사이버 킬체인 분석은(는) 무엇을 하나요?
언제 사용하는가
이 기술은 다음과 같은 경우에 사용합니다:
- 사후 분석을 통해 공격자가 공격 시퀀스를 얼마나 진행했는지 확인할 때
- 가능한 가장 이른 단계에서 공격을 차단하는 목표로 계층적 방어 통제를 설계할 때
- 비기술적 이해관계자에게 공격 진행 상황을 전달하는 위협 인텔리전스 보고서를 작성할 때
이 기술을 단독 프레임워크로 사용하지 마십시오. 7단계 킬체인이 제공하는 범위를 넘어서는 기술 수준의 세분성을 위해 MITRE ATT&CK와 결합하여 사용하십시오.
사전 요구사항
- 특정 공격자의 행동에 매핑된 포렌식 아티팩트가 포함된 전체 사고 타임라인
- 각 킬체인 단계 내 기술 수준 매핑을 위한 MITRE ATT&CK Enterprise 매트릭스
- 의심되는 공격자 그룹의 일반적인 킬체인 진행에 대한 위협 인텔리전스 접근 권한
- 대응 팀의 사후 보고서 또는 IR 타임라인
워크플로우
1단계: 관찰된 행동을 킬체인 단계에 매핑
Lockheed Martin 사이버 킬체인은 7단계로 구성됩니다. 관찰된 모든 공격자 행동을 매핑하십시오:
1단계 - 정찰 (Reconnaissance): 공격자가 공격 전에 대상 정보를 수집합니다.
- 지표: 공격자 IP의 DNS 질의, LinkedIn 스크래핑, 채용 공고 분석, 조직 인프라에 대한 Shodan 스캔
2단계 - 무기화 (Weaponization): 공격자가 공격 도구(악성코드 + 익스플로잇)를 생성합니다.
- 지표: 악성코드 컴파일 타임스탬프, 익스플로잇 문서 메타데이터, 악성코드 샘플 내 빌더 아티팩트
3단계 - 전달 (Delivery): 공격자가 무기화된 공격 도구를 대상에 전송합니다.
- 지표: 피싱 이메일, 악성 첨부파일, 드라이브-바이 다운로드, USB 드롭, 공급망 공격
4단계 - 악용 (Exploitation): 공격자가 취약점을 악용하여 코드를 실행합니다.
- 지표: 애플리케이션/OS 로그의 CVE 악용 이벤트, 메모리 손상 아티팩트, 셸코드 실행
5단계 - 설치 (Installation): 공격자가 대상에 지속성을 확보합니다.
- 지표: 새 예약 작업, 레지스트리 실행 키, 서비스 설치, 웹 셸, 부트킷
6단계 - 명령 및 제어 (C2): 공격자가 손상된 시스템과 통신합니다.
- 지표: 비커닝 트래픽(일정 간격), DNS 터널링, 흔치 않은 도메인으로의 HTTPS, C2 프레임워크 시그니처(Cobalt Strike, Sliver)
7단계 - 목표 달성 (Actions on Objectives): 공격자가 목표를 달성합니다.
- 지표: 데이터 준비/유출, 측면 이동, 랜섬웨어 실행, 파괴적 활동
2단계: 단계 완료 및 탐지 지점 식별
사고에 대한 단계 매트릭스를 생성하십시오:
Phase 1: 정찰 → 완료 (미탐지)
Phase 2: 무기화 → 완료 (미탐지 — 공격 전)
Phase 3: 전달 → 완료; 피싱 이메일이 SEG 우회
Phase 4: 악용 → 완료; CVE-2023-23397 악용됨
Phase 5: 설치 → 탐지됨: EDR이 예약 작업 생성을 플래그 (공격 중단됨)
Phase 6: C2 → 달성되지 않음 (설치 차단)
Phase 7: 목표 달성 → 달성되지 않음
탐지 없이 완료된 각 단계에 대해 방어 통제 격차를 문서화하십시오.
3단계: 기술 세부 사항을 위해 MITRE ATT&CK에 매핑
각 킬체인 단계는 여러 ATT&CK 전술에 매핑됩니다:
- 전달 → 초기 접근 (TA0001)
- 악용 → 실행 (TA0002)
- 설치 → 지속성 (TA0003), 권한 상승 (TA0004)
- C2 → 명령 및 제어 (TA0011)
- 목표 달성 → 유출 (TA0010), 영향 (TA0040)
각 단계 내에서 관찰된 특정 ATT&CK 기술을 열거하고 기존 탐지 항목에 매핑하십시오.
4단계: 단계별 대응 방안 식별
각 단계에 대해 적용 가능한 방어 대응 방안(COA)을 문서화하십시오:
- 탐지 COA: 이 단계에서 공격자 활동을 경고할 탐지는 무엇인가?
- 거부 COA: 공격자가 이 단계를 완료하지 못하게 방지하는 통제는 무엇인가?
- 방해 COA: 공격자를 단계 중간에 중단시키는 통제는 무엇인가?
- 저하 COA: 이 단계에서 공격자의 효율성을 낮추는 통제는 무엇인가?
- 기만 COA: 이 단계의 활동을 노출시킬 기만(허니팟, 카나리 토큰)은 무엇인가?
- 파괴 COA: 공격자 인프라를 무력화하는 적극적 방어 능력은 무엇인가?
5단계: 킬체인 분석 보고서 작성
결과를 다음과 같이 구성하십시오:
- 공격 내러티브 (단계별 타임라인)
- 증거와 함께 단계별 분석
- 탐지 지점 분석 (작동한 것, 실패한 것)
- 비용/효과에 따라 우선순위가 매겨진 단계별 방어 권장 사항
- 통제 개선 로드맵
주요 개념
| 용어 | 정의 |
|---|---|
| 킬체인 | 공격자 침입 단계의 순차적 모델; 연결 중 하나를 끊으면 이론적으로 공격이 중단됨 |
| 대응 방안 (COA) | 각 킬체인 단계에 매핑된 방어 대응: 탐지, 거부, 방해, 저하, 기만, 파괴 |
| 비커닝 | 손상된 호스트에서 공격자 서버로의 규칙적이고 주기적인 C2 체크인 패턴; 주파수 분석으로 탐지 가능 |
| 단계 완료 | 공격자가 킬체인 단계를 성공적으로 마치고 다음 단계로 진행; 심층 방어는 이를 방지하는 것을 목표로 함 |
| 인텔리전스 획득/손실 | 3단계(전달) 대신 5단계(설치)에서 탐지하는 것이 공격자 능력이나 의도에 대한 정보를 얼마나 감소시켰는지 분석 |
도구 및 시스템
- MITRE ATT&CK Navigator: 통합 분석을 위해 킬체인 단계를 ATT&CK 기술 커버리지와 오버레이
- Elastic Security EQL: Elastic SIEM에서 다단계 공격 시퀀스를 질의하기 위한 이벤트 질의 언어
- Splunk ES: 킬체인 단계 순서를 위한 타임라인 시각화 및 상관 검색
- MISP: 구조화된 사고 이벤트 문서화를 위한 갤럭시 클러스터를 통한 킬체인 태깅
일반적인 함정
- 선형적 가정: 공격자는 항상 선형적으로 진행하지 않습니다. 단계를 건너뛰거나(이전 캠페인에서 무기화가 이미 완료됨) 다시 돌아올 수 있습니다(탐지 후 C2 재구축).
- 1단계와 2단계 무시: 정찰과 무기화는 방어자의 가시성 밖에서 발생합니다. 이 단계에 대한 정보는 외부 소스(OSINT, 위협 인텔리전스)가 필요합니다.
- 내부자 위협 누락: 킬체인은 외부 공격자를 위해 설계되었습니다. 내부자 위협은 이전 단계를 거치지 않고 7단계(목표 달성)로 바로 넘어갈 수 있습니다.
- ATT&CK 전술과 혼동: 7단계 킬체인과 14가지 ATT&CK 전술은 상호 보완적이지만 직접적으로 동등하지 않습니다. 분석적 혼란을 방지하기 위해 구분을 유지하십시오.