위협 사냥 마스터하기: 실전 가이드

위협 사냥은 전통적인 보안 모델을 뒤집습니다. 알림을 기다리는 대신 능동적으로 침해를 가정하고 증거를 찾아 나섭니다. 제대로 실행하면 자동화된 방어를 통과한 공격자를 잡아냅니다. 이 가이드는 조직의 규모나 도구 세트에 관계없이 적용할 수 있는 실전적이고 반복 가능한 프로세스를 소개합니다.

사냥이 중요한 이유

서명 기반 탐지와 대부분의 행동 분석조차 알려진 악성 패턴이나 명백한 이상만 포착합니다. 숙련된 공격자는 의도적으로 그 기준 아래에서 활동하며, 합법적인 도구(living-off-the-land 바이너리), 유효한 자격증명, 느리고 인내심 있는 움직임을 사용합니다. 위협 사냥은 인간 분석가가 공격자 행동에 대한 가설을 수립하고 원격분석 데이터에서 뒷받침 증거를 능동적으로 찾도록 함으로써 그 간격을 좁힙니다.

가설 기반 프로세스 구축하기

효과적인 사냥은 막연한 탐색 대신 구체적이고 검증 가능한 가설로 시작합니다. 좋은 가설은 보통 세 가지 출처에서 나옵니다.

• 위협 인텔리전스: 새로운 보고서가 당신의 업계를 대상으로 하는 그룹이 사용하는 기법을 설명합니다. 가설: "이 그룹이 우리 환경에서 활동 중이라면, 특정 패턴으로 PowerShell이 페이로드를 다운로드하는 것을 볼 것입니다."
• MITRE ATT&CK 격차: 현재 탐지 범위를 ATT&CK 기법에 맞춰 매핑하고 자동으로 탐지할 수 없는 기법에 대한 사냥을 우선화합니다.
• 이상 기반 호기심: 비정상적인 로그인 시간, 드문 부모-자식 프로세스 관계, 알림은 트리거하지 않지만 검토 시 이상해 보이는 예상치 못한 아웃바운드 연결.

각 가설, 쿼리할 데이터 소스, 이를 확인하거나 반박할 증거를 문서화합니다. 이 규칙성은 사냥이 산만해지는 것을 방지하고 결과를 재현 가능하게 만듭니다.

데이터 소스 알기

사냥은 뒤에 있는 원격분석만큼만 좋습니다. 핵심 소스는 다음을 포함합니다.

• Endpoint Detection and Response (EDR) 로그: 프로세스 생성, 명령줄 인자, 파일 쓰기, 프로세스당 네트워크 연결.
• Windows 이벤트 로그: 특히 보안(4624/4625 로그온), Sysmon(프로세스 생성, 네트워크, 레지스트리), PowerShell 운영 로그.
• 네트워크 데이터: 연결 메타데이터용 NetFlow/Zeek 로그, DNS 쿼리 로그, 아웃바운드 웹 트래픽용 프록시 로그.
• 인증 로그: 불가능한 이동이나 자격증명 남용을 발견하기 위해 ID 제공자, VPN, 디렉토리 서비스에서.
• 클라우드 감사 로그: CloudTrail, Azure Activity Logs, 권한 변경 및 API 남용에 대한 GCP Audit Logs.

이를 SIEM이나 데이터 레이크에 중앙화하여 빠르게 임시 쿼리를 실행할 수 있게 합니다. 보관 기간이 너무 짧으면 과거 침해에 대한 사냥이 불가능해집니다. 가능하면 최소 90일을 목표로 하세요.

실전 사냥 기법

스택 카운팅(빈도 분석): 필드 발생 횟수(부모 프로세스 이름, 예약 작업 이름, 서비스 이름)를 환경 전체에서 카운트합니다. 이상값(1만 호스트 중 하나에서 실행되는 프로세스)은 조사할 가치가 있는 것을 나타내는 경우가 많습니다.

SELECT parent_process, COUNT(*) as cnt
FROM process_events
GROUP BY parent_process
ORDER BY cnt ASC
LIMIT 50;

최소 발생 빈도(LFO): 스택과 유사하지만 조합에 적용됩니다. 예를 들어 인증에서 (user, source_ip) 쌍으로 드문 액세스 패턴을 표면화합니다.

기준선 편차: 호스트 또는 사용자에 대해 "정상"이 무엇인지 정립하고(일반적인 로그인 시간, 공통 프로세스) 편차를 표시합니다. 이는 프로파일링에 초기 투자가 필요하지만 지속적인 사냥에서 성과를 냅니다.

IOC 및 TTP에서 피벗하기: 알려진 표시자(해시, 도메인, IP) 또는 기법(예: T1055 프로세스 주입)에서 시작하여 관련 활동을 위해 사용 가능한 모든 로그를 검색한 다음 관련 인프라나 영향받은 호스트를 찾기 위해 모든 히트에서 바깥쪽으로 피벗합니다.

배워야 할 도구

• Sysmon + Sigma rules: Sysmon은 풍부한 엔드포인트 원격분석을 제공합니다. Sigma는 SIEM 플랫폼 전체에서 탐지하고 사냥할 수 있는 이식 가능한 규칙 형식을 제공합니다.
• Velociraptor 또는 osquery: 특정 아티팩트를 지금 바로 수백 개 엔드포인트에서 확인해야 할 때 함대 전체 실시간 쿼리 용.
• Zeek: 간단한 NetFlow 이상의 깊은 네트워크 프로토콜 분석 용.
• MITRE ATT&CK Navigator: 시간에 따라 사냥 범위를 추적하고 시각화 용.

루프 닫기

모든 사냥은 "아무것도 찾지 못함" 이상의 결과를 생성해야 합니다. 악의적 활동을 확인하면 사고 대응에 공급합니다. 가시성 격차를 발견하면 탐지 엔지니어링 티켓으로 제출합니다. 사냥 기법이 가치 있다면 이를 자동화된 탐지 규칙으로 변환하여 향후 인스턴스가 수동 작업 없이 경고를 트리거하도록 합니다. 이는 위협 사냥을 일회성 운동이 아닌 전체 보안 프로그램에 대한 지속적 개선 엔진으로 바꿉니다.

가설, 사용된 쿼리, 결과가 있는 사냥 로그를 유지합니다. 이 기관 지식은 시간이 지남에 따라 복리로 누적되고 새로운 사냥꾼을 훨씬 빠르게 온보딩할 수 있게 합니다.

더 깊게 들어가고 싶으신가요? Korra Studio의 Digital Forensics와 Blue Team 세그먼트를 살펴보고 위협 사냥과 자연스럽게 짝을 이루는 탐지 및 조사 기술을 구축하세요.