위협 사냥 사고방식

위협 헌팅은 자동화된 방어를 회피한 공격자를 적극적으로 찾아내는 활동입니다. 경고를 기다리는 대신 헌팅 담당자가 직접 위협을 찾습니다.

이미 침해가 발생했을 수 있다고 가정하고, 그 사실을 입증하거나 반증하는 것이 목표입니다.

전통적인 보안은 대응형입니다. 도구가 경고를 발생시키면 분석가가 대응합니다. 헌팅은 사전 예방형입니다. 어떤 경고에도 포착되지 않은 위협을 사람이 직접 찾습니다.

• 대응형: 경고가 발생한 후 조사합니다.
• 사전 예방형: 먼저 조사하고, 그 결과 위협을 발견할 수도 있습니다.

핵심적인 사고방식의 전환은 침해를 가정하는 것입니다. 헌팅 담당자는 '우리 시스템은 안전한가?'라고 묻는 대신 '지금 공격자는 어디에 숨어 있는가?'라고 묻습니다.

이러한 사고방식은 방어가 가장 약한 곳을 깊이 조사하게 합니다.

자동화된 탐지는 알려진 패턴을 포착합니다. 숙련된 공격자는 새로운 기법, 시스템 기본 도구를 악용하는 방법, 어떤 패턴 서명에도 걸리지 않는 느리고 조용한 행동을 사용합니다.

사람은 기계가 찾아보도록 지시받지 않은 것도 찾아낼 수 있습니다.

헌팅 담당자는 침입을 암시하는 아티팩트인 침해 지표를 찾습니다.

• 비정상적인 외부 연결
• 새로 생성된 예약 작업이나 서비스
• 의심스러운 부모-자식 프로세스 연결
• 예상하지 못한 계정 생성

침해 지표(악성 해시, 이미 악성으로 알려진 IP)는 값을 변경하면 쉽게 피할 수 있습니다. 행동(전술·기법·절차)은 공격자가 변경하기가 더 어렵습니다.

성숙한 위협 탐색은 교체 가능한 지표에만 의존하지 않고 행동에 집중합니다.

고통의 피라미드는 지표를 탐지했을 때 공격자가 얼마나 큰 타격을 받는지에 따라 지표의 순위를 매깁니다.

해시는 쉽게 변경할 수 있지만 전술·기법·절차는 변경하기가 매우 어렵습니다. 피라미드의 높은 단계에 집중하십시오.

훌륭한 탐색 담당자는 호기심이 많고 회의적입니다. 프로세스가 왜 이상하게 동작하는지 질문하고, 확인하지 않은 채 '아마 아무것도 아닐 것입니다'라고 받아들이지 않습니다.

이처럼 끈질기게 질문하는 태도가 은밀한 침입을 드러냅니다.

이해하지 못하는 대상은 탐색할 수 없습니다. 먼저 자산, 정상적인 프로세스, 예상되는 네트워크 흐름을 파악하십시오.

정상 상태의 기준선이 있으면 트래픽 분석에서처럼 비정상적인 상태를 즉시 알아차릴 수 있습니다.

위협 탐색은 반복적으로 이루어집니다. 아이디어를 세우고, 데이터를 수집하고, 분석한 다음, 학습한 내용을 탐지에 반영합니다.

아무것도 찾지 못한 탐색이라도 가시성을 높이고 새로운 자동화 규칙을 만드는 데 도움이 됩니다.

성공적인 탐색에 공격자를 찾아내야 하는 것은 아닙니다. 유효한 결과에는 침입 확인, 새로운 탐지 규칙 생성, 또는 사각지대에 대한 가시성 향상이 포함됩니다.

깨끗한 탐색도 여전히 가치를 더합니다.

위협 탐색 관점을 배웠습니다.

• 위협 탐색은 사후 대응이 아니라 사전 대응이며, 침해를 가정하고 대상을 찾아 나섭니다.
• 자동화는 새롭고 은밀한 기법을 놓칩니다.
• 교체 가능한 침해 지표에만 의존하지 말고 행동과 전술·기법·절차에 집중하십시오.
• 고통의 피라미드에서는 공격자에게 큰 타격을 주도록 높은 단계에 집중합니다.
• 자신의 환경을 파악하십시오. 깨끗한 탐색도 가치를 더합니다.

다음에는 가설 기반 위협 탐색을 배웁니다.