지능형 지속 공격(APT)

정의

지능형 지속 공격(APT)은 특정 대상을 목표로 장기간 은밀하게 침투하는 공격이다.

이름의 세 단어 중 고급은 취약점을 노리는 복잡한 악성코드 기법을 뜻한다.

지속은 외부 C&C 서버가 대상 데이터를 계속 감시하고 추출하는 것이다.

위협은 공격을 사람이 지휘한다는 뜻이다.

공격 절차

APT 공격은 표적 정찰부터 정보 유출까지 여섯 단계로 진행된다.

먼저 공개 정보를 모아 표적을 조사하고 피싱이나 워터링 홀로 첫 감염을 일으킨다.

감염 후 원격 서버에서 APT 도구를 받고 백신을 끈 뒤 C&C 서버에 연결한다.

이후 계정과 자격 증명을 탈취해 측면 이동으로 중요 시스템에 닿는다.

백도어로 장기 잠복하며 정보를 빼내거나 시스템을 파괴한다.

계산 예제

ALE는 단일 사고 손실 SLE와 연간 발생 빈도 ARO를 곱해 구한다.

SLE가 2억원이고 ARO가 0.5회면 ALE는 1억원이다.

대응 후 ARO가 0.1회로 줄면 ALE는 2,000만원으로 내려간다.

절감액 8,000만원에서 대응 비용 5,000만원을 뺀 뒤 비용으로 나누면 ROI는 60%다.

이 값은 설명을 위한 가상의 수치다.

탐지 비교

탐지 방법은 장점과 한계를 함께 보고 골라야 한다.

시그니처 기반 탐지는 알려진 악성코드를 빠르게 차단하지만 변종과 제로데이에 취약하다.

EDR은 단말 행위를 실시간으로 분석해 제로데이 공격 대응에 효과적인 것으로 알려져 있다.

EDR은 모니터링 중심이라 관리자 개입이 전제된다.

그래서 위협사냥을 정기 프로세스로 운영하고 XDR로 가시성을 넓혀야 한다.

정리

정리하면 APT는 특정 표적을 장기간 은밀하게 공격하는 지능형 공격이다.

공격 단계마다 관리적 통제와 기술적 통제를 연결해 막아야 한다.

앞서 낸 문제의 정답은 변종·제로데이에 취약이다.

단계별 통제를 연결한 다층 방어가 핵심이다.