지능형 지속공격(APT)

왜 배우는가: APT는 국가·대기업을 겨냥해 수개월간 은밀히 침투하는 공격이라 실무에서 탐지·대응 체계 설계의 출발점이 된다. 정보관리기술사 시험에서 2교시와 3교시에 연속으로 출제된 반복 주제이므로 정의와 공격 단계 구조를 정확히 익혀야 한다.

출제 이력: 제116회 2교시 1번, 제96회 3교시 4번

1. 한 줄 정의와 핵심 키워드

지능형 지속 공격(APT)은 특정 대상을 목표로 장기간 은밀하게 침투해 정보를 탈취하거나 시스템을 교란하는 지능적·지속적 해킹 공격이다.

• 지능형 지속 공격, 표적 공격, 장기 잠복
• C&C(명령 및 제어), 측면 이동, 백도어
• 초기 침투, 권한 상승, 정보 유출
• 사회공학, 제로데이 취약점

2. 개념 풀이

쉬운 말로 하면 APT는 '특정 기관을 골라 오래 숨어서 노리는 해킹'이다. 돈을 노리고 아무 곳이나 찌르는 일반 해킹과 달리 목표를 정하고 사전 조사를 거쳐 공격한다.

정식 정의는 잠행적이고 지속적인 컴퓨터 해킹 프로세스의 집합으로, 사람이 지휘하며 개인, 단체, 국가, 사업체, 정치 단체를 표적으로 삼는다. 이름의 세 단어는 각각 다른 뜻을 가진다. '고급(Advanced)'은 취약점을 노리는 복잡한 악성코드 기법을, '지속(Persistent)'은 외부 C&C(명령 및 제어) 서버가 대상 데이터를 계속 감시하고 추출하는 것을, '위협(Threat)'은 공격을 사람이 지휘한다는 뜻이다.

핵심 용어는 다음과 같다.

• C&C(명령 및 제어): 감염된 내부 장비에 원격에서 명령을 내리고 데이터를 받는 외부 서버다. 공격자는 이를 통해 장기간 통제권을 유지한다.
• 측면 이동(Lateral Movement): 한 장비를 장악한 뒤 내부망의 다른 장비로 옮겨 가며 권한을 넓히는 행위다.
• 백도어: 정상 인증을 거치지 않고 재침입할 수 있도록 설치한 비밀 통로다.

APT는 탐지 회피를 우선하므로 공격 속도가 느리고 흔적을 최소화한다는 점이 일반 공격과 구별되는 기준이다.

3. 등장 배경과 필요성

방화벽과 백신 같은 경계 방어가 일반화되면서 단발성 악성코드는 쉽게 차단되었다. 이에 공격자는 한 번 침투하면 오래 머물며 목표를 달성하는 방식으로 옮겨 갔다. 공격의 기원은 과거로 거슬러 올라가며, 국내에서도 트로이 목마 유포 사례가 보고되었다고 한다.

초기에는 국가 간 정보전이나 군사 목적이 중심이었다. 이후 대기업의 기술 정보, 금융 정보, 정치적 자료로 표적이 넓어졌다. 공격 주체가 국가 지원 조직에 한정되지 않는다는 점도 현재의 특징이다.

필요성은 세 가지로 정리된다. 첫째, 탐지 회피로 인해 일반 보안장비만으로는 침해를 늦게 발견한다. 둘째, 정보 유출은 한 번 발생하면 회복이 어렵다. 셋째, 한 조직의 취약한 단계가 공급망 전체의 침해로 이어질 수 있다. 따라서 APT 대응은 예방, 탐지, 복구를 함께 갖춘 다층 체계로 설계해야 한다.

APT 공격에는 공격 과정을 단계별로 끊어 막는 관점이 필요하다. 공격 단계 중 가장 취약한 절차에 선제 대응하면 공격 전체를 억제할 수 있다는 것이 기본 원리다.

4. 구성요소·원리·절차

APT 공격은 단일 취약점을 한 번 뚫는 사건이 아니라, 표적 조직 안에서 여러 단계를 거쳐 접근 권한을 넓히고 잠복을 유지하는 Kill Chain 형태의 과정이다. 따라서 답안에는 공격 구성요소와 단계별 절차를 함께 적어야 한다.

공격을 구성하는 핵심 요소는 다음과 같다.

표의 구성요소는 공격자가 표적 안에서 순서대로 쓰는 도구다. 방어자는 각 요소가 남기는 흔적을 탐지 지점으로 삼아야 한다.

원리는 '조금씩, 오래, 은밀하게'다. 공격자는 한 번에 큰 피해를 주지 않고 권한을 조금씩 올리며, 정상 트래픽에 섞여 C&C 통신을 유지한다. 이 때문에 시그니처 기반 탐지만으로는 잡기 어렵다. 공격 절차 중 가장 취약한 단계를 막으면 전체 공격을 끊을 수 있다는 점이 방어 원리의 핵심이다.

APT 공격 절차는 다음 순서로 진행된다.

• 표적 선정과 사전 조사: 조직 구성원, 기술 스택, 공개 정보를 수집한다.
• 초기 감염: 피싱, 워터링 홀, 물리 매체 중 하나로 악성코드를 실행시킨다.
• 원격 다운로드와 보안 기능 무력화: 초기 악성코드가 실제 APT 도구를 내려받고 백신을 비활성화한다.
• C&C 연결과 내부 정찰: DNS 등을 이용해 C&C에 연결하고 LAN 내부 정보를 수집한다.
• 권한 상승과 측면 이동: 계정과 자격 증명을 탈취해 중요 시스템으로 이동한다.
• 잠복과 정보 유출 또는 파괴: 장기간 백도어를 유지하며 데이터를 빼내거나 시스템을 파괴한다.

절차를 요약하면 다음 흐름이다.

공격 기법의 공통 구조는 Kill Chain 의 단계 구분으로 설명한다. 단계마다 공격자가 얻는 것은 다음 단계를 위한 권한이나 정보다. 방어는 단계 사이의 연결고리를 끊는 데 집중한다.

5. 관련 법령·기준·표준

APT 대응과 직접 연결되는 법·기준은 크게 개인정보 보호, 정보보호 관리체계, 사고 대응 의무 세 축이다. 조항 번호는 확실한 것만 적고, 나머지는 기준 이름만 적는다.

개인정보 내부관리계획의 필수 포함 사항은 다음과 같다. 개인정보관리책임자 자격요건 및 지정 사항, 책임자와 취급자의 역할 및 책임, 기술적·관리적 보호조치 이행 여부 내부 점검, 수탁자 관리·감독, 분실·도난·누출 대응 절차다.

APT 대응은 기술 통제와 관리 통제를 함께 묶어 단계별로 적용하는 것이 기준의 취지다

법령 조문과 수치는 개정될 수 있으므로 시험 답안에는 기준의 이름과 목적을 중심으로 쓰는 것이 안전하다.

6. 유형과 비교

APT 공격은 목표, 침투 경로, 유지 방식에 따라 몇 가지 유형으로 나눠 볼 수 있다. 먼저 공격 목적에 따른 구분과 침투 벡터에 따른 구분을 나눠 보면 대응 우선순위를 정하기 쉽다. 아래 표는 침투 벡터별 특징을 비교한다.

침투 벡터가 달라도 이후 단계는 공통으로 C&C 연결, 권한 상승, 내부 확산을 거친다. 따라서 초기 침투 차단과 내부 탐지를 함께 설계해야 한다. 표의 세 유형은 모두 DNS 조회 흔적을 남기므로 DNS 로그가 공통 탐지 지점이 된다.