지능형 지속 위협(APT)이란?

지능형 지속 위협(APT)은 장기간 지속되는 정교한 표적 공격입니다. 이 가이드에서는 APT의 특징과 전술, 조직 침투 방식을 살펴봅니다.

APT 공격의 단계와 탐지 및 예방에서 위협 인텔리전스가 중요한 이유를 알아보세요. APT를 이해해야 조직의 사이버 보안 방어력을 강화하고 은밀한 위협에 효과적으로 대응할 수 있습니다.

지능형 지속 위협(APT)의 정의

지능형 지속 위협은 공격자들이 협력해 데이터를 탈취하거나 시스템에 침투하는 사이버 공격입니다. 장기간 탐지되지 않는 경우가 많습니다. 이러한 공격은 대부분 다른 정부에 타격을 주려는 국가가 수행합니다.

다음과 같은 다른 사이버 공격은 악성코드 및 피싱 공격처럼 며칠 안에 이루어지지만, APT는 수개월 또는 수년에 걸쳐 진행될 수 있습니다.

APT 그룹은 더 어려운 과제를 수행하기 위해 결성되지만, 예상만큼 비용이 많이 들지는 않습니다. 2019년 보고에 따르면 APT 공격 비용은 최저 $15,000였습니다. 이러한 공격에서 가장 비용이 많이 드는 것은 상용 침투 테스트 도구입니다. 이 도구로 시스템과 네트워크의 취약점을 찾습니다.상업용 침투 테스트 도구로, 시스템과 네트워크 내 취약점을 찾는 데 활용됩니다.

APT 공격은 다른 사이버 공격처럼 금전적 이익을 노리기도 하지만, 정치적 첩보 활동에도 사용됩니다. 정부 시스템은 대체로 보안 수준이 높아 장기간에 걸친 정교한 공격이 필요합니다.

ATA와 APT의 차이점은?

지능형 표적 공격(ATA)은 주로 특정 기성 공격 그룹이 사용하는 공격 방식이지만, 이들만 사용하는 것은 아닙니다. 이러한 그룹은 언론에서 “Fancy Bear”나 “Lazarus” 같은 별칭으로 불립니다. 보안 업계에서는 “지능형 지속 위협(APT)” 그룹으로 분류하고 APT1, APT2처럼 숫자 식별자를 부여합니다.

그룹을 구분하는 기준에는 전술, 인프라, 코드 재사용 여부 및 주요 공격 대상이 있습니다. 예를 들어 한 APT 그룹은 특정 코드 루틴이나 사회공학 전술을 재사용하고, 다른 그룹은 특정 취약점이나 제로데이 취약점에 의존할 수 있습니다. 기업을 공격하는 주체가 알려진 APT 그룹이든, 범죄 조직이든, 단독 해커나 악의적인 내부자든 표적 공격의 특징은 같습니다.

지능형 지속 위협 사례

모든 APT가 같은 방식으로 공격하거나 같은 동기를 갖는 것은 아닙니다. 잘 알려진 그룹은 대개 정치적 목적을 위해 활동하지만, 모두 범죄 수법으로 목표를 달성합니다.

Stuxnet

초기 APT 사례 중 역사적으로 가장 주목받는 사례인 Stuxnet은 이란의 핵 프로그램을 겨냥해 설계되었습니다. 2010년에 발견되었지만, 2005년부터 개발된 것으로 추정됩니다.

발견 당시 Stuxnet은 이란 내 14곳이 넘는 산업 시설의 소프트웨어를 감염시킨 500킬로바이트 크기의 컴퓨터 웜이었습니다. Microsoft Windows 시스템을 표적으로 삼아 스스로 확산했습니다. 그 결과 이란은 핵 원심분리기의 약 5분의 1을 잃었습니다.

Wicked Panda

더 최근의 APT 사이버 위협 사례는 Wicked Panda입니다. 지난 10년간 가장 활발히 활동한 중국 기반 공격 그룹 중 하나로, 중국 정부의 이익을 위해 활동하며 금전적 이익을 노린 공격도 수행합니다.

APT 공격의 작동 방식

APT 공격은 침투로 시작됩니다. 해커는 일반적으로 웹 자산, 네트워크 리소스, 피싱 이메일, 권한이 있는 사용자 등을 이용해 침투합니다. 일단 내부에 들어오면 해커는 백도어 셸을 설치해 원할 때마다 피해자의 시스템에 접근합니다.

다음으로 공격자는 침투 범위를 넓히고 중요 데이터에 접근할 수 있는 직원을 공격합니다. 충분한 정보를 수집한 뒤에는 DDoS 공격이나 다른 교란 수단으로 데이터 유출을 은폐합니다.

표적 공격은 각 단계별로 구분할 수 있는 뚜렷한 특징이 있습니다.

1. 정보 수집
2. 진입점 및 침투
3. 통신 – 명령 및 제어
4. 내부 확산 & 자산 탐색
5. 데이터 유출 – 핵심 자산 탈취

1. 정보 수집

표적 공격의 첫 단계는 피해자에 관한 정보를 최대한 많이 수집하는 것입니다. 방어자 입장에서는 탐지할 기회가 거의 없는 수동적인 활동입니다. 이 단계에서 공격자는 표적 조직의 사업, 직원 및 운영에 관한 공개 정보를 수집합니다. 이메일 주소와 웹사이트 URL도 공개 출처, 이처럼 사례가 많으며 그중 하나.

공개된 정보는 무엇이든 공격자에게 유용할 수 있습니다. 채용 공고에는 조직에서 사용하는 특정 하드웨어와 소프트웨어가 드러날 수 있습니다. 또한 많은 구글 도킹 기법을 통해 공격자는 사이트에서 취약점과 특정 리소스를 검색할 수 있습니다.

2. 진입점 및 침투

침입자의 가장 큰 과제는 진입에 성공하는 것입니다. 결국 대상 네트워크 내에서 코드를 실행해야 한다는 뜻입니다. 소프트웨어나 하드웨어의 취약점, 취약한 자격 증명, 제로데이, 패치되지 않은 소프트웨어를 악용하는 기술적 방법도 있습니다. 하지만 가장 흔한 진입 방법은 사회공학 기법, 특히 스피어 피싱입니다. 사용자가 승인되지 않은 코드를 실행하도록 속이는 일은 그 자체로 하나의 기술이지만, 특히 조직에서는 비교적 쉽게 넘을 수 있는 장벽입니다.

이 단계에서는 적어도 예방과 탐지의 기회가 있습니다. 사회공학 기법에 대한 인식을 높이는 교육도 좋지만, 교육받은 사용자도 교묘하거나 끈질긴 피싱 캠페인에 속을 수 있습니다. 조직을 가장 효과적으로 방어하려면 네트워크 내부의 의심스러운 활동을 표시하고 암호화된 트래픽을 검사하는 자동화된 행동 분석 소프트웨어가 필요합니다.

표적 공격에서 주의해야 할 또 다른 가능성은 내부자 위협입니다. 직원과 계약업체 인력 모두 기업에 위험을 초래할 수 있습니다. 공격에 조직 외부에는 널리 알려지지 않은 내부 정보가 필요하다면 내부자가 연루되었을 가능성이 더욱 큽니다. 표적 공격은 하드웨어와 소프트웨어 자산뿐 아니라 직원이라는 ‘인적 요소’를 겨냥하는 데서 시작될 수도 있습니다.

3. 통신 – 명령 및 제어

표적 공격에서 해커나 해킹 그룹이 가장 먼저 할 일은 자신들과 네트워크에 심어 놓은 악성코드 사이에 안정적인 통신을 구축하고 유지하는 것입니다; 다시 말해, 지속적으로 사용할 수 있는 백도어를 구축하려 합니다. 이는 ATA가 명령을 내리고 자산 탐색, 데이터 유출, 포렌식 흔적 제거 같은 후속 공격 단계를 실행하는 데 필수적입니다.

공격자는 Empire, Pupy, Metasploit을 비롯해 공개적으로 이용할 수 있는 다양한 공격 후 활용 프레임워크를 사용할 수 있습니다. 그 밖에도 많은 프레임워크가 있습니다.

해커는 공격자 서버로 보내는 단순한 HTTP 또는 https 요청부터 고급 분산형 P2P 기술까지 다양한 명령 및 제어 채널을 활용할 수 있습니다. Twitter, Facebook, Google Docs도 악성 C&C 프로토콜에 악용된 바 있습니다.

방어자에게도 기본 요건이 있습니다. 범용 코드를 인식하고 엔드포인트 AV 보안 제품이 제공하는 방화벽 제어 기능은 최소한 갖춰야 합니다.

4. 내부 이동 및 자산 탐색

표적 공격으로 엔드포인트가 침해되고 네트워크에 접근할 수 있게 되면, 공격은 거기서 멈추지 않는 경우가 많습니다. 공격자는 연결된 다른 시스템에 접근해 민감한 데이터에 도달하려 합니다. 도메인 관리자 권한까지 얻으면 사실상 조직의 모든 영역에 접근할 수 있으며, 공격자가 노리는 것도 대개 바로 그것입니다.

도메인 관리자 권한을 얻지 못하더라도, 네트워크 사용자가 여러 네트워크 서비스에서 같은 비밀번호를 재사용한다면 공격 코드가 단 한 번의 침해로 여러 시스템을 이동할 수 있다는 점에 유의해야 합니다.

이 단계에서 공격자는 디렉터리를 열거하고 파일 목록을 수집하며 가치 있는 데이터의 목록을 작성하기 시작할 수 있습니다. 수집한 정보를 분석하려면 앞서 구축한 C&C를 통해 공격자에게 전송해야 합니다. 따라서 네트워크 통신을 완전히 파악하고 감시 목록이 네트워크 및 파일 활동을 기반으로 경고를 생성한다면, 방어자는 이 단계에서 비정상적인 트래픽을 발견할 수 있습니다. 또한 SentinelOne처럼 사용하기 쉬운 인터페이스에서 모든 엔드포인트에 기본 및 고급 쿼리를 실행할 수 있는 보안 소프트웨어를 갖추는 것도 유용합니다:

5. 데이터 유출 – 핵심 자산 탈취

관심 있는 항목을 찾아낸 공격자는 어느 시점에 회사 데이터를 외부로 전송합니다. 해커가 찾아낸 데이터의 종류와 관심 대상에 따라 일회성으로 끝날 수도, 지속적으로 이어질 수도 있습니다.

공격자도 이런 활동이 흔적을 남겨 관리자에게 존재를 드러낼 수 있다는 점을 알고 있습니다. 따라서 앞선 탐색 단계에서 조직의 방어 체계를 충분히 파악한 뒤 신중하게 데이터를 유출해야 합니다.

데이터 유출은 이메일 본문이나 첨부 파일로 일반 텍스트를 전송하는 단순한 방법부터, URL에 사용자 자격 증명을 담아 전송하거나 공격자가 제어하는 서버에 몰래 업로드하는 은밀한 방법까지 다양합니다.

데이터 유출은 일반적으로 인터넷을 통해 이루어지지만, 방어자는 회사의 지식 재산을 USB나 다른 로컬 드라이브에 복사해 유출하려는 내부자도 경계해야 합니다. 따라서 기기 제어도 이러한 데이터 탈취를 탐지하고 차단하기 위해 마련해야 합니다.

위협 인텔리전스 강화

SentinelOne 위협 추적 서비스 WatchTower가 어떻게 더 큰 인사이트를 확보하고 공격에 대응하는 데 도움이 되는지 알아보세요.

자세히 알아보기

지능형 지속 위협의 주요 특징

APT 그룹은 기존 보안 시스템이 차단하도록 설계된 다른 해커들과는 다른 기법을 사용합니다. 주의 깊게 살펴봐야 할 지능형 지속 위협의 특징은 다음과 같습니다.

업무 시간 외 비정상적인 로그인

지능형 지속 위협의 초기 징후 중 하나는 심야 시간대 권한이 높은 계정의 로그인 증가입니다. APT는 높은 접근 권한을 가진 계정을 이용해 단 몇 시간 만에 전체 환경을 침해할 수 있습니다.

공격자는 권한이 높은 계정을 사용하므로, 각 부서와 협력해 임원진의 네트워크 접속 시간을 확인하세요. 외부 사용자가 조직의 정보에 접근하는 시점을 쉽게 식별할 수 있어야 합니다.

반복적으로 침입하는 위협 행위자

위협 행위자는 침입 경로 중 하나가 차단되더라도 시스템에 다시 접근할 수 있도록 백도어 트로이 목마 프로그램도 설치합니다.

장기간에 걸쳐 비슷한 유형의 공격이 여러 차례 확인된다면 APT 사이버 공격일 가능성이 높습니다.

가로챈 이메일

APT 위협은 이메일을 다른 컴퓨터에서 가로채는 등 예상치 못한 정보 흐름도 유발합니다. 일부 클라우드 이메일 시스템은 메시지에 접근한 위치를 추적하지만, 모든 시스템이 그러지는 않습니다.

해커에게 의도치 않게 접근 권한을 줄 수 있는 고위 경영진에게 스피어 피싱 이메일이 전송되는 정황도 발견할 수 있습니다.

기타 이상 활동

평소와 다른 활동은 언제든 APT의 징후일 수 있습니다. 데이터 사용량이 갑자기 증가하거나 서버 속도가 느려지는 경우가 이에 해당합니다.

위협 추적과 비정상적인 시스템 동작의 모니터링은 사이버 보안 강화에 필수적입니다. 정상 동작의 기준선을 설정해 이상 징후를 신속하게 식별하세요.

지능형 지속 위협으로 인한 피해 제한

APT가 조직에 미치는 피해를 평가할 때는 여러 요소를 고려해야 합니다.

공격자의 목표는 금전이나 데이터, 또는 둘 다일 수 있습니다. 평판 훼손이 목적일 수도 있고, 이 모든 것을 노릴 수도 있습니다. 피해는 즉시 나타나거나 장기적으로 이어질 수 있습니다.

즉각적인 피해로는 금전적 손실, 네트워크 중단 또는 데이터 탈취가 있습니다. APT는 대개 은밀하게 활동하지만, 랜섬웨어 분야에서는 특정 조직을 표적으로 삼아 랜섬웨어 공격을 가하는 사례가 늘고 있습니다. 공격자는 자산 탐색 단계에서 가장 가치 있는 자산을 찾아내고 복구 수단과 모든 “익스플로잇 방지” 기술을 무력화할 수 있어, 기업에는 특히 치명적입니다.

장기적인 비용은 평가하기가 더 어렵지만, 경쟁사에 이익이 되는 지식재산권의 유출이나 투자자 또는 고객의 신뢰 상실에서 비롯될 수 있습니다.

APT 공격이 성공했을 때 즉각적인 영향과 장기적인 영향을 제한하려면 보안 체계에 침해 후 대응 전략이 포함되어야 합니다. 최소한 침해에 이용된 취약점을 식별하고 차단하며, 실행 가능한 데이터를 수집할 수 있어야 합니다. 이 데이터는 무슨 일이 일어났는지 파악하고, 책임자를 추적하며 궁극적으로 침해 후 비용을 줄이는 데 필요합니다.

SentinelOne의 지원 방식

APT 사이버 위협에는 적절한 탐지와 보안 조치가 가장 효과적입니다. 이를 위해 네트워크 관리자, 보안 제공업체, 선제적인 보안 체계가 함께해야 합니다.

SentinelOne은 위협에 선제적으로 실시간 대응합니다. AI 기반 모델은 피해가 발생하기 전에 맬웨어와 랜섬웨어 바이너리를 식별합니다. 또한 지능형 지속 위협으로부터 시스템을 보호하도록 선제적인 실시간 탐지와 대응에 필요한 핵심 맥락을 구축합니다.

SentinelOne의 위협 인텔리전스 서비스인 WatchTower는 새로운 공격 기법에 대한 가시성과 대응 역량을 확장합니다. 관련성 높고 시의적절한 인사이트를 즉시 받아 공격자보다 앞서 나가세요.

보안 운영 역량 강화

사이버 위협은 날마다 발전하고 정교해집니다. APT가 다른 위협과 다른 점은 시스템에 침투하는 동안에도 전술을 개선한다는 것입니다. 대응이 늦어지면 전체 시스템이 침해될 수 있습니다.

지능형 지속 위협을 추적하고 데이터베이스의 보안 수준이 더 높은 영역에 접근하기 전에 차단해야 합니다. SentinelOne은 인텔리전스 기반 위협 헌팅, 일상적인 MDR SOC 운영 지원 및 사고 대응을 제공합니다.

문의하세요. 시스템 보호를 위한 SentinelOne의 지원 방식을 자세히 알아보세요.