위협 인텔리전스

위협 인텔리전스(Threat Intelligence)는 사이버 위협에 관한 다양한 정보를 수집·분석하여 조직이 보안 의사결정과 탐지·대응에 활용할 수 있는 형태로 만든 지식 또는 활동을 말한다.

단순히 악성 IP 주소나 악성코드 정보를 모으는 것을 넘어 공격자의 목적, 공격 대상, TTP(전술·기술·절차), 공격 인프라, 취약점, 침해지표(IOC) 등을 분석하여 어떤 위협이 존재하고 조직에 어떤 영향을 줄 수 있으며 어떻게 대응해야 하는지를 파악하는 것이 목적이다.

사이버보안 분야의 위협 인텔리전스는 특히 사이버 위협 인텔리전스(Cyber Threat Intelligence, CTI)라고 한다.

개요

보안 시스템에서는 매일 대량의 이벤트와 위협정보가 발생한다.

예를 들어 다음과 같은 정보가 수집될 수 있다.

악성 IP 주소
악성 도메인
피싱 사이트
악성 URL
악성 파일 해시
악성코드
공격에 사용된 이메일 주소
취약점
공격 도구
공격자의 전술·기술·절차
공격 대상 산업과 국가
공격 캠페인
공격 조직

그러나 개별 정보를 단순히 수집하는 것만으로는 실제 보안 의사결정에 활용하기 어렵다.

위협 인텔리전스에서는 여러 정보를 서로 연결하고 분석하여 공격자의 행동과 공격 목적, 조직에 대한 위험성 등을 파악한다.

예를 들어 특정 IP 주소 하나가 악성이라는 정보만 제공하는 것보다 해당 IP가 어떤 공격 캠페인에서 사용됐으며 어떤 취약점을 공격하고 있고 어떤 조직들이 공격 대상인지까지 분석하면 대응에 더 유용한 정보가 된다.

위협정보와의 차이

위협정보(Threat Information)와 위협 인텔리전스는 혼용되기도 하지만 일반적으로 분석 수준에서 차이가 있다.

구분	설명	예시
데이터	가공되지 않은 관측값	특정 IP에서 다수의 로그인 시도 발생
정보	데이터에 의미를 부여한 것	해당 IP가 여러 조직을 공격하고 있음
위협 인텔리전스	여러 정보를 분석해 위협의 의미와 대응 방향을 도출한 것	특정 공격 조직이 특정 취약점을 이용해 금융기관을 공격하고 있으며 해당 IP가 공격 인프라 일부로 사용되고 있음

실무에서는 이러한 용어를 엄격하게 구분하지 않고 위협정보 전체를 위협 인텔리전스라고 부르는 경우도 많다.

사이버 위협 인텔리전스

사이버 위협 인텔리전스(Cyber Threat Intelligence, CTI)는 사이버 공격과 공격자에 관한 위협 인텔리전스를 의미한다.

일반적인 사이버보안 환경에서 '위협 인텔리전스'라고 하면 대부분 CTI를 의미한다.

CTI의 분석 대상에는 다음과 같은 것들이 있다.

공격자 및 공격 조직
공격 캠페인
공격 목적
공격 대상
공격 인프라
악성코드
보안 취약점
공격 도구
침해지표
TTP
공격자 간 관계
공격 시기와 활동 패턴

위협 인텔리전스의 유형

위협 인텔리전스는 분석 목적과 이용자에 따라 전략·운영·전술·기술 인텔리전스 등으로 구분할 수 있다.

전략적 위협 인텔리전스

전략적 위협 인텔리전스(Strategic Threat Intelligence)는 경영진이나 보안 책임자의 장기적인 의사결정을 지원하는 정보를 말한다.

개별 IP 주소나 악성코드보다 산업이나 국가를 둘러싼 위협 환경을 분석한다.

예를 들어 다음과 같은 내용이 포함될 수 있다.

특정 산업을 대상으로 한 공격 증가
국가 지원 공격 조직의 활동 변화
랜섬웨어 시장 동향
새로운 사이버범죄 생태계
지정학적 사건에 따른 사이버 위협 변화
조직이 향후 대비해야 할 주요 위협

운영적 위협 인텔리전스

운영적 위협 인텔리전스(Operational Threat Intelligence)는 실제 공격 캠페인과 공격자의 활동을 이해하는 데 초점을 둔다.

공격자의 목적
공격 대상
공격 캠페인
공격 시기
공격 인프라
사용 악성코드
공격 조직의 활동

사고대응팀이나 위협분석 조직 등이 주로 활용한다.

전술적 위협 인텔리전스

전술적 위협 인텔리전스(Tactical Threat Intelligence)는 공격자가 어떤 방식으로 공격하는지에 초점을 둔다.

대표적으로 공격자의 TTP를 분석한다.

예를 들어 다음과 같은 정보가 포함될 수 있다.

피싱을 통한 최초 침투
PowerShell을 이용한 명령 실행
자격증명 탈취
횡적 이동
지속성 확보
데이터 압축 및 외부 반출

MITRE ATT&CK은 이러한 공격자 행동을 체계적으로 분류하고 분석하는 데 널리 사용된다.

기술적 위협 인텔리전스

기술적 위협 인텔리전스(Technical Threat Intelligence)는 보안장비에서 직접 탐지·차단하는 데 사용할 수 있는 기술적인 지표를 중심으로 한다.

대표적으로 다음과 같은 정보가 있다.

악성 IP 주소
악성 도메인
악성 URL
파일 해시
이메일 주소
악성코드 특징
네트워크 패턴

이러한 정보는 방화벽, 침입 탐지 시스템, SIEM, EDR 등의 탐지 규칙에 활용할 수 있다.

침해지표

침해지표(Indicator of Compromise, IOC)는 시스템이 침해됐거나 악성 활동과 관련됐을 가능성을 보여주는 기술적 흔적이다.

대표적인 IOC에는 다음이 있다.

IP 주소
도메인
URL
파일 해시
파일명
레지스트리 값
이메일 주소
특정 네트워크 통신 패턴

IOC는 위협 인텔리전스의 중요한 구성 요소지만 IOC 자체가 위협 인텔리전스 전체를 의미하지는 않는다.

예를 들어 악성 IP 목록은 IOC 데이터지만, 해당 IP가 어떤 공격자와 연관되고 어떤 공격에서 어떤 목적으로 사용됐는지를 분석하면 더 높은 수준의 위협 인텔리전스가 된다.

TTP

TTP는 Tactics, Techniques and Procedures의 약자로 공격자의 전술·기술·절차를 의미한다.

IOC가 공격에 사용된 구체적인 IP·도메인·파일 등을 나타낸다면 TTP는 공격자가 어떻게 행동하는지를 나타낸다.

공격자는 IP 주소나 도메인을 비교적 쉽게 변경할 수 있지만 사용하는 공격 방식과 절차는 상대적으로 변경하기 어렵기 때문에 TTP 분석은 공격자를 장기간 추적하는 데 중요하다.

MITRE ATT&CK은 실제 공격자들이 사용하는 TTP를 체계적으로 분류한 대표적인 지식베이스다.

위협 인텔리전스 수집

위협 인텔리전스는 다양한 출처에서 수집할 수 있다.

내부 데이터

조직 내부에서 발생한 보안 데이터는 해당 조직에 가장 직접적으로 관련된 위협정보를 제공한다.

방화벽 로그
웹 서버 로그
EDR 탐지 정보
SIEM 이벤트
이메일 보안 로그
인증 로그
침해사고 조사 결과
악성코드 분석 결과

공개정보

인터넷에 공개된 정보도 중요한 자료가 된다.

보안기관의 보안 권고
취약점 데이터베이스
보안업체 보고서
보안 연구자의 분석
공개 악성코드 분석 자료
OSINT
공개 코드 저장소

상용 위협 인텔리전스

보안업체들은 자체 센서와 분석조직을 통해 수집한 위협 인텔리전스를 유료 서비스로 제공하기도 한다.

상용 서비스에서는 대규모 악성 인프라 데이터, 공격자 프로파일, 악성코드 분석, 다크웹 정보 등을 제공할 수 있다.

정보 공유 조직

같은 산업에 속한 조직끼리 위협정보를 공유하기도 한다.

금융·에너지·통신 등 특정 산업에서는 공격자가 여러 조직을 동시에 공격하는 경우가 많기 때문에 한 조직에서 발견한 공격 정보를 다른 조직에 빠르게 공유하면 피해를 예방할 수 있다.

대한민국 금융권에서는 금융보안원이 금융회사 사이의 사이버 위협정보 공유에서 중요한 역할을 한다.

민간 분야의 사이버 침해사고 정보는 한국인터넷진흥원과 KrCERT/CC 등을 통해 공유되기도 한다.

위협 인텔리전스 피드

위협 인텔리전스 피드(Threat Intelligence Feed)는 지속적으로 갱신되는 위협정보를 자동으로 제공하는 데이터 서비스다.

피드에는 다음과 같은 정보가 포함될 수 있다.

악성 IP
악성 도메인
피싱 URL
악성 파일 해시
봇넷 서버
명령제어 서버
취약점 정보

보안장비가 이러한 피드를 자동으로 받아 탐지나 차단 정책에 사용할 수 있다.

다만 피드에 포함됐다는 이유만으로 모든 지표를 무조건 차단하는 것은 적절하지 않을 수 있다.

공유 서버, 클라우드 서비스, VPN, 프록시 등이 공격에 악용된 경우 정상 이용자도 같은 IP를 사용할 수 있기 때문이다.

따라서 정보의 신뢰도·최신성·조직 환경 등을 함께 고려해야 한다.

TIP

위협 인텔리전스 플랫폼(Threat Intelligence Platform, TIP)은 여러 출처에서 수집한 위협정보를 통합·정규화·분석하고 다른 보안 시스템과 공유하기 위한 플랫폼이다.

TIP의 주요 기능에는 다음과 같은 것들이 있다.

여러 위협정보 피드 수집
중복 데이터 제거
데이터 정규화
IOC 관리
정보 간 연관관계 분석
신뢰도 평가
공격자·캠페인 정보 관리
보안 시스템과의 연동
위협정보 검색 및 분석

대표적인 오픈소스 위협정보 공유 플랫폼으로 MISP 등이 있다.

STIX와 TAXII

위협 인텔리전스를 조직과 시스템 사이에서 표준화된 형태로 교환하기 위한 기술로 STIX와 TAXII가 사용된다.

STIX(Structured Threat Information Expression)는 사이버 위협정보를 구조화해 표현하기 위한 표준이다.

공격자, 악성코드, 공격 캠페인, 취약점, IOC 등의 관계를 구조적으로 표현할 수 있다.

TAXII(Trusted Automated Exchange of Intelligence Information)는 STIX 형식 등의 위협정보를 시스템 간에 교환하기 위한 통신 방식이다.

두 기술을 함께 사용하면 서로 다른 보안조직과 보안제품 사이에서 위협정보를 자동으로 공유할 수 있다.

활용

위협 인텔리전스는 다양한 보안 업무에 활용된다.

탐지 및 차단

악성 IP·도메인·파일 해시 등을 방화벽이나 EDR 등에 적용해 알려진 공격을 탐지하거나 차단할 수 있다.

위협 헌팅

위협 헌팅 과정에서 공격자의 IOC와 TTP를 이용해 기존 보안장비가 탐지하지 못한 침해 흔적을 능동적으로 검색할 수 있다.

침해사고 대응

한 시스템에서 공격 IP나 악성코드가 발견되면 위협 인텔리전스를 이용해 해당 지표와 관련된 다른 공격이나 공격자를 조사할 수 있다.

이를 통해 다른 시스템에도 같은 공격이 발생했는지 확인할 수 있다.

취약점 관리

조직에 수천 개의 취약점이 존재하더라도 모든 취약점의 실제 공격 위험이 동일하지는 않다.

위협 인텔리전스를 활용하면 실제 공격에서 활발하게 악용되는 취약점을 우선적으로 파악해 패치 우선순위를 결정하는 데 도움을 받을 수 있다.

공격자 추적

IP·도메인·악성코드·TTP 등의 연관관계를 분석해 서로 다른 공격이 동일한 공격 조직 또는 캠페인과 관련됐는지 조사할 수 있다.

다만 이러한 정보만으로 공격자의 실제 신원이나 국적을 확정하기는 어렵다.

인텔리전스 수명주기

위협 인텔리전스 업무는 일반적으로 반복적인 과정으로 이루어진다.

요구사항 설정
     ↓
정보 수집
     ↓
처리 및 정규화
     ↓
분석
     ↓
배포
     ↓
피드백
     ↓
요구사항 개선

이를 인텔리전스 수명주기(Intelligence Cycle)라고 한다.

단순히 데이터를 많이 수집하는 것보다 조직이 어떤 위협을 파악해야 하는지 먼저 정의하고 필요한 정보를 수집·분석하는 것이 중요하다.

한계

위협 인텔리전스는 사이버 공격 대응에 유용하지만 한계도 있다.

오탐

악성 활동에 사용된 IP나 도메인이 항상 공격자만 사용하는 것은 아니다.

클라우드 서버, VPN, 프록시, 공유 호스팅 서비스 등이 공격에 이용되면 정상 사용자와 공격자가 같은 인프라를 사용할 수 있다.

정보의 수명

공격자는 IP·도메인·서버 등을 빠르게 변경할 수 있다.

따라서 오래된 IOC는 탐지 가치가 빠르게 떨어질 수 있다.

공격자 귀속

특정 IP나 악성코드가 과거 특정 공격 조직에서 사용됐다는 사실만으로 새로운 공격도 같은 조직이 수행했다고 단정할 수 없다.

공격 도구가 공개되거나 다른 공격자가 이를 복제할 수도 있으며 공격자가 의도적으로 다른 조직의 흔적을 남길 수도 있다.

따라서 사이버 공격 귀속에는 여러 종류의 기술적·정보적 증거가 필요하다.

정보 과부하

위협정보를 지나치게 많이 수집하면 분석되지 않은 데이터가 쌓이면서 오히려 중요한 위협을 찾기 어려워질 수 있다.

따라서 조직의 시스템과 위험에 관련된 정보를 선별하고 우선순위를 정하는 과정이 중요하다.

같이 보기