침해 지표(IOC)는 잠재적 침입을 나타내는 증거물입니다. 본 가이드는 IOC의 유형, 위협 탐지에서 그 중요성, 그리고 효과적인 활용 방법을 살펴봅니다.
IOC 모니터링 및 대응을 위한 모범 사례를 알아보세요. 조직이 사고 대응 능력을 강화하기 위해서는 IOC를 이해하는 것이 매우 중요합니다. IOC는 악의적인 활동에 대한 조기 경보 신호를 제공하여 조직이 잠재적 위협을 식별하고 완화하는 데 도움이 되는 중요한 도구입니다.
IOC vs. IOA
IOC에 대해 더 깊이 알아보기 전에, IOC와 IOA(공격 지표)의 차이점을 이해하는 것이 중요합니다. IOC는 공격자가 이미 시스템을 침해한 시점을 식별하는 데 사용됩니다. 반면, IOA는 공격자가 시스템에 접근을 시도하는 시점을 탐지하는 데 사용됩니다.
IOC는 일반적으로 특정 보안 위협을 탐지하고 대응하는 데 사용되는 반면, IOA는 광범위한 보안 위협을 탐지하고 대응하는 데 사용됩니다. IOC는 일반적으로 IOA보다 더 직관적이며 잠재적 보안 위협에 대한 더 상세한 정보를 제공합니다.
침해 지표(IoCs)의 유형
사이버 보안에서는 다양한 유형의 침해 지표(IoCs)가 사용됩니다. 그 중 일부는 다음과 같습니다:
- 파일 기반 지표 – 해시 값이나 파일 이름과 같이 특정 파일과 연관된 지표입니다.
- 네트워크 기반 지표 – IP 주소나 도메인 이름과 같이 네트워크와 관련된 지표입니다.
- 행동 기반 지표 – 이 지표들은 비정상적인 네트워크 트래픽이나 비정상적인 시스템 활동과 같이 시스템이나 네트워크의 행동과 관련된 지표들입니다. MITRE가lt;a href="https://www.sentinelone.com/resources/mitre-engenuity-attck-a-guide-to-evaluating-managed-detection-and-response-success/" target="_blank" rel="noopener noreferrer"> Engenuity ATT&CK가 매핑한 행동 지표가 많습니다.&
- 아티팩트 기반 지표 — 레지스트리 키나 구성 파일 등 공격자가 남긴 아티팩트와 관련된 지표입니다.
침해 지표(IoC)는 어떻게 작동하나요?
IoC는 위협 인텔리전스, 보안 로그 모니터링, 네트워크 트래픽 분석 등 다양한 방법을 통해 생성됩니다. IoC가 확인되면 사이버 보안 전문가나 SOC>가 이를 활용하여 유사한 공격을 탐지하고 방지하는 보안 대책을 수립할 수 있습니다. 예를 들어, IoC가 악성 IP 주소인 경우 사이버 보안 전문가는 해당 IP 주소를 차단하여 공격자의 시스템과 조직 네트워크 간의 모든 통신을 차단할 수 있습니다.
침해 지표(IoC)가 중요한 이유는 무엇인가요?
침해 지표(IoC)는 보안 팀이 사이버 위협을 탐지하고 방지하는 데 도움을 주기 때문에 필수적입니다. IoC는 악성코드 감염, 피싱 공격 및 기타 사이버 위협을 식별하고 완화할 수 있습니다. 결과적으로 조직은 이러한 위협을 탐지하고 완화함으로써 사이버 범죄자로부터 시스템과 데이터를 보호할 수 있습니다.
IoC는 조직의 보안에 대한 잠재적 위협을 식별하고 완화하는 데 중요한 역할을 합니다. IoC를 활용함으로써 조직은 다음을 수행할 수 있습니다.
- 보안 사고를 신속하게 탐지 – IoC는 조직이 보안 사고를 식별하고 잠재적 피해를 방지하거나 완화하기 위한 조치를 취하는 데 도움이 될 수 있습니다.
- 향후 위협 모니터링 – 알려진 IoC를 모니터링함으로써 조직은 잠재적 위협을 탐지하고 이를 방지하기 위한 사전 조치를 취할 수 있습니다.
- 사고 대응 능력 향상 – IoC는 악의적인 활동에 대한 조기 경보 신호를 제공함으로써 조직이 보다 효과적인 사고 대응 계획을 수립하는 데 도움이 될 수 있습니다.&
- 위협 인텔리전스 공유 – IoC는 조직 간 공유될 수 있어, 협업과 자원 통합을 통해 잠재적 위협을 더 효과적으로 식별하고 완화할 수 있습니다.
위협 인텔리전스 강화침해 지표(IoC)의 유형
IoC에는 여러 유형이 있으며 각각 고유한 특성과 용도를 가집니다. 여기에는 다음이 포함됩니다:
1. 네트워크 IoC
네트워크 IoC는 네트워크 상의 의심스러운 활동을 시사하는 지표입니다. 여기에는 비정상적인 트래픽 패턴, 알려진 악성 IP 주소나 도메인에 대한 연결, 예상치 못한 프로토콜이나 포트의 사용 등이 포함될 수 있습니다. 네트워크 IoC는 침입 탐지 시스템(IDS) 및 보안 정보 및 이벤트 관리(SIEM) 시스템을 포함한 다양한 네트워크 모니터링 도구를 통해 탐지할 수 있습니다.
2. 호스트 기반 IoC
호스트 기반 IoC는 특정 컴퓨터나 시스템에서 의심스러운 활동을 시사하는 지표입니다. 여기에는 비정상적인 파일 활동, 실행 중인 의심스러운 프로세스 또는 서비스, 시스템 구성 설정의 예상치 못한 변경 등이 포함될 수 있습니다. 호스트 기반 IoC는 다양한 엔드포인트 보안 솔루션, 엔드포인트 탐지 및 대응(EDR) 또는 XDR(확장 탐지 및 대응) 도구 등이 포함됩니다.
3. 파일 기반 IoCs
파일 기반 IoCs는 시스템에 악성 파일이나 멀웨어가 존재함을 시사하는 지표입니다. 여기에는 파일 해시, 파일명, 파일 경로 등이 포함될 수 있습니다. 파일 기반 IoCs는 EDR 소프트웨어 및 샌드박싱 도구를 포함한 다양한 파일 스캔 도구를 통해 탐지할 수 있습니다.
4. 행동 기반 IoC
행동 기반 IoC는 네트워크나 시스템에서 의심스러운 사용자 활동을 시사하는 지표입니다. 여기에는 여러 번의 로그인 실패 시도, 비정상적인 로그인 시간, 민감한 데이터에 대한 무단 접근 등이 포함될 수 있습니다. 행동 기반 IoC는 사용자 및 엔터티 행동 분석(UEBA) 솔루션을 포함한 사용자 모니터링 도구를 통해 탐지할 수 있습니다. SentinelOne XDR은 행동 기반 IoC, 고급 분석, 머신 러닝 및 행동 분석을 결합하여 위협을 실시간으로 탐지하고 대응합니다.
침해 지표의 예시
1. 비정상적인 아웃바운드 네트워크 트래픽
네트워크 트래픽 패턴과 양의 이상 현상은 보안 침해의 가장 흔한 징후입니다. 침입자를 네트워크에서 차단하는 것은 점점 더 어려워지고 있습니다. 잠재적인 침해 지표(Indicators of Compromise)를 찾기 위해 아웃바운드 트래픽을 모니터링하는 것이 도움이 될 수 있습니다. 침입자가 네트워크에서 데이터를 추출하려고 시도하거나 감염된 시스템이 명령 및 제어 서버로 정보를 전달할 때, 비정상적인 아웃바운드 네트워크 트래픽이 감지될 수 있습니다.
2. 지리적 이상 현상
또 다른 흔한 침해 지표 유형은 지리적 이상 현상입니다. 특정 국가나 지역에서 비정상적인 양의 트래픽이 발생한다면 시스템이 침해되었음을 시사할 수 있습니다. 귀사의 사업장이 로스앤젤레스에 위치해 있다면, 국제 사이버 범죄로 악명 높은 다른 국가에서 네트워크에 접속하는 사용자가 발견된다면 우려할 만한 상황입니다. 네트워크상의 IP 주소와 그 위치를 모니터링하면 조직에 피해를 입히기 전에 사이버 공격을 탐지할 수 있습니다. 예상치 못한 위치에서 계정으로의 다중 접속은 침해의 좋은 지표가 될 수 있습니다.
3. 특권 사용자 계정의 설명 불가능한 활동
고급 지속적 위협(APT)과 같은 경우, 공격자는 권한을 상승시키기 전에 낮은 권한의 사용자 계정을 먼저 침해하는 경우가 많습니다. 보안 운영자는 조직 시스템에 대한 내부 또는 외부 공격의 증거가 될 수 있으므로, 특권 사용자 계정의 의심스러운 행동을 주의 깊게 관찰해야 합니다.
4. 비정상적인 계정 행동
로그인 시간 변경, 파일 또는 데이터베이스에 대한 비정상적인 접근, 로그인 실패 시도 등 계정 행동의 이상 징후는 데이터 유출을 나타낼 수 있습니다. 보안 담당자는 잠재적인 보안 침해를 탐지하고 방지하기 위해 이러한 행동을 모니터링해야 합니다.
5. 비정상적인 파일 수정
시스템 파일의 예상치 못한 변경이나 무단 소프트웨어 설치는 데이터 유출을 의미할 수 있습니다. 공격자는 이러한 수정을 통해 시스템 제어권을 획득하거나 민감한 데이터를 유출할 수 있습니다. 훈련된 담당자는 이러한 수정 사항을 추적하고 발견 시 즉시 조치를 취해야 합니다.
6. 알려진 악성 IP와의 통신
공격자는 감염된 시스템을 제어하거나 민감한 데이터를 유출하기 위해 알려진 악성 IP를 자주 사용합니다. 보안 전문가는 잠재적인 데이터 유출을 탐지하고 방지하기 위해 이러한 IP와의 통신을 모니터링해야 합니다.
7. 무단 네트워크 스캔
무단 네트워크 스캔은 공격자가 오픈소스 또는 전용 스캔 도구를 사용하여 대상 네트워크에 대한 정보를 수집하려는 정찰 공격의 신호일 수 있습니다.
8. 의심스러운 파일 또는 프로세스
악성 코드는 종종 합법적인 소프트웨어로 위장하므로, 네트워크 상에서 악성 파일과 프로세스가 눈에 띄지 않게 숨겨져 있을 수 있습니다. 시스템에서 인식하지 못하는 의심스러운 파일이나 프로세스를 발견했다면 공격의 징후일 수 있습니다. 이러한 파일과 프로세스의 합법성을 판단하기 위해 철저히 조사하는 것이 중요합니다.
9. 비정상적인 시스템 동작
예상치 못한 재시작, 시스템 충돌, 성능 저하와 같은 비정상적인 시스템 동작 역시 IoC(침해 지표)의 신호일 수 있습니다. 공격자는 서비스 거부 공격이나 자원 고갈 공격을 통해 시스템을 교란하거나 무력화할 수 있습니다. 시스템에서 예상치 못한 동작을 발견하면 보안 위협이 있는지 조사하고 판단하는 것이 중요합니다.
10. 피싱 이메일
피싱 이메일은 공격자가 피해자의 시스템에 민감한 정보를 접근하거나 악성코드를 설치하는 흔한 방법입니다. 이러한 이메일은 신뢰할 수 있는 출처에서 온 합법적인 통신처럼 보이기 때문에 식별하기 어려울 수 있습니다. 그러나 로그인 정보 요청이나 알 수 없는 웹사이트 링크 등 의심스러운 이메일을 발견하면 주의하고 추가로 조사하는 것이 중요합니다.
11. 사회공학적 공격 시도
사회공학적 공격은 공격자가 민감한 정보에 접근하기 위해 사용하는 또 다른 흔한 수법입니다. 이러한 공격은 개인을 조종하여 민감한 정보를 누설하거나 본인의 이익에 반하는 행동을 하도록 유도하는 것을 포함합니다. 예를 들어, 공격자는 공급업체나 직원 등 신뢰할 수 있는 출처로 위장하여 민감한 데이터에 접근하거나 악성코드를 설치할 수 있습니다. 직원들에게 사회공학적 공격의 위험성과 이를 식별하고 피하는 방법을 교육하는 것이 필수적입니다.
12. 웹 트래픽 수준
또 다른 일반적인 침해 지표 유형은 웹 트래픽 수준입니다. 특정 웹사이트나 IP 주소로의 웹 트래픽이 비정상적으로 급증하는 경우 시스템이 침해되었을 수 있다는 신호일 수 있습니다. 또한 비정상적인 인바운드 및 아웃바운드 네트워크 트래픽, 도메인 이름 서버(DNS) 요청 및 레지스트리 구성, 그리고 무차별 대입 공격을 나타낼 수 있는 잘못된 로그인 또는 액세스 요청의 증가에도 주의를 기울여야 합니다.
13. DDoS 지표
DDoS 지표는 분산 서비스 거부(DDoS) 공격을 탐지하고 대응합니다. 특정 IP 주소 또는 IP 주소 범위에서 비정상적인 양의 트래픽이 발생하면 시스템이 공격을 받고 있다는 신호일 수 있습니다.
침해 지표(IoCs)만으로는 왜 충분하지 않을까?
IoC를 이해하는 것은 필수적이지만, 고급 위협을 탐지하기 위해서는 기술적 지표에만 의존하는 것 이상의 접근이 필요합니다. 공격자들은 점점 더 정교한 접근 방식을 사용하며 기존의 IoC 탐지 방법을 쉽게 회피할 수 있습니다. 따라서 IoC에 대한 포괄적인 접근 방식은 머신 러닝 기반 이상 탐지 및 행동 분석과 같은 고급 위협 탐지 기술도 포함해야 합니다. 또한, IoC는 단독으로 고려되어서는 안 되며, 최신 위협 행위자, 전술 및 동기에 대한 정보를 포함하는 광범위한 위협 인텔리전스 프로그램의 일부로 활용되어야 합니다. 이러한 접근 방식은 조직이 위협이 발생하기 전에 선제적으로 탐지하고 대응하는 데 도움이 될 수 있습니다.
침해 지표 활용하기
조직은 IoC를 효과적으로 활용하기 위해 강력한 보안 전략을 수립해야 합니다. 이 전략에는 다음이 포함되어야 합니다:&
-
- 확장 탐지 및 대응(XDR) – XDR은 조직이 IoC를 포함한 여러 출처의 보안 데이터를 수집, 분석 및 상관관계를 파악하여 잠재적 위협을 탐지할 수 있도록 지원합니다. 일부 조직은 XDR이 제공하는 일부 기능을 확보하기 위해 보안 정보 및 이벤트 관리(SIEM) 도구를 사용합니다.
- 엔드포인트 보안 플랫폼 — 이러한 플랫폼을 통해 보안 팀은 IoC에 대한 규칙을 수집, 검색 및 적용할 수 있습니다.
- 위협 인텔리전스 플랫폼(TIPs) – TIPs는 조직이 IoC를 포함한 선별된 위협 인텔리전스 피드에 접근할 수 있도록 하여 최신 위협에 대한 최신 정보를 유지할 수 있게 합니다.
- 사고 대응 계획(IRP) — 조직은 보안 사고 발생 시 취해야 할 조치를 상세히 기술한 IRP를 수립해야 하며, 여기에는 잠재적 위협을 탐지하고 대응하기 위한 IoC 활용 방안도 포함되어야 합니다.
IOC 관리 모범 사례
IOC를 효과적으로 관리하려면 다음과 같은 모범 사례를 따라야 합니다:
- 신원 보안 우선순위 지정 – 강력한 신원 및 접근 관리 통제 체계를 구축하십시오. 이를 통해 누가 무엇에 접근할 수 있는지 파악하고 비정상적인 활동을 탐지할 수 있습니다.
- 네트워크 분할 – 네트워크를 세분화하면 침해로 인한 피해를 제한하는 데 도움이 됩니다. 중요한 시스템과 덜 중요한 시스템을 분리함으로써 공격자가 민감한 정보에 접근할 가능성을 줄일 수 있습니다.
- 사이버 위협 인텔리전스 수집 – 최신 사이버 위협 및 동향을 지속적으로 파악하세요. 이를 통해 새로운 위협을 식별하고 완화 조치를 취할 수 있습니다.
- IOC 도구 활용 – IOC를 효과적으로 관리하는 데 도움이 되는 다양한 도구가 있습니다. 여기에는 위협 인텔리전스 플랫폼, 확장 탐지 및 대응(XDR) 시스템, 엔드포인트 탐지 및 대응(EDR) 솔루션 등이 포함됩니다.
IOC 관리에 특히 유용한 도구 유형 중 하나는 EDR(엔드포인트 탐지 및 대응) 또는 XDR (확장 탐지 및 대응) 솔루션입니다. 이러한 솔루션은 고급 분석, 머신 러닝 및 행동 분석을 결합하여 실시간으로 위협을 탐지하고 대응합니다.
SentinelOne으로 사이버 보안 강화하기
가장 효과적인 사이버 보안 전략은 인적 자원과 인공 지능(AI), 머신 러닝(ML), 기타 지능형 자동화 기술과 같은 첨단 기술 솔루션을 결합합니다. 이러한 도구는 비정상적인 활동을 탐지하고 대응 및 복구 시간을 단축하는 데 도움이 됩니다. 사이버 보안을 강화할 EDR 또는 XDR 솔루션을 찾고 계시다면, SentinelOne를 고려해 보십시오.사이버보안 강화를 위한 EDR 또는 XDR 솔루션을 찾고 계시다면, SentinelOne이 탁월한 선택입니다. SentinelOne은 포괄적인 AI 기반 보안 플랫폼을 제공하여 위협을 신속하고 효과적으로 탐지하고 대응할 수 있도록 지원합니다.
결론
침해 지표(IoCs)는 조직이 잠재적 보안 사고를 탐지하고 완화하는 데 중요한 도구입니다. IoCs를 활용함으로써 조직은 위협을 신속하게 탐지하고, 향후 위협을 모니터링하며, 사고 대응을 개선하고, 다른 조직과 위협 인텔리전스를 공유할 수 있습니다. 그러나 IoCs를 효과적으로 활용하려면 조직은 XDR 도구, TIPs 및 상세한 IRP를 포함하는 강력한 보안 전략이 필요합니다.
침해 지표 FAQ
침해 지표(IoC)는 시스템이 사이버 범죄자에 의해 침해되거나 공격받았음을 보여주는 증거입니다. 이는 보안 팀이 네트워크 및 시스템상의 악성 활동을 식별하는 데 사용하는 디지털 포렌식 증거물입니다. IoC에는 비정상적인 네트워크 트래픽, 수정된 파일, 의심스러운 프로세스 또는 무단 접근 시도가 포함될 수 있습니다. 이는 공격 발생 후 탐지하고 향후 사고를 예방하는 데 도움이 됩니다.
알 수 없는 IP 주소로의 비정상적인 아웃바운드 네트워크 연결, 예상치 못한 파일 수정 또는 삭제, 무단 생성된 새 사용자 계정, 비정상적인 위치에서 실행되는 프로세스 등이 IoC에 해당합니다. 예를 들어, 의심스러운 도메인으로의 네트워크 트래픽, 예상치 못한 확장자를 가진 파일, 외국에서의 로그인 시도가 발견된다면, 이는 시스템이 침해되었을 수 있다는 명확한 지표입니다.
IoC를 모니터링해야 하는 이유는 초기 보안 방어를 우회하는 공격을 탐지하는 데 도움이 되기 때문입니다. 조기 탐지를 통해 공격자가 민감한 데이터를 훔치거나 심각한 피해를 입히기 전에 침해를 차단할 수 있습니다. 정기적인 IoC 모니터링은 보안 팀이 공격 패턴을 이해하고, 사고 대응 시간을 단축하며, 유사한 향후 공격을 방지하는 데 도움이 됩니다. 이는 강력한 사이버 보안 태세를 유지하는 데 필수적인 요소입니다.
비정상적인 네트워크 연결, 예상치 못한 파일 변경, 새로운 사용자 계정, 의심스러운 실행 중인 프로세스, 수정된 시스템 구성을 확인해야 합니다. 비정상적인 위치의 파일, 예상치 못한 네트워크 트래픽 패턴, 로그인 실패 시도, 중요 시스템 파일 변경 사항을 확인하십시오. 또한 비정상적인 CPU 또는 메모리 사용량, 새로 생성된 예약 작업, 보안 설정 또는 안티바이러스 구성 변경 사항을 모니터링해야 합니다.
공격 지표(IoA)는 실시간으로 공격이 진행 중임을 나타내는 반면, 침해 지표(IoC)는 이미 공격이 발생했음을 입증하는 증거입니다. IoA는 의심스러운 네트워크 스캐닝이나 악성코드 실행 시도와 같은 진행 중인 공격을 탐지하고 차단하는 데 도움이 됩니다.
IoC는 수정된 파일이나 무단 접근 로그와 같이 사후에 발견되는 포렌식 증거로, 발생한 상황을 파악하는 데 도움이 됩니다.