씨큐비스타는 네트워크에 잠재돼 있는 침해활동 징후까지 모두 헌팅할 수 있는 능동적인 '위협헌팅 솔루션'을 통해 보다 촘촘한 위협 가시성을 확보하는 것이 중요하다고 강조했다.

글로벌 보안기업 IBM에 따르면, 자동화된 보안시스템으로는 약 80%의 위협을 처리할 수 있지만, 상위 1·2급 보안관제센터(SOC) 분석가들 조차 정교한 20%의 위협 및 공격행위에 대해서는 처리하지 못한 것으로 나타났다. 자동화된 보안수단이 보안의 '구멍'으로 지적받는 것도 이런 이유 때문이다.

20%의 위협은 중대한 피해를 초래할 수 있는 고도화된 위협요소일 가능성이 크고, 네트워크에 침입해 무려 300일간이나 잠복하며 치명적인 피해를 일으킬 수 있어, 숨어있는 위협을 능동적으로 찾아 제거하는 '위협헌팅 솔루션'이 필수적이다.

최근 사이버 공격량이 늘어나고, 단 몇 분 만에 인프라에 침투하는 등 공격속도도 빨라지고 있다. 침입자를 찾는데만 몇 주~몇 달이 소요되는 전통적인 보안방식에만 의존할게 아니라, 강력한 위협헌팅 플랫폼을 병용해 대응 능력을 향상시키는게 중요하다.

씨큐비스타는 해커의 88%가 시스템에 침입해 12시간 이내에 사이버 보안망을 통과할 수 있고, 그 중 81%가 가치 있는 데이터를 수집하기까지 추가로 12시간 밖에 걸리지 않는다면서, 효과적인 위협헌팅을 위해서는 공격자의 마인드셋을 갖고 내부 네트워크를 바라봐야 한다고 설명했다.

사이버 위협 헌팅 가이드

효과적인 10가지 위협헌팅 방안

씨큐비스타는 20%의 위협으로부터 공격을 탐지 및 예방할 수 있는 10가지 위협헌팅 방안을 다음과 같이 밝혔다.

1. 비정상적인 아웃바운드 네트워크 트래픽 확인 : 네트워크를 통해 외부로 나가는 트래픽이 평소와 다르게 증가했거나, 의심스러운 목적지로 향하는 것을 의미한다. 이는 데이터 유출이나 명령 및 제어(C2) 서버와의 통신을 나타낼 수 있다.

2. 권한이 있는 사용자 계정 활동의 이상 징후 : 관리자 계정과 같은 권한이 높은 계정에서 예상치 못한 활동이 감지되면 내부 위협이나 계정 탈취를 의심해볼 수 있다.

3. 지리적 불규칙성 : 사용자의 로그인 시도가 평소와 다른 지리적 위치에서 발생하면, 계정이 해킹당했을 가능성이 있다.

4. 로그인 이상 및 실패 : 반복적인 로그인 실패나 이상한 시간대에 발생하는 로그인 시도는 무차별 대입 공격(brute-force attack)이나 계정 탈취 시도를 나타낼 수 있다.

5. 데이터베이스 읽기 볼륨의 급증 : 데이터베이스에 대한 읽기 요청이 갑자기 많아지면, 데이터 유출 시도나 데이터베이스 스캐닝 공격을 의심해볼 수 있다.

6. HTML 응답의 크기 변화 : 웹 페이지의 HTML 응답 크기가 평소와 다르게 변한다면, 웹 페이지가 변조됐거나 악성 코드가 삽입됐을 수 있다.

7. 동일한 파일에 대한 요청량의 증가 : 특정 파일에 대한 요청이 갑자기 많아지면, 이는 파일이 악성 코드로 사용되고 있거나, 분산 서비스 거부(DDoS) 공격의 일부일 수 있다.

8. 포트-애플리케이션 트래픽이 일치하지 않을 경우 : 특정 포트를 통해 예상치 못한 애플리케이션 트래픽이 감지되면, 이는 서비스가 변조되었거나 악성 트래픽이 포트를 통해 전송되고 있을 수 있다.

9. 의심스러운 레지스트리 또는 시스템 파일 변경 행위 : 중요한 시스템 파일이나 레지스트리 설정이 변경되면, 이는 악성 소프트웨어의 설치나 시스템 설정 변조를 나타낼 수 있다.

10. DNS 요청 이상 징후 : DNS 요청 패턴이 평소와 다르게 변하거나, 의심스러운 도메인으로의 요청이 증가하면, 이는 악성 도메인과의 통신이나 도메인 생성 알고리즘(DGA)을 사용하는 악성 코드를 의심해볼 수 있다.

 

<ansonny@reviewtimes.co.kr>
<저작권자 ⓒ리뷰타임스, 무단전재 및 재배포 금지〉

review_times