측면 이동이란? 정의 및 사례

측면 이동은 공격자가 네트워크에 침투할 때 사용하는 가장 기본적인 전략 중 하나입니다. 주의를 기울이지 않으면 공격자는 사용자 계정을 탈취하고 탐지되기 전에 자신의 존재를 숨길 수 있습니다. 많은 기업은 자사의 사이버 보안 태세가 얼마나 탄탄한지 알지 못합니다. 측면 이동 공격에 노출되어 있거나, 공격자가 접근 권한을 얻고 침투하는 데 악용할 수 있는 취약점이 시스템에 숨어 있다는 사실도 인식하지 못합니다.

이 가이드에서는 측면 이동 탐지에 관해 알아야 할 내용을 다룹니다. 사이버 보안에서 측면 이동이란 무엇인지, 측면 이동 공격의 유형과 과정은 무엇인지 살펴보겠습니다. 시작하겠습니다.

횡방향 이동 공격은 사이버 공격이 침투 지점에서 발생하는 경우가 드물기 때문에 가능합니다. 침투 지점은 해커가 접근 권한을 획득하는 지점에 불과합니다. 사이버 범죄자들은 가장 민감한 정보에 접근하기 위해 종종 시스템을 횡방향으로 이동합니다. 안타깝게도 너무 많은 사용자와 기업이 이러한 공격을 막기 위해 사이버 보안 관행을 어떻게 업그레이드해야 하는지 모릅니다.

최근 데이터 보고서에 따르면 많은 조직이 취약한 사이버 보안 관행을 가지고 있어 데이터 유출, 악성코드 감염 및 기타 보안 위협에 취약한 것으로 나타났습니다. 변화하는 사이버 보안 환경에 대응하기 위해서는 측면 이동 공격을 비롯한 사이버 공격의 모든 측면을 이해하는 것이 필수적입니다.

사이버 보안에서 측면 이동이란?

측면 이동은 공격자가 엔드포인트를 통해 처음 접근한 뒤 네트워크나 환경 내부의 거점을 강화하는 데 사용하는 여러 기법을 말합니다. 일단 침투하면 서로 연결된 시스템 사이를 이동하기 시작합니다.

측면 이동이 중요한 이유는 다음과 같습니다.측면 이동(lateral movement) 은 공격자가 피해자의 네트워크 내에서 이동하는 것을 의미합니다. 측면 이동은 일반적으로 공격 범위를 확장하고 침해 가능한 새로운 시스템이나 데이터를 찾기 위해 수행됩니다. 측면 이동은 공격의 모든 단계에서 발생할 수 있지만, 침해 후 단계에서 가장 흔히 관찰됩니다.

측면 이동 공격은 일반적으로 특정 패턴을 따릅니다:
• 공격자가 중요 자산을 찾아 접근하고 침해할 수 있습니다
• 이동하며 민감한 데이터를 탈취하고 실시간으로 방어 체계를 회피할 수 있습니다
• APT와 랜섬웨어 같은 현대적 위협 캠페인의 핵심 요소입니다

측면 이동은 어떻게 이루어지나요? 공격 단계

공격자는 피싱이나 악성코드(파일리스 악성코드 포함)와 같은 취약점 악용을 통해 시스템에 초기 접근 권한을 획득합니다.

공격자는 해당 시스템을 이용해 네트워크 내에서 측면 이동을 수행하며, 일반적으로 취약점을 악용하거나 탈취한 자격 증명을 사용합니다.

공격자는 침해된 시스템을 통해 민감한 데이터나 시스템에 접근합니다.

공격자가 사용할 수 있는 다양한 측면 이동 기법이 존재하지만, 일반적인 기법은 다음과 같습니다:

측면 이동 공격은 다음 단계를 거쳐 진행됩니다.

패스-더-해시(Pass-the-hash): 이 기법에서 공격자는 시스템에서 암호 해시(password hash)를 탈취한 후, 해당 해시를 이용해 네트워크 내 다른 시스템에 인증합니다.

패스-더-티켓: 공격자는 시스템에서 Kerberos 티켓을 훔친 후, 액티브 디렉터리와 같은 네트워크상의 다른 시스템에 인증하는 데 해당 티켓을 사용합니다. 골든 티켓 공격이나 실버 티켓 공격과 같은 패스-더-티켓 공격은 공격자가 침투 후 측면 이동 및 권한 상승을 위해 사용하는 강력한 기법입니다. 이러한 기법을 통해 공격자는 네트워크 또는 서비스 내 모든 엔드포인트에 무제한 접근 권한을 획득할 수 있으며, 이는 치명적인 결과를 초래할 수 있습니다.

취약점 악용: 공격자는 시스템의 취약점을 악용하여 접근 권한을 획득한 후, 해당 권한을 이용해 네트워크 내에서 측면 이동을 수행합니다.

도난된 자격 증명 사용: 공격자는 시스템에서 유효한 자격 증명을 훔친 후 이를 이용해 네트워크 내 다른 시스템에 인증합니다.

정찰해시 전달(pass-the-hash) 을 통해 시스템에 초기 접근 권한을 획득한 후, 해당 자격 증명을 사용하여 네트워크 내 다른 시스템에 인증할 수 있습니다.

사이버 보안에서 측면 이동을 탐지하려면 먼저 정찰이 어떻게 이루어지는지 이해해야 합니다. 정찰 단계에서 공격자는 대상 환경을 파악합니다. 인프라를 면밀히 조사해 잠재적 표적을 찾고 네트워크의 취약점도 평가합니다.국가 사이버 보안 센터(NCSC)는 사이버 범죄자들이 네트워크에 초기 진입점을 확보한 후, 가치 있는 정보나 시스템에 대한 추가 통제권을 획득하면서 그 진입점을 확장하고 공고히 하려 한다는 점을 지적합니다. 바로 이 점이 측면 이동을 매우 위험하게 만드는 이유입니다.

공격자는 대상을 조사하며 다음 행동을 계획합니다. 네트워크 스캐닝 등 다양한 기법으로 네트워크와 시스템에 관한 정보를 수집합니다. 이 정보로 자신의 존재를 숨기고 이후 공격을 수행할 때 탐지될 위험을 줄입니다.

자격 증명 탈취

공격자는 자격 증명 덤핑을 통해 침해된 시스템에서 사용자 로그인 정보나 관리자 자격 증명을 빼낼 수 있습니다. Mimikatz 같은 도구로 메모리에서 평문 비밀번호, PIN 코드, 해시, Kerberos 티켓을 추출할 수 있습니다. 확보한 자격 증명으로 권한을 높이면 네트워크 전반을 이동하며 더 높은 권한이 필요한 작업을 제한 없이 수행할 수 있습니다. 이 단계에서는 시스템 구성을 변경하고 민감한 데이터에도 쉽게 접근할 수 있습니다.킬 체인(kill chain).&” 사이버 킬 체인은 사이버 범죄자들이 사이버 공격을 실행하기 위해 사용하는 방법론입니다. 이는 공격자가 표적을 식별하는 단계부터 데이터를 성공적으로 유출하는 단계까지의 과정을 설명하는 선형 모델입니다.

측면 이동을 통한 접근

위협 행위자는 한 호스트에서 다른 호스트로 이동할 수 있습니다. 자격 증명을 수집하고 정찰을 수행하며 탐지를 피하려고 시스템 사이를 빠르게 옮겨 다닙니다. 목표는 최초 침입 지점에서는 접근할 수 없었던 중요 자산이나 시스템에 도달하는 것입니다.

원격 데스크톱 프로토콜이나 예약된 작업을 이용하거나 다른 서비스를 원격으로 실행해  서버와 워크스테이션에 연결할 수 있습니다. 접근 권한을 유지하려고 백도어를 심거나 방화벽 규칙을 조정할 수도 있습니다. 추가 리소스를 파악하고 거점을 마련해 조용히 활동 범위를 넓히기도 합니다.

탐지 및 차단오픈소스 정보(OSINT) 기법 등을 활용해 대상에 대한 데이터를 수집합니다.

공격자는 모니터링 시스템을 피하려고 흔적을 숨깁니다. 낯선 실행 파일 대신 WMI나 PowerShell 같은 내장 도구를 사용하고, 기존 원격 서비스를 통해 측면 이동하며 일상적인 트래픽에 섞여 듭니다. 정상적인 자격 증명과 예약된 작업을 사용해 비정상 활동 알림도 피합니다.

이벤트 로그를 지우고 작업 속도를 늦춰 임계값 기반 경보도 피합니다. 침입자가 연결 간격을 벌리고 암호화된 채널로 데이터를 전송하므로 인증 실패나 프로세스 실행이 급증하는 현상도 거의 나타나지 않습니다. 일단 내부에 침투하면 그 존재를 발견하기가 훨씬 어려워집니다.

잠재적 대상 식별.

취약점 발견.

관련된 제3자 연결망 파악 (및 접근 가능한 유용한 정보 확인).

기존 침투 경로 탐색 (및 신규 경로 발굴).

또한 정찰은 온라인과 오프라인에서 모두 발생할 수 있습니다.

가장 흔한 측면 이동 기법은 무엇인가요?

2025년 기준 가장 흔한 측면 이동 기법은 다음과 같습니다.Credential dumping라고 불리는 이 단계는 정찰 을 통해 사이버 범죄자들이 잠재적 표적에 대한 모든 필수 정보를 발견할 수 있게 된 후 발생합니다. 여기서 공격자는 자신의 존재를 공고히 하고, 지속적인 위협을 유지하며, 사기 수단을 통해 자격 증명 정보를 획득하고, 추가 호스트를 침해하여 권한을 상승시킵니다.

궁극적으로 공격자는 대상(도메인 컨트롤러, 중요 시스템 또는 민감한 데이터 등)에 대한 통제권을 획득합니다. 그들은 더 많은 호스트 명명 규칙과 서버에 대한 합법적인 접근 권한을 가진 것처럼 보이는 자격 증명을 훔칩니다. 이러한 목표를 달성한 후 데이터는 유출될 수 있으며, 기기들은 파괴됩니다.

키로깅

횡방향 이동 접근

키로거는 컴퓨터의 키 입력을 기록하는 악성코드입니다. 공격자는 키로거로 사용자 이름, 비밀번호, 신용카드 번호를 훔칠 수 있습니다. 키로거를 설치하면 사용자가 일상 업무를 수행하는 동안 로그인 자격 증명을 수집할 수 있습니다. 키로거는 백그라운드에서 실행되며 입력 정보를 저장해 공격자에게 전달합니다. 측면 이동을 탐지하려면 먼저 키로깅 활동을 살펴보세요.

이 단계에서 공격자는 이전 단계에서 획득한 자격 증명을 사용하여 시스템 간 측면 이동을 수행하고 네트워크 내 발판을 확장합니다. 이를 위해 원격 데스크톱 프로토콜(RDP)>, Windows 관리 계측(WMI), 서버 메시지 블록(SMB).

Pass-the-Hash

이러한 도구들은 공격자가 재인증 없이 네트워크상의 장치와 시스템 간에 측면 이동을 가능하게 하며, 민감한 데이터와 시스템에 대한 무제한 접근 권한을 부여합니다.

공격자는 사용자 비밀번호의 해시 값을 훔칩니다. 이 값으로 해당 사용자로 인증할 수 있습니다. 해시된 비밀번호를 이용하면 기존의 비밀번호 기반 인증 방식도 우회할 수 있습니다. Pass-the-Hash(PtH) 공격은 오래되었거나 불필요한 사용자 계정에서만 작동합니다.

탐지 및 차단

원격 서비스 악용(RDP, SMB, SSH)

이것은 측면 이동 킬 체인의 최종 단계이며– 귀하 또는 고객의 데이터를 보호하는 데 가장 중요한 단계입니다. 사이버 공격자가 시스템에 접근한 후 이를 탐지하고 차단하는 것은 거의 불가능할 수 있습니다.

원격 데스크톱 프로토콜(RDP)을 이용하면 공격자가 다른 PC를 원격으로 제어할 수 있습니다. 다른 기기를 통해 의심을 사지 않고 정상적인 접근 권한을 얻어 측면 이동합니다.

는 위협 라이프사이클의 모든 단계에서 AI와 자동화를 통해 네트워크를 보호함으로써 모든 측면 이동 공격을 차단할 수 있습니다. ATT&CK Deception Evaluation에 참여하고 주도한 최초이자 유일한 XDR 벤더로서, 그들의 Singularity XDR 플랫폼은 가장 강력하고 자율적인 XDR 플랫폼으로, 기업이 직면한 공격 표면 인간, 장치, 클라우드 공격 표면 전반에 걸쳐.

서버 메시지 블록(SMB)은 공유 파일, 프린터, 직렬 포트에 접근할 수 있게 하는 네트워크 프로토콜입니다. 대표적인 사례가 EternalBlue입니다. 이 익스플로잇은 전 세계적으로 확산된 WannaCry 랜섬웨어 공격에 사용되었습니다.

Singularity XDR은 네트워크 내 교두보를 구축하거나, 신원 데이터를 탈취하여 측면 이동, 권한 상승, 목표 획득을 시도하는 공격자를 조기에 차단하기 위해 예방, 보호, 탐지 및 기만 기능을 효과적으로 결합합니다. SentinelOne 데모 신청하기.

SSH 하이재킹은 SSH 세션을 장악해 대상 시스템에서 원격으로 명령을 실행합니다. 측면 이동 탐지를 피할 수 있어 위험합니다. 해당 SSH 세션에서 원래 사용자와 동일한 수준의 접근 권한을 얻을 수 있습니다.

Living-off-the-Land(PowerShell, WMI)

Living-off-the-Land(LotL) 공격은 시스템 내장 도구를 사용해 탐지를 피하고 은밀하게 공격합니다. 주로 사용되는 PowerShell은 Windows에 기본 탑재된 유연한 스크립팅 도구입니다.

PowerShell은 일반적인 관리자 활동처럼 보이는 작업을 수행할 수 있습니다. 악의적인 행동을 숨기고 디스크의 파일에 직접 쓰지 않고도 메모리에서 악성코드를 실행할 수 있습니다.  또한 시스템을 조회해 표적을 찾고, 잘못된 구성을 악용하며, 더 높은 접근 권한을 얻을 수 있습니다.

Windows Management Instrumentation(WMI)은 네트워크 내 앱과 기기의 관리를 통합하는 Microsoft 사양 모음입니다. 하지만 사이버 범죄자들은 이를 악용해 보안 도구를 조작하고 우회해 왔습니다. 스크립트를 원격으로 실행하고 애플리케이션 허용 목록도 우회했습니다.

Kerberoasting/NTLM 릴레이213일, 차단까지 80일이 소요됩니다. 213일은 측면 이동 공격에 있어서는 영원이나 다름없어, 공격자가 측면으로 이동하고, 지속성을 확보하며, 정찰을 수행하고, 자격 증명을 획득할 충분한 시간을 제공합니다.

Kerberoasting은 공격자가 유효한 도메인 사용자 자격 증명을 이용하는 침해 후 기법입니다. 공격자는 이를 사용해 서비스 계정 비밀번호를 오프라인에서 크래킹하고 추출합니다. Active Directory에 등록된 서비스 사용자 이름(SPN)에 대한 서비스 티켓(ST)을 요청하는 일반 도메인 사용자 계정에서 시작할 수 있습니다.

키 배포 센터(KDC)가 응답하면 인증된 사용자 누구나 서비스 티켓을 요청할 수 있습니다. 여기서 문제가 발생합니다. 도메인 컨트롤러는 사용자가 해당 서비스를 이용할 권한이 있는지 확인하지 않습니다. 공격자는 티켓을 오프라인으로 가져가 John the Ripper 같은 도구로 비밀번호 해시를 크래킹할 수 있습니다.

NTLM 릴레이 공격은 클라이언트와 서버 간의 인증 시도를 가로채 전달합니다. 사용자가 인증을 시도하면 공격자는 NTLM 해시를 포착해 다른 서비스로 전달합니다. 대상 서버가 전달된 인증을 받아들이면 공격자는 실제 비밀번호를 몰라도 접근 권한을 얻습니다.

잘못된 구성 및 신뢰 관계 악용

신뢰 관계 공격은 신뢰할 수 있는 도메인의 계정 하나를 침해하는 데서 시작되는 경우가 많습니다. 이후 공격자는 신뢰 관계를 열거하고 도메인 간 권한을 파악해 도메인 사이를 측면 이동할 수 있습니다.

Active Directory의 잘못된 구성은 다양한 공격 경로를 제공합니다. 취약한 그룹 정책 설정, 부적절한 위임 권한, 과도한 권한이 부여된 서비스 계정은 권한 상승의 기회가 됩니다. 공격자는 측면 이동을 위해 잘못 구성된 DNS 설정, 인증서 서비스, 인증 정책도 노립니다.

측면 이동을 활용한 보안 위협 탐지 및 방지 방법

공격자가 측면 이동을 사용하는 이유는 무엇인가요?

측면 이동 공격은 합법적인 자격 증명과 도구를 사용해 사이버 범죄자들이 오랫동안 탐지되지 않도록 하기 때문에 탐지 및 방지가 어렵습니다. 그러나 측면 이동 공격의 위험을 줄이기 위해 따를 수 있는 몇 가지 모범적인 사이버 보안 관행을 따름으로써 측면 이동 공격의 위험을 줄일 수 있습니다. 여기에는 다음이 포함됩니다:

공격자가 측면 이동을 사용하는 이유는 다음과 같습니다.

공격 표면 인식 평가

탐지 회피가 더 쉬움

가장 먼저 해야 할 일은 네트워크에 어떤 시스템과 장치가 있는지 파악하는 것입니다. 이를 통해 보호해야 할 대상 주변에 벽을 쌓을 수 있습니다. 여기에서 사이버 보안의 초점은 경계 보호에서 네트워크 내부 탐지로 전환되어야 합니다.

공격자가 측면 이동을 선호하는 이유 중 하나는 정상적인 네트워크 트래픽에 섞여 들 수 있기 때문입니다. 기존 보안 조치로는 측면 이동을 막기 어려워 공격자를 탐지하기가 훨씬 힘듭니다. 정상 사용자를 사칭해 경보를 일으키지 않고 오랫동안 활동할 수도 있습니다.

이를 위해서는 노출된 인증 정보/정보, 잘못된 구성, 잠재적 공격 경로 및 기타 취약점 등에 대해 알아야 합니다. 엔드포인트 탐지 및 대응(EDR) 및 확장 탐지 및 대응(XDR) 도구를 활용하여 엔드포인트 공격에 대한 가시성을 확보하고 해당 기능을 확장하는 것이 중요합니다.

권한 상승 기회

SentinelOne의 Singularity™ 플랫폼 는 보안 전문가들이 현대적 위협을 기계 속도로 선제적으로 해결할 수 있도록 지원합니다. 싱귤러리티는 사용자 엔드포인트, 하이브리드 클라우드 워크로드, IoT 등을 아우르는 SOC의 위험 관리를 더욱 효과적으로 지원함으로써 자율적 AI 기반 사이버 보안이라는 미래 비전을 현실로 만듭니다.

권한 상승은 일반 사용자 계정처럼 낮은 수준의 접근 권한에서 시작하기가 훨씬 쉽습니다. 이후 공격자는 새로운 취약점을 찾아 악용하며 권한을 높일 수 있습니다. 결국 관리자 수준의 접근 권한을 확보하고 네트워크를 완전히 장악할 수 있습니다.

권한 및 신원 조사

민감한 시스템으로 접근 확대

두 번째 실천 사항은 네트워크상의 권한 및 신원을 조사하고 이해하는 것입니다. 이를 통해 합법적인 사용자가 수행해야 하는 작업과 수행해서는 안 되는 작업을 판단하는 데 도움이 됩니다.

공격자는 수평 이동을 통해 가치가 높은 자산과 중요 데이터에 빠르게 접근합니다. 지식재산과 재무 기록을 찾아내고 도메인 컨트롤러 같은 핵심 서버와 인프라에도 접근할 수 있습니다. 처음 침입한 뒤 시간이 지나면서 접근 범위를 넓혀 민감한 시스템에 도달합니다.

이상 징후 및 탐지 정확도 측정

취약점을 파악할 시간 확보

이 단계에서는 보안 도구의 탐지 정확도를 측정하고 예상대로 작동하는지 확인해야 합니다. 예를 들어, 일반적으로 한 위치에서 파일에 접근하던 사용자가 이제 다른 위치에서 접근하는 경우, 이는 사용자의 자격 증명이 유출되었고 누군가가 이를 이용해 네트워크 내에서 측면 이동을 시도하고 있다는 신호일 수 있습니다.

수평 이동은 공격자에게 네트워크와 사용자, 표적을 파악할 시간을 줍니다. 공격자는 눈에 띄지 않게 정찰하며 누구를 표적으로 삼을 수 있는지 확인합니다. 시스템을 탐색하고 제로데이 익스플로잇을 찾아내며, 시간을 들여 보안 제품을 역설계하고 장악할 수 있습니다.

AI/ML 기능을 갖춘 탐지 기술을 활용하면 측면 이동 공격을 탐지하고 방지하는 데 도움이 됩니다. 이러한 기술은 사용자 행동을 모니터링하고 측면 이동의 징후가 될 수 있는 이상 징후를 식별하는 데 사용될 수 있습니다.

수평 이동을 조기에 탐지하는 방법

측면 이동 및 기타 사이버 위협 문제를 식별하는 가장 좋은 방법은 모든 조직 구성원에게 이점을 제공하는 신뢰할 수 있는 사이버 보안 프로세스를 도입하는 것입니다. SentinelOne의 측면 이동 탐지 엔진은 플랫폼의 저수준 모니터링을 활용하여 상기 스크립트 언어 및 프로토콜을 포함한 모든 머신 운영에 대한 가시성을 확보합니다.

조직 내 수평 이동을 조기에 탐지하려면 다음 징후를 살펴보세요:

EDR 및 NDR 신호 소스의 로그 기록

EDR 로그에서는 다른 시스템으로의 원격 연결을 통해 시작된 비정상적인 프로세스를 확인하세요. 일반적이지 않은 엔드포인트에서 Windows Management Instrumentation 같은 관리 도구를 악용하는지도 살펴보세요. NDR 신호를 조사할 때는 내부망 트래픽을 분석하세요. 비정상적인 포트 사용과 데이터 유출 시도를 확인하세요.

ID 로그와 비정상적인 로그인 패턴 확인

인증 로그에서 평소와 다른 로그인 시간과 위치를 확인하세요. 사용자가 평소 근무 시간 외에 업무 시스템에 로그인한다면 위험 신호입니다. 서비스 계정의 활동과 사람이 아닌 서비스 계정의 로그인 행동도 살펴보세요. 로그인 실패 역시 이상 징후입니다.보안 오케스트레이션, 자동화 및 대응(SOAR) 플랫폼을 활용할 수 있습니다. 이러한 자동화 플랫폼은 탐지된 위협을 처리하고 네트워크를 통해 확산되는 것을 차단함으로써 사고 대응을 가속화하고 간소화합니다.

ID 로그에서 높은 권한을 가진 새 계정이 네트워크에 갑자기 생성되었는지 확인하세요. 사용자가 짧은 시간에 서로 다른 여러 시스템에 로그인한다면 ID 악용이 진행 중일 수 있습니다. 표준 변경 관리 절차를 거치지 않고 권한이 높아지거나 새로운 접근 권한을 얻는 것도 중요한 징후입니다.

SentinelOne을 통한 측면 이동 공격 방어

그래프 분석과 UEBA

사이버 범죄자들의 수법이 점점 정교해지면서 측면 이동 공격은 여전히 심각한 문제로 남아 있습니다. 단순한 익스플로잇의 시대는 지났습니다. 대규모 조직들은 이제 세심하게 계획된 고급 지속적 위협(APT) 공격을 비롯한 측면 이동 공격 등 다양한 위협을 우려하고 있습니다.

그래프 분석 모델로 이상 징후와 수평 이동 행동을 식별하세요. 비정상적인 이동 경로를 시각화하고 서로 다른 계정의 활동 시점과 관계를 모델링할 수 있습니다. 멀리 떨어진 지역에서 발생한 계정 악용 및 자격 증명 탈취의 징후도 찾을 수 있습니다. 행동 기준선을 설정하고 이전에 접촉한 적 없는 계정이나 시스템 간의 접촉 같은 이탈 징후도 포착할 수 있습니다.

SentinelOne 측면 이동 탐지 기능이 제공하는 탐지 및 가시성은 다른 모든 EDR 도구보다 훨씬 뛰어나며, 별도의 설정 없이도 자동화된 운영을 위해 2.0 플랫폼에 통합적으로 통합되어 있습니다.

UEBA로도 수평 이동을 탐지할 수 있습니다. 비정상적인 파일 전송과 내부자 위협을 포착하고 공격 활동의 타임라인을 연결할 수 있습니다. 위험 점수를 자동으로 산정하고 장기간에 걸쳐 천천히 진행되는 공격도 탐지합니다.

SentinelOne은 세계 최고의 차세대 엔드포인트 보안 플랫폼입니다. 이 플랫폼은 공격 라이프사이클의 모든 단계에서 위협을 차단하기 위해 특별히 설계되었습니다. 단일 에이전트/콘솔 아키텍처로 포괄적인 가시성, 보호 및 대응 기능을 제공합니다. 측면 이동 공격으로부터 비즈니스를 선제적으로 보호합니다. 오늘 데모 예약하기를 통해 직접 확인해 보세요.

탐지 과제와 사각지대

다음과 같은 탐지 과제에 직면할 수 있습니다:

• 공격자가 시스템에 내장된 도구로 관리자 접근 권한을 탈취하고 권한을 높일 수 있습니다. "living off the land" 바이너리를 사용해 시그니처 기반 탐지를 피하고 악성 활동을 숨길 수도 있습니다.
• 공격자는 수평 이동 수법을 숨기기 위해 내부 트래픽을 암호화할 수 있습니다. 지나치게 민감한 보안 도구의 잘못된 설정은 대량의 오탐 경고를 발생시켜 분석해야 할 노이즈를 늘릴 수도 있습니다.
• 역동적인 클라우드 환경은 새로운 사각지대를 만들 수 있습니다. 리소스가 생성되고 종료되는 과정에서 공격자는 빈틈을 만들고 악용할 수 있습니다. 탈취한 계정의 허용된 권한 내에서 활동해 의심을 피하는 공격자도 있습니다. 고급 UEBA 제품으로 계정을 검사하지 않으면 계정이 탈취된 사실을 알아채지 못할 수 있습니다.

공격자의 수평 이동을 방지하는 방법

공격자의 수평 이동을 방지하려면 다음 조치를 취하세요:

최소 권한, ID 관리, PAM

먼저 모든 사용자 계정에 최소 권한 원칙을 적용하세요. 각자 맡은 업무에 필요한 접근 권한만 부여하세요. 사용하지 않는 계정을 제거하고 권한을 정기적으로 감사하며 서비스 계정 비밀번호를 교체해 ID 관리도 정비하세요. PAM 제품으로 환경 전반의 높은 권한 사용을 통제하고 모니터링해 악용을 방지하세요.

제로 트러스트와 마이크로세그멘테이션

누구도 무조건 신뢰하지 말고 모두 검증하세요. 제로 트러스트 네트워크 보안 아키텍처를 구축하세요. 모든 연결 시도를 검증하고 ID, 기기 상태, 상황에 따라 엄격한 접근 통제를 적용해야 합니다.

마이크로세그멘테이션을 적용하면 네트워크를 격리된 구역으로 나누고 구역 간 접근을 통제할 수 있습니다. 공격자가 자유롭게 돌아다닐 수 있는 하나의 큰 네트워크 대신 여러 개의 안전한 구획을 만드세요. 공격자가 한 구역을 침해하더라도 별도의 인증 없이는 다른 구역에 자동으로 접근할 수 없습니다.

MFA와 자격 증명 강화

다중 요소 인증은 공격자가 비밀번호를 손에 넣더라도 더 이상 침투하지 못하게 막을 수 있습니다. 비밀번호. 모든 계정, 특히 권한이 높은 계정에 MFA를 적용하세요. 로그인 화면에만 적용해서는 안 됩니다.

자격 증명을 강화하려면 강력하고 안전한 비밀번호를 사용하고, 애플리케이션마다 서로 다른 비밀번호를 설정하며, 비밀번호를 자주 교체해야 합니다. 비밀번호를 자동으로 교체하고 각 자격 증명의 유효 기간을 제한하면 탈취한 자격 증명을 사용할 수 있는 시간이 줄어듭니다. 자격 증명이 탈취되더라도 자주 교체하면 공격자가 이를 사용할 수 있는 기간을 단축할 수 있습니다.

공격 표면 축소

불필요한 서비스를 비활성화하고 사용하지 않는 포트를 닫고 애플리케이션을 제거해 공격 표면을 줄이세요. 정기적인 패치 관리로 공격자가 시스템 간 이동에 악용할 수 있는 보안 취약점을 차단하세요.

MITRE Engenuity ATT&CK® 평가에서 SentinelOne이 거둔 성과를 여기에서 확인하세요.

수평 이동이 탐지되었을 때 대응하는 방법

수평 이동이 탐지되면 다음과 같이 대응하세요:

사고 확산 차단 단계

가장 먼저 수평 이동을 즉시 중단해야 합니다. 일회성 방화벽 규칙을 적용하거나 침해된 시스템을 네트워크에서 분리해 감염된 네트워크 구역을 나머지 네트워크와 격리하세요. 특정 사용자 계정의 침해가 의심된다면 조사하는 동안 즉시 비활성화하세요.

네트워크를 분할하고 한 구역에서 다른 구역으로 향하는 트래픽을 즉시 차단하세요. 로컬 시스템에서도 공격 징후를 검사하고 의심스러운 요소는 문제가 커지기 전에 격리하세요.

포렌식 및 증거 수집

공격 직후에는 증거도 보존해야 합니다. 영향을 받은 시스템의 메모리 덤프를 캡처하고, 수평 이동 행동을 보여주는 네트워크 로그를 수집하고, 활동 타임라인을 저장하세요. 시스템을 즉시 종료하지 마세요 - 메모리에만 남아 있는 중요한 포렌식 증거를 잃을 수 있습니다.

공격자가 시스템 간에 어떻게 이동했는지, 어떤 자격 증명을 사용했고 어떤 도구를 배포했는지 보여주는 지표를 찾으세요. 이 정보는 침해 범위 전체를 파악하고 향후 유사한 공격을 방지하는 데 중요합니다.

자격 증명 재설정/교체

계정 침해가 확인되면 해당 자격 증명을 즉시 변경하세요. 침해된 시스템을 통해 접근했을 가능성이 있는 다른 표적 계정의 비밀번호도 함께 변경하세요.

서비스 계정과 공유 자격 증명은 사고 대응 과정에서 간과하기 쉬우므로 각별히 살펴야 합니다. 자격 증명 자동 교체 도구를 사용하면 이 과정을 앞당기고 누락을 방지할 수 있습니다.

플레이북과 사고 대응 훈련

플레이북을 미리 작성해 두면 수평 이동이 탐지되었을 때 더 빠르게 대응할 수 있습니다. 플레이북에는 시스템 격리, 증거 수집, 팀 간 협력을 위한 구체적인 단계를 포함하세요.

수평 이동 대응 역량을 높이기 위해 정기적으로 탁상 훈련도 실시하세요. 훈련을 통해 절차의 빈틈을 찾아내고 압박 속에서도 팀이 신속하게 대응하도록 준비할 수 있습니다. 연습을 거듭할수록 실제 공격이 발생했을 때 더 빠르게 대응할 수 있습니다.

수평 이동 공격의 새로운 동향은 무엇인가요?

수평 이동 공격에서는 다음과 같은 동향이 나타나고 있습니다:

클라우드 및 하이브리드 환경

클라우드 환경은 새로운 횡적 이동 공격 경로를 만들고 있습니다. 공격자는 계정 간 역할, 잘못된 구성, 계정을 이용해 여러 서비스로 이동할 수 있습니다. 온프레미스 환경까지 이동할 수 있습니다.

하이브리드 환경도 공격자에게 기회를 제공합니다. 클라우드와 온프레미스 인프라 간 접근 경로가 늘어나면서 공격 벡터도 증가하기 때문입니다.

아이덴티티 우선 공격

아이덴티티가 새로운 보안 경계가 되면서 공격자는 유리한 위치에 섰습니다. 이제 네트워크를 침해할 필요조차 없습니다. 피싱으로 비밀번호를 탈취하면 유효한 자격 증명을 사용해 환경 내에서 횡적으로 이동할 수 있습니다. 이러한 이동은 정상적인 접근으로 위장하기 때문에 많은 레거시 보안 시스템이 침해를 탐지하지 못합니다.

최근 몇 년간 정교한 자격 증명 수집 기법이 주목받고 있습니다. 서비스 계정과 비인간 아이덴티티도 공격 대상입니다. 공격자는 아이덴티티 페더레이션과 SSO 기능을 악용해 계정 하나만 침해한 뒤에도 장기간 접근 권한을 유지합니다.

공급망 침해

공급망 공격에서는 침입자가 타사 공급업체와의 신뢰 관계를 통해 조직의 환경에 들어옵니다. 타사 파트너나 소프트웨어 종속성이 침해되면 사이버 범죄자는 그 연결을 이용해 네트워크 전반으로 확산합니다.

이러한 공격은 신뢰할 수 있는 경로로 시스템과 데이터에 접근해 기업의 여러 보안 조치를 우회하므로 더욱 위험합니다. 횡적 이동을 탐지했을 때는 이미 공격이 진행 중입니다.

공격 탐지 회피에 사용되는 AI와 자동화

자동화된 스크립트는 사람보다 빠르게 네트워크를 이동하고 순식간에 보안 조치에 대응합니다.

또한 기존 시스템 도구를 악용하는 LOTL 기법의 사용이 늘고 있습니다. 공격자는 운영 체제에 기본으로 제공되는 도구를 사용해 정상 트래픽 속에 숨어듭니다. 이러한 자동화로 횡적 이동이 빨라지고, 기본적인 시그니처 기반 보안 제품으로는 탐지하기가 더 어려워집니다.

조직의 위험을 측정하고 줄이는 방법

측정해야 관리할 수 있습니다. 다음 지표로 횡적 이동을 얼마나 효과적으로 예방하고 탐지하는지 확인하세요:

공격자 체류 시간과 평균 탐지·대응 시간

공격자 체류 시간은 공격자가 특정 환경에서 탐지되지 않은 채 머무는 기간을 뜻합니다. 여러 조직의 평균 체류 시간은 여전히 수주에서 수개월에 이릅니다. 그만큼 공격자가 횡적으로 이동하고 피해를 입힐 시간이 충분합니다.

평균 탐지 시간(MTTD)은 위협이 네트워크에 침입한 시점부터 발견될 때까지 걸리는 시간입니다. 횡적 이동 시도와 같은 공격 유형별로 이 값을 확인하세요. 평균 대응 시간(MTTR)은 위협 발견 후 이를 얼마나 신속하게 해결하고 격리하는지 측정합니다.

목표는 1-10-60 규칙을 준수하는 것입니다. 1분 안에 위협을 탐지하고, 10분 안에 분석하고, 60분 안에 격리해야 합니다. 고급 엔드포인트 탐지, 행동 분석, 자동화된 대응으로 이 지표를 개선할 수 있습니다.

횡적 이동 경로 파악

네트워크에서 발생 가능한 횡적 이동 경로를 지속적으로 파악해 공격자가 이용할 가능성이 높은 위험 경로를 식별하세요. Microsoft Defender for Identity와 같은 제품으로 권한 상승에 악용될 가능성이 가장 큰 계정을 찾을 수 있습니다.

다른 시스템에 접근할 수 있거나 불필요한 관리자 권한이 있는 계정을 확인하세요. 이 정보를 바탕으로 권한을 제한하고 공격자가 악용하기 전에 이동 경로를 차단할 수 있습니다. 내부 이동 경로를 파악하면 네트워크 변경으로 발생하는 새로운 위험도 탐지할 수 있습니다.

KPI와 내부 보안 성과표

횡적 이동 방어 수준의 변화를 추적하는 성과표를 만드세요. 주요 지표에는 고급 엔드포인트 보호가 적용된 시스템의 비율, MFA가 적용된 권한 계정의 비율, 해결한 고위험 횡적 이동 경로가 포함됩니다.

사고 대응 프로세스의 효과를 확인하려면 탐지 체계에서 발생하는 오탐과 같은 운영 지표를 모니터링하세요. 이를 통해 개선된 부분과 추가 조치가 필요한 부분을 파악할 수 있습니다. 보안 상태도 특정 시점의 목록이 아닌 추세로 살펴보세요. 환경 변화에 따라 횡적 이동 방어 수준이 개선되는지 악화되는지 확인할 수 있습니다.

횡적 이동을 차단하는 도구는 무엇인가요?

다음 도구로 횡적 이동을 차단할 수 있습니다:

EDR, XDR, NDR, SIEM 및 SOAR

엔드포인트, 네트워크, 보안 이벤트 데이터를 결합해 의심스러운 행동을 포착하세요. EDR과 XDR은 기기에서 발생하는 비정상적인 프로세스 실행과 자격 증명 탈취를 탐지합니다. NDR은 비정상적인 내부 트래픽 패턴을 찾아냅니다. SIEM은 로그를 중앙에서 관리하고 모든 신호를 분석합니다. SOAR는 알림 처리를 자동화해 악성 세션을 신속하게 종료합니다.

아이덴티티 및 특권 접근 관리

모든 계정에 최소 권한 원칙을 적용하고 강력한 인증을 시행하세요. 모든 고권한 자격 증명은 사용 내역을 기록하고 무단 변경을 차단하는 보관소를 통해 관리해야 합니다. 갑작스러운 권한 상승이나 새로운 특권 계정을 탐지하면 즉시 격리하세요.

자동화 및 오케스트레이션 플랫폼

보안 도구를 연동하세요. 한 시스템에서 침해된 호스트를 발견하면 스크립트가 해당 기기를 자동으로 격리하고, 서비스 계정 자격 증명을 재설정하고, 토큰을 교체합니다. 공격자가 횡적으로 이동하기 전에 거점을 잃게 됩니다.

기만 기술과 허니팟

허니팟을 배포하거나 기만 전술을 활용하세요. 미끼 서버, 가짜 자격 증명, 가상 데이터베이스와 같은 자산으로 침입자를 실제 네트워크에서 유인할 수 있습니다. 이러한 함정이 작동하면 횡적 이동을 조기에 경고받습니다. 중요 시스템을 위험에 빠뜨리지 않고 공격자의 수법을 추적할 수 있습니다.

실제 사례: 최근 침해 사고에서 나타난 횡적 이동

반가운 소식은 아니지만, 전 세계에서 일어나고 있는 일입니다. 최근 횡적 이동 공격이 사용된 침해 사고의 실제 사례를 살펴보겠습니다:

• 새로운 Active Directory 횡적 이동 기법은 기존 인증 체계를 우회하고 데이터를 유출했습니다. 이 기법은 Microsoft Entra ID 환경을 겨냥했으며, 관련 수법은 최근 Black Hat USA 2025에서 공개되었습니다. 발표자인 Dirk-Jan Mollema는 공격자가 Single Sign-On (SSO) 구성을 조작해 모든 사용자의 Kerberos 서비스 티켓을 위조한 방법을 밝혔습니다.
• AWS 기본 IAM 역할도 횡적 이동과 서비스 간 악용을 가능하게 하는 것으로 밝혀졌습니다. 이러한 역할은 설정 과정에서 권장되고 생성되는 경우가 많았으며, 지나치게 광범위한 권한과 S3 전체 접근 권한까지 부여했습니다.  서비스 간 격리 경계를 무너뜨리고 관리자 작업까지 수행할 수 있었습니다.
• Sysmon 연구진은 횡적 이동 탐지 기법을 다시 검토했습니다. MS Windows 환경에서 횡적 이동을 식별하고 기능 구성 파일에서 여러 LM 변종을 발견했습니다. 실험을 수행하고 사용자 지정 규칙을 적용하며 로그가 수집되는 방식을 확인했습니다.

SentinelOne이 횡적 이동을 방어하는 방법

SentinelOne은 다양한 방식으로 조직을 횡적 이동 공격으로부터 보호합니다. 엔드포인트 보호가 필요하다면 Singularity™ Endpoint를 활용하세요. 엔드포인트와 아이덴티티를 보호하고 분리된 공격 표면에 대응합니다. 머신 스피드로 진행되는 공격과 악성코드를 방어합니다. 행동 기반 및 정적 AI 모델이 비정상적인 행동을 분석하고 악성 패턴을 식별해 사람의 개입 없이 랜섬웨어를 실시간으로 탐지합니다. 모바일 기기도 제로데이 악성코드, 피싱, 중간자(MITM) 공격으로부터 보호합니다.

아이덴티티 보호에는 Singularity™ Identity를 활용하세요. 아이덴티티 인프라의 전체 공격 표면을 실시간으로 방어합니다. Active Directory와 Entra ID에서 발생하는 횡적 이동 공격에 대응할 수 있습니다. 공격의 진행을 막고, 은밀하게 활동하는 공격자를 찾아내 다른 경로로 유도합니다. 공격 시도에서 위협 정보와 인사이트를 확보해 반복되는 침해도 예방할 수 있습니다.

제로 트러스트 정책을 시행하고 접근 관리 통제가 위반되면 즉시 알립니다. 임베디드 시스템, IoT, OT를 포함해 운영 체제에 관계없이 모든 기기를 포괄적으로 보호합니다.

위협이 탐지되면 SentinelOne의 Storyline 기능이 공격 체인을 자동으로 추적합니다. 악성 활동을 근본 원인과 연결하고, 효과적인 사고 대응을 위한 시각적 포렌식 맵을 제공합니다. 클라우드 워크로드를 보호하려면 Singularity™ Cloud Workload Security를 사용하세요. 이 실시간 클라우드 워크로드 보호 플랫폼은 랜섬웨어, 제로데이 및 기타 런타임 위협을 실시간으로 차단합니다. AI 기반 탐지와 자동화된 대응으로 VM, 컨테이너, CaaS를 포함한 핵심 클라우드 워크로드를 보호합니다. SentinelOne의 CWPP는 Kubernetes, 물리 서버 및 서버리스를 지원합니다. 퍼블릭, 프라이빗, 하이브리드 및 온프레미스 환경도 보호합니다.

다양한 보안 기능을 하나로 묶은 포괄적인 보안 플랫폼을 찾고 있다면 SentinelOne Singularity™ Cloud Security를 사용해 보세요. SentinelOne의 AI 기반 CNAPP는 환경에 대한 Deep Visibility®를 제공합니다. AI 기반 공격에 대한 적극적인 방어, 개발 초기 단계로 보안을 앞당기는 기능, 차세대 조사 및 대응 기능을 제공합니다.

SentinelOne 제품은 자동화된 복구 및 롤백 기능도 제공합니다. 손상된 파일과 시스템을 공격 이전 상태로 자동 복원합니다. 공격자가 언제든 적용한 변경 사항도 되돌릴 수 있습니다.

결론

지금까지 공격자가 방어 체계를 우회하고 시스템과 네트워크에 침입할 때 사용하는 다양한 횡적 이동 공격과 일반적인 기법을 살펴봤습니다. 이러한 위협으로부터 조직을 보호하려면 클라우드 및 엔드포인트 보안 전략을 수립하세요. 횡적 이동 프로세스와 워크플로에 대한 방어가 필요하다면 SentinelOne 팀에 문의하세요. 조직을 안전하게 보호할 수 있도록 지원하겠습니다.