 지원 위협 행위자 그룹은 2013년부터 동남아시아와 호주 전역의 정부, 교육, 통신 기관을 대상으로 한 일련의 악성 활동을 주도해 왔습니다. 정확한 동기는 알려지지 않았으나, 이 중국 연계 고급 지속적 위협(APT) 그룹의 주요 목표는 첩보 활동일 가능성이 높습니다.

이 사례는 위협 행위자들이 정찰 활동을 수행하고 이익을 지속적으로 확대해 나가면서 레이더 아래에 숨어 장기간 캠페인을 조용히 진행할 수 있는 방법을 보여줍니다.

모셴 드래곤

"모셴 드래곤"이라 불리는 이 중국 연계 위협 행위자는 시만텍, 트렌드마이크로, 맥아피, 비트디펜더, 카스퍼스키 등 구형 보안 제품을 탈취해 공격을 수행한 것으로 알려져 있습니다. 모셴 드래곤이 배포한 다섯 가지 악성코드 트라이어드 외에도 LSA 알림 패키지와 GUNTERS로 알려진 패시브 백도어 등 다양한 도구를 사용했습니다.

위협 행위자들은 컴퓨터 시스템과 네트워크를 침해하기 위해 종종 여러 전술, 기법 및 도구를 사용합니다. 위협 행위자가 발판을 마련하면 네트워크 내에서 횡방향 이동을 진행하고, 환경에 수동 백도어를 설치하며, 가능한 한 많은 인증 정보를 수집한 후 데이터 유출에 집중합니다.

위협 행위자의 사이버 공격을 예방하고 차단하는 방법

방어자에게 가장 중요한 조언은 네트워크에 이미 위협 행위자가 존재한다는 가정 하에 항상 행동하라는 것입니다. 위협 행위자를 방지하는 가장 좋은 방법은 포괄적인 보안 솔루션을 구축하는 것입니다. 이상적인 보안 솔루션은 다음과 같은 기능을 포함해야 합니다.

1. 엔드포인트 보호, 탐지 및 대응(EDR)

조직을 위협 행위자로부터 보호하기 위해 보안 팀은 탐지 및 대응 기능을 갖춘 Singularity™ Endpoint와 같은 포괄적인 엔드포인트 보안 솔루션을 사용합니다.&

"엔드포인트 보호"란 노트북, 서버, 모바일 기기 등 네트워크 엔드포인트를 악성코드 및 기타 위협으로부터 방어하기 위해 사용되는 기술과 프로세스를 의미합니다. EDR 도구는 특정 악성코드나 공식적으로 선언된 사고를 식별하고 격리하는 데만 집중하지 않는다는 점에서 다른 보안 솔루션과 다릅니다. 대신 EDR 도구는 비정상적인 활동을 탐지하고 추가 조사를 위해 보안 팀에 경보를 제공합니다.

가트너(Gartner)에 따르면, EDR 솔루션은:

엔드포인트 시스템 수준의 행동을 기록 및 저장하고, 다양한 데이터 분석 기법을 활용해 의심스러운 시스템 행동을 탐지하며, 상황 정보를 제공하고, 악성 활동을 차단하며, 영향을 받은 솔루션을 복구하기 위한 조치 권장 사항을 제공합니다.&

2. 제로 트러스트 보안

제로 트러스트 보안 모델은 사전 정의된 신뢰 수준에 의존하지 않는 사이버 보안 접근 방식입니다. 대신 지속적인 인증 및 권한 부여 검증을 통해 확인될 때까지 모든 사용자, 장치 및 네트워크를 신뢰할 수 없는 것으로 간주합니다.

제로 트러스트 아키텍처는 민감한 데이터에 대한 자동 접근 권한을 부여하지 않기 때문에 위협 행위자가 컴퓨터 시스템이나 네트워크에 접근하는 것을 방지하는 데 도움이 될 수 있습니다. 직원 및 계약자를 포함한 모든 사용자는 무언가에 접근할 때마다 매번 인증 절차를 거쳐야 합니다.

3. 다중 요소 인증

다중 요소 인증 (MFA)는 사용자가 민감한 데이터에 접근하기 전에 두 가지 이상의 증거 또는 요소(요인)를 제공하도록 요구함으로써 추가적인 보안 계층을 제공합니다. 예를 들어, 사용자는 비밀번호를 입력한 후 지문이나 휴대폰으로 전송된 코드로 신원을 확인해야 할 수 있습니다.

MFA는 무단 사용자가 민감한 데이터에 접근하기 어렵게 만들어 위협 행위자에 대해 효과적입니다. 유효한 비밀번호를 가지고 있더라도 시스템이나 네트워크에 접근하려면 물리적 토큰이나 스마트폰과 같은 다른 인증 요소도 함께 필요하기 때문입니다.

4. 지능형 지속적 위협(APT)에 대한 방어

지능형 지속적 위협은 범죄자들이 협력하여 데이터를 훔치거나 시스템에 침투하는 사이버 공격으로, 오랜 기간 동안 종종 감지되지 않습니다. 대부분의 경우, 이러한 공격은 다른 정부를 약화시키려는 국가에 의해 수행됩니다.

악성 코드 및 피싱 사기와 같은 다른 사이버 공격은 며칠 만에 효과를 발휘하는 반면, APT는 수개월 또는 수년에 걸쳐 진행될 수 있습니다.

APT가 사용하는 가장 흔한 방법에는 다음과 같은 것들이 포함됩니다:

• 스피어 피싱: 합법적인 출처에서 보낸 것처럼 보이는 표적 이메일을 발송하여 사용자가 악성 링크를 클릭하거나 감염된 첨부 파일을 열도록 유도하는 행위.&
• 사회공학: 가짜 웹사이트나 전화 통화 같은 속임수 전술을 사용해 사용자로 하여금 민감한 정보를 공개하거나 시스템을 침해하도록 유도하는 행위.
• 워터링홀 공격: 대상 조직의 직원들이 자주 방문하는 웹사이트를 감염시켜, 해당 웹사이트를 방문할 때 그들의 시스템을 감염시키는 공격.

APT는 일반적으로 자금력이 풍부하고 정교한 조직에 의해 수행되기 때문에 방어하기가 더 어렵습니다. 그러나 적절한 준비와 보안 조치를 마련해 두면 그들이 성공하기 훨씬 더 어려워질 수 있습니다. 위협 행위자에 대한 효과적인 방어에는 실시간 탐지 및 대응을 제공하는 Singularity XDR와 같은 통합 솔루션이 필요합니다. 실시간 탐지 및 대응 기능을 제공합니다.

SentinelOne으로 위협 행위자 차단하기

위협 행위자들은 끊임없이 전술을 변화시키므로, 그들만큼 빠르게 적응하는 보안 솔루션이 필수적입니다. 세계 최고의 차세대 엔드포인트 보안 플랫폼인 SentinelOne는 공격 라이프사이클의 모든 단계에서 위협을 차단하도록 특별히 설계되었습니다.

&

SentinelOne은 AI 기반 모델을 활용해 악성코드 및 랜섬웨어 바이너리가 공격하기 전에 식별함으로써 실시간으로 위협을 선제적으로 해결합니다. 또한 선제적 실시간 탐지 및 대응을 위한 핵심적인 맥락을 구축하여 시스템이 지능형 지속 위협(APT)으로부터 보호받을 수 있도록 합니다.

ActiveEDR는 센티넬원이 설계한 혁신적인 기술로, 악성 행위를 실시간으로 식별하여 필요한 대응을 자동화하고 손쉬운 위협 헌팅을 가능하게 합니다. 머신 러닝과 인공 지능의 힘을 활용하여 SOC 팀의 부담을 덜어주고 클라우드 리소스에 의존하지 않고도 엔드포인트에서 자율적으로 사건을 완화할 수 있습니다.

보안 팀과 IT 관리자가 중요한 경보에 집중할 수 있도록 지원하는 ActiveEDR은 다른 수동적인 EDR 솔루션에 필요한 복잡하고 압도적인 양의 데이터에 컨텍스트를 부여하는 데 소요되는 시간과 비용을 줄여줍니다. 대신 단일 에이전트/콘솔 아키텍처로 포괄적인 가시성, 보호 및 대응 기능을 제공합니다.

SentinelOne이 위협 행위자로부터 조직을 선제적으로 보호하는 방법을 알아보고 오늘 데모를 예약하세요.

"

위협 행위자 FAQ

위협 행위자란 무엇인가요?"

위협 행위자는 사이버 보안 분야에서 고의적으로 피해를 입히는 개인 또는 집단을 의미합니다. 이들은 컴퓨터, 네트워크, 시스템의 취약점을 악용하여 개인이나 조직을 대상으로 공격을 수행합니다. 위협 행위자는 단독 해커, 조직화된 범죄 집단, 국가 차원의 요원, 심지어는 자사 내부의 악의적인 내부자까지 포함될 수 있습니다.

그들은 악성코드, 피싱, 랜섬웨어, 사회공학 등 다양한 방법을 사용하여 목표를 달성합니다. 그들의 동기는 금전적 이익과 정치적 활동부터 간첩 행위와 단순한 방해 행위까지 다양합니다.

"

5가지 주요 위협 행위자 유형은 무엇인가요?"

주요 5가지 유형은 사이버 범죄자, 국가 주체 행위자, 해커 활동가, 내부자 위협, 스크립트 키디입니다. 사이버 범죄자는 랜섬웨어, 사기, 데이터 절도를 통해 금전적 이익을 추구합니다. 국가 주체 행위자는 정부를 위해 스파이 활동과 사이버 전쟁을 수행합니다. 해커 활동가들은 정치적 또는 사회적 목적을 홍보하기 위해 공격을 사용합니다.

내부 위협은 접근 권한을 악용하는 현직 또는 전직 직원으로부터 발생합니다. 스크립트 키디는 깊은 기술 지식 없이 기존 도구를 사용하는 미숙한 공격자들입니다.

"

위협 행위자는 해커와 같은 것인가요?"

꼭 그렇지는 않습니다. '해커(Hacker)'는 윤리적 행위자와 악의적 행위자 모두를 포괄하는 더 넓은 용어입니다. 해커는 화이트햇(윤리적), 블랙햇(악의적), 그레이햇(중간)으로 분류될 수 있습니다. 모든 위협 행위자는 해커이지만, 모든 해커가 위협 행위자는 아닙니다. 화이트햇 해커는 합법적인 침투 테스트와 취약점 연구를 통해 보안을 개선하기 위해 노력합니다.

위협 행위자는 특히 해를 끼치려는 의도를 가진 악의적인 해커를 가리킵니다. 핵심 차이는 의도입니다. 위협 행위자는 항상 악의적인 목적을 지니는 반면, 해커는 보안 개선을 돕거나 단순히 해를 끼칠 의도 없이 시스템을 탐색하려 할 수 있습니다.

위협 행위자들은 일반적으로 어떻게 공격을 시작하나요?"

위협 행위자는 먼저 정찰을 통해 표적에 대한 정보를 수집합니다. 그런 다음 피싱 이메일, 취약점 악용, 사회공학적 기법 등을 통해 초기 접근 권한을 획득합니다. 내부로 침투한 후에는 권한을 상승시켜 상위 수준의 접근 권한을 얻습니다. 다음으로 네트워크를 매핑하고 가치 있는 목표를 식별하기 위한 탐색 작업을 수행합니다.

시스템을 가로질러 측면 이동을 통해 발판을 확장합니다. 이후 데이터 탈취, 랜섬웨어 배포, 장기적 지속성 확보 등 주요 목표를 실행합니다.

"

내부자도 위협 행위자로 간주될 수 있나요?"

네, 그렇습니다. 내부자 위협은 시스템과 데이터에 대한 접근 권한을 이미 보유하고 있기 때문에 가장 위험한 위협 행위자 중 하나입니다. 이들은 의도적으로 정보를 훔치거나 시스템을 파괴하는 악의적인 내부자, 실수로 취약점을 생성하는 부주의한 내부자, 외부 공격자에 의해 계정이 탈취된 내부자일 수 있습니다. 악의적인 내부자는 보안 절차에 대한 깊은 지식을 가지고 있어 많은 통제 수단을 우회할 수 있습니다.

"

조직은 위협 행위자로부터 어떻게 방어할 수 있나요?"

방어에는 다중 계층의 보안 통제가 필요합니다. 피싱 및 사회공학적 기법에 대한 직원 교육을 시작으로, 다중 인증과 강력한 접근 통제를 구현하십시오. 악성 활동을 탐지하기 위해 엔드포인트 탐지 및 대응 도구를 배포하십시오. 의심스러운 패턴과 침해 지표를 감지하기 위해 네트워크 트래픽을 모니터링하십시오. 시스템을 정기적으로 패치하고 업데이트하십시오.

위협 인텔리전스를 활용하여 최신 공격 기법에 대한 정보를 지속적으로 파악하십시오. 정기적인 보안 평가 및 침투 테스트를 수행하십시오. 사고 대응 계획을 수립하고 이를 연습하십시오. 핵심은 침해 발생을 전제로 하는 사고방식입니다 — 단순히 예방뿐만 아니라 탐지 및 대응 역량이 필요합니다.

"

위협 인텔리전스는 위협 행위자 대응에서 어떤 역할을 하나요?"

위협 인텔리전스는 위협에 대한 원시 데이터를 조직 방어에 활용 가능한 실행 정보로 전환합니다. 이는 어떤 위협 행위자가 귀사 업계를 표적으로 삼을 가능성이 높은지, 그들이 선호하는 전술과 기법, 현재 진행 중인 공격 캠페인을 이해하는 데 도움을 줍니다. 이를 통해 가장 관련성 높은 위협에 대한 방어 조치를 우선순위화할 수 있습니다. 침해 지표를 활용해 진행 중인 공격을 탐지하고, 위협 행위자 프로필을 통해 향후 공격을 예측할 수 있습니다.

또한 사고 대응 팀이 직면한 상황을 파악하고 효과적으로 대응하는 데 도움을 줍니다. 이는 사후 대응에서 사전 예방적 보안으로 전환하는 것을 목표로 합니다.

"