이상 징후 및 행위 기반 탐지

시그니처는 알려진 위협을 탐지합니다. 아직 누구도 식별 패턴을 만들지 못한 새로운 악성 코드, 제로데이 공격, 맞춤형 도구에는 무력합니다. 이상 징후 및 행위 기반 탐지는 정상에서 벗어나는 트래픽을 표시하여 이 공백을 메웁니다.

전제는 다음과 같습니다. 알려지지 않은 공격도 행위 흔적을 남깁니다. 공격자는 모든 시그니처를 피할 수 있어도, 여전히 이상한 간격으로 비컨 통신을 하거나, 평소와 다른 시간에 데이터를 전송하거나, 내부 호스트를 스캔할 수 있습니다.

이상 징후 탐지에는 정상 상태를 모델링해야 합니다. 다음과 같은 항목의 프로필을 작성하면서 시간에 걸쳐 기준선을 구축합니다:

• 어떤 호스트가 어떤 호스트와 통신하는지, 그리고 어떤 포트를 사용하는지
• 흐름당 일반적인 바이트 수와 연결 지속 시간
• 시간대 및 요일별 정상 트래픽 양
• 세그먼트별 예상 프로토콜

기준선은 대표적인 기간 동안 정상적인 트래픽에서 학습해야 합니다. 침해가 진행 중일 때 만든 기준선은 공격을 정상 상태에 포함해 버립니다.

가장 단순한 행위 기반 탐지는 통계적 방식입니다. 지표를 계산하고 정상 분포를 학습한 다음, 값이 정상 범위를 크게 벗어나면 경고합니다. 예를 들어 표준 편차가 3을 넘거나 높은 백분위수에 해당하는 경우입니다.

예를 들어 평소 하루에 50 MB를 보내는 워크스테이션이 갑자기 5 GB를 업로드하거나, 호스트가 몇 분 안에 서로 다른 내부 IP 수천 개와 연결을 여는 경우가 있습니다.

많은 행위 분석은 전체 패킷이 아니라 흐름 레코드를 대상으로 실행됩니다. 흐름은 대화를 요약한 것으로, 출발지, 목적지, 포트, 프로토콜, 바이트 및 패킷 수, 지속 시간을 포함합니다.

흐름(NetFlow, IPFIX 또는 Suricata/Zeek 연결 로그)은 용량이 작고 암호화된 트래픽에서도 작동하며 기업 규모의 트래픽 양까지 확장할 수 있습니다. 흐름은 트래픽 양과 연결 패턴을 탐지하는 핵심 기반입니다.

명령 및 제어 채널은 흔히 비컨 통신을 합니다. 악성 프로그램이 일정한 간격으로 명령 서버에 접속하는 방식입니다. 페이로드가 숨겨지는 TLS 환경에서도 시간 패턴은 드러납니다.

목적지에 연결할 때의 연결 간격 분포를 분석하여 이를 탐지할 수 있습니다. 낮은 분산(선택적 지터 포함)과 작고 서로 비슷한 요청 크기가 함께 나타나면 강력한 C2 지표입니다. RITA와 같은 도구는 이 작업을 전문적으로 수행합니다.

공격자가 DNS를 터널링과 C2에 악용하기 때문에 DNS는 풍부한 행위 신호가 됩니다.

• 엔트로피가 높거나 긴 도메인은 DGA(도메인 생성 알고리즘)를 시사합니다.
• 한 도메인에 대한 대량의 쿼리는 DNS 터널링을 시사합니다.
• 대량으로 발생하는 비정상 레코드 유형(TXT, NULL)은 의심스럽습니다.
• 최근 등록된 도메인은 위험도가 높습니다.

도메인별 쿼리 빈도, 이름 길이, 엔트로피를 프로파일링하면 어떤 페이로드 시그니처로도 탐지할 수 없는 데이터 유출을 포착할 수 있습니다.

암호화된 페이로드를 읽을 수는 없지만 암호화가 협상되는 방식을 지문으로 식별할 수는 있습니다. JA3/JA3S는 TLS ClientHello/ServerHello 매개변수를 해시하여 클라이언트와 서버 스택의 지문을 생성합니다.

악성 코드 제품군은 동일한 TLS 라이브러리와 설정을 사용하기 때문에 동일한 JA3을 공유하는 경우가 많습니다. JA3 빈도를 프로파일링하면 복호화하지 않고도 드문 지문을 표시하거나 악성으로 알려진 지문과 일치시킬 수 있습니다.

행위 기반 탐지는 사용된 도구와 관계없이 공격자가 수행해야 하는 행동을 찾습니다. 가치가 높은 행위는 다음과 같습니다:

• 측면 이동 — 호스트가 갑자기 여러 피어에 인증함
• 내부 스캔 — 하나의 출발지가 여러 포트/호스트에 접촉함
• 데이터 스테이징/유출 — 새로운 목적지로 대량의 외부 전송이 발생함
• 잘못된 포트에서 사용하는 프로토콜 — 443에서 SSH, 53에서 HTTP

이러한 행위는 ATT&CK 전술에 직접 대응하며 페이로드 시그니처보다 우회에 더 강합니다.

사용자 및 엔터티 행위 분석(UEBA)은 머신 러닝을 적용하여 엔터티별 정상 상태를 모델링하고 편차의 점수를 계산합니다. 군집화 및 시계열 모델은 고정 임계값으로는 놓치는 미묘한 변화를 드러낼 수 있습니다.

머신 러닝은 강력하지만 위험도 추가합니다. 불투명한 모델, 네트워크 변화에 따른 개념 변화, 공격자의 우회가 발생할 수 있습니다. 머신 러닝 점수를 여러 신호 중 하나로 취급하고 절대적인 판단 기준으로 삼지 마십시오. 영향이 큰 결정에는 사람이 계속 검토하도록 하십시오.

Zeek(이전 명칭 Bro)는 경고 대신 트래픽을 풍부하고 구조화된 프로토콜 로그로 변환하는 네트워크 분석 프레임워크입니다. 많은 행위 기반 탐지의 핵심 도구입니다.

Zeek은 프로토콜별 로그(conn, dns, http, ssl, files, x509)를 생성하고 사용자 지정 분석기를 스크립트로 작성할 수 있게 합니다. 이러한 로그를 SIEM에 입력하면 분석가는 암호화된 트래픽에서도 정상 기준선을 설정하고 편차를 식별하는 데 필요한 연결, DNS, TLS 메타데이터를 얻을 수 있습니다.

알려지지 않은 것을 탐지하는 이상 징후 탐지의 강점은 동시에 약점이기도 합니다. 모든 이상 징후가 악성인 것은 아닙니다. 새로운 업무 애플리케이션, 패치 작업일, 백업, 계절적 트래픽은 모두 이상 징후처럼 보일 수 있습니다.

다음과 같은 방법으로 관리하십시오:

• 경고하기 전에 여러 약한 신호의 위험도를 계산하고 상관 분석하기
• 자산 및 신원 맥락으로 정보를 보강하기
• 이상 징후를 자동 차단하지 말고 위협 탐지 담당자에게 전달하기
• 환경이 변화함에 따라 기준선을 지속적으로 다시 학습하기

암호화된 C2에 행위 기반 추론을 적용해 보십시오.

행위 및 이상 징후 탐지는 시그니처로는 탐지할 수 없는 것을 포착합니다:

• 정상 상태를 학습한 기준선에서 벗어나는 편차 탐지
• 트래픽 양, 대상 확장 범위, 시간에 통계적 임계값 적용
• 흐름 레코드(NetFlow/Zeek)에서 분석 실행 — 암호화된 트래픽에서도 효과적
• 간격의 규칙성을 통해 비컨 통신 식별
• DGA 및 터널링을 위해 DNS 엔트로피와 트래픽 양 프로파일링
• 복호화하지 않고 JA3/JA3S로 TLS 지문 식별
• 행위 탐색: 측면 이동, 스캔, 데이터 유출
• 머신 러닝/UEBA는 탐지 능력을 높이지만 사람의 감독과 조정이 필요함

다음: 실제 네트워크에서 이러한 센서를 조정하고 배포하기