APT와 침해사고 대응: 단계별 탐지·확산 제한·원인 제거

1장 개념과 보호 목표#

APT는 특정 목표를 향해 장기간 지속되는 공격 활동을 설명하는 개념입니다. 공격자는 악성코드뿐 아니라 정상 관리 도구와 탈취한 계정을 사용할 수 있으므로 파일 탐지 하나만으로 충분하지 않습니다.

2장 원리와 구분#

초기 침투, 내부 정찰, 권한 상승, 내부 이동, 수집과 유출은 분석에 도움이 되는 단계입니다. 실제 공격이 항상 같은 순서로 진행되는 것은 아닙니다. Kill Chain이나 MITRE ATT&CK는 관찰한 행동을 정리하는 데 활용하되 조직이 볼 수 없는 정찰 단계까지 모두 차단할 수 있다고 가정하지 않습니다.

증거 수집에는 수집 시간, 대상과 방법, 보관 위치·접근 이력을 남겨야 합니다. 조사 중 변경한 설정도 기록하면 공격자의 행위와 대응팀의 행위를 구분하는 데 도움이 됩니다. 복구 완료는 서비스가 켜졌다는 사실뿐 아니라 침투 경로 제거, 자격증명 교체와 모니터링 결과로 판단해야 합니다.

3장 비교와 판단 기준#

관측 영역	주요 신호	대응 연결
계정	새 위치·권한 변경	세션 회수·자격증명 교체
단말	서비스·예약 작업·관리 도구	격리·지속성 제거
네트워크	내부 이동·이상 외부 통신	분리·목적지 조사
데이터	대량 수집·유출 흔적	영향 범위·통지 검토

4장 APT는 단일 악성코드 이름이 아니다#

장기간 목표를 두고 침투·접근을 유지하는 공격 활동의 특성을 다룹니다. 악성 파일이 발견되지 않았다고 안전하다고 판단하기 어렵습니다. 정상 관리 도구와 탈취 계정이 공격에 사용될 수도 있습니다.

5장 단계는 직선 순서로만 진행되지 않는다#

정찰, 초기 접근, 권한 상승, 내부 이동과 유출 등의 활동은 반복되거나 겹칠 수 있습니다. 탐지 모델은 실제 행위를 설명하는 틀이지 모든 사건이 같은 순서를 따른다는 규칙이 아닙니다.

6장 ATT&CK의 전술과 기법#

전술은 공격자가 이루려는 목적, 기법은 그 목적을 수행하는 방법을 설명합니다. 제품의 탐지 기능을 연결할 때 필요한 로그와 관찰 범위를 확인합니다. 기법 이름에 대응한다고 모든 변형을 탐지할 수 있는 것은 아닙니다.

7장 계정 중심의 침해 사례#

탈취된 계정으로 로그인한 뒤 원격 관리 도구를 실행하고 다른 서버의 자료를 조회할 수 있습니다. 각 행위가 정상 도구를 사용해도 위치·시간·권한과 업무 문맥을 연결하면 이상을 찾을 수 있습니다.

8장 탐지 자료의 연결#

인증 로그, 단말 실행 기록과 네트워크 흐름을 시간·사용자·장비 기준으로 연결합니다. 알려진 해시나 주소 외에도 권한 변화, 서비스 생성과 비정상 접근 패턴을 분석합니다. 조사 가설과 확인되지 않은 사실을 구분하여 기록합니다.

9장 격리의 범위 결정#

장치 하나만 격리해도 공격자가 다른 계정·장치에 접근해 있을 수 있습니다. 관련 세션, 인증 수단과 내부 이동의 범위를 조사합니다. 업무 중단 영향과 확산 위험을 고려해 단계적으로 조치합니다.

10장 증거 무결성과 수집 경로#

해시는 수집한 자료가 이후 변경되었는지 확인하는 데 사용됩니다. 해시값만으로 수집의 적법성, 원본성이나 사실 해석을 전부 보장하지는 않습니다. 수집자·시각·도구·인계와 접근 내역을 함께 관리합니다.

11장 원인 제거는 지속성까지 포함한다#

최초 침입 경로, 취약점과 탈취된 자격 증명을 조치합니다. 예약 작업, 서비스와 다른 지속성 경로도 확인합니다. 외부 통신이 멈췄다는 사실만으로 공격자의 접근이 모두 제거되었다고 단정하지 않습니다.

flowchart TB
 D[탐지·분석] --> S[영향 범위 확인]
 S --> C[확산 제한]
 C --> E[원인·지속성 제거]
 E --> R[검증·복구]
 R --> L[감시·개선]
 L --> D

12장 복구 후의 검증#

복원 환경의 패치·계정·설정과 탐지 가시성을 확인합니다. 재연결 후 외부 통신, 신규 계정과 의심 실행을 관찰합니다. 운영 재개와 조사 종료를 같은 시점으로 자동 처리하지 않습니다.

13장 대응 역량을 사건 이전에 준비한다#

담당자·연락 체계, 로그 수집과 보유, 권한 있는 격리·복구 절차를 준비합니다. 모의 사건으로 탐지부터 의사결정·복구까지 시험하고 누락된 자료와 권한을 개선합니다. 사건 대응은 예방·보호·탐지와 연결되는 지속적인 업무입니다.

14장 정상 관리 도구를 이용한 내부 이동#

야간에 관리자 계정이 평소 접속하지 않던 장치에서 인증한 뒤 여러 서버에 원격 명령을 실행했다고 가정합니다. 사용한 프로그램이 승인된 관리 도구라는 사실만으로 정상 업무라고 판단하지 않습니다. 변경 작업 일정, 접속 원천과 대상·명령의 문맥을 확인합니다.

계정 탈취가 의심되면 해당 장치의 실행 기록과 인증 로그를 연결하고 다른 세션·대상 서버로 조사 범위를 넓힙니다. 한 프로세스를 종료해도 다른 장치나 인증 수단에서 접근이 유지될 수 있습니다.

관찰한 사실, 추정한 경로와 아직 확인하지 못한 범위를 구분하여 대응팀에 전달합니다. 제한된 정보로 빠르게 조치하면서도 조사 결론을 과도하게 확정하지 않는 것이 중요합니다.

15장 적용 사례와 운영 방법#

관리 계정의 새로운 접속 위치와 비정상 서비스 생성, 내부 파일 공유 접근을 함께 분석합니다. 사고 시에는 범위를 확인하고 격리·자격증명 회수·지속성 제거·복구를 연결합니다. 공격자가 머문 기간과 유출 가능성을 조사하고 조치 후 같은 경로가 다시 열리지 않는지 확인합니다.

16장 ATT&CK는 관측한 행동과 증거를 연결하는 틀이다#

전술은 공격자의 목적, 기법은 그 목적을 달성하는 방법을 설명합니다. 같은 도구가 다른 목적으로 쓰일 수 있고 공격은 단계를 반복하거나 생략할 수 있습니다. 목록의 모든 항목을 같은 순서로 진행하는 체크리스트로 보지 않습니다.

탈취 계정·원격 관리 도구·예약 작업·정상 스크립트를 악용할 수 있어 파일 시그니처만으로 충분하지 않습니다. 계정·단말·네트워크·데이터의 관측을 연결하고 조직이 실제 수집하는 증거로 어떤 기법을 확인할 수 있는지 기록합니다. 탐지 공백도 명시해야 합니다.

17장 격리 뒤에도 원인과 영향 범위를 끝까지 조사한다#

관리 계정의 비정상 접속, 새 서비스 등록, 내부 공유 접근과 외부 전송을 시간순으로 연결합니다. 조사 자료에는 수집 대상·시각·방법·해시·보관·접근 이력을 남기고 대응팀이 바꾼 설정도 기록합니다. 악성 파일 한 개를 지웠다고 지속성·추가 계정·다른 단말까지 제거된 것은 아닙니다.

복구 조건에는 침투 경로 제거, 노출 자격증명 회수, 지속성 제거, 필요한 재설치와 감시 결과를 둡니다. 공격자의 활동 기간·접근 데이터·유출 가능성과 제3자 영향까지 조사하고 조치 후 같은 경로가 다시 열리지 않는지 검증합니다.

18장 적용 전 확인할 사항#

단말·계정·네트워크 관측 정보를 연결한다
내부 이동을 최소 권한과 분리로 제한한다
원인·영향·조치·재발 검증을 기록한다

19장 자주 묻는 질문#

백신에서 악성코드가 없으면 침해가 아닌가요?#

정상 도구와 계정을 악용한 활동은 파일 탐지만으로 놓칠 수 있습니다. 행위와 접근 기록, 권한 변경을 함께 조사해야 합니다.

ATT&CK 항목에 매핑하면 공격자의 신원도 알 수 있나요?#

기법 매핑은 행동을 정리하는 근거입니다. 여러 공격자가 같은 기법을 사용할 수 있어 주체 귀속은 별도 증거와 분석이 필요합니다.

서비스가 정상 동작하면 사고를 종료해도 되나요?#

업무 복구와 침해 원인 제거·영향 조사·재발 검증은 다릅니다. 정해진 종료 조건과 남은 위험을 확인해야 합니다.