위협 인텔리전스 피드 분석은(는) 무엇을 하나요?
사용 시기
이 스킬은 다음 상황에 사용합니다:
- 새로운 상업용 또는 OSINT 위협 피드를 도입하고 신호 대 잡음비를 평가할 때
- 이기종 IOC 형식(STIX 2.1, OpenIOC, YARA, Sigma)을 통합 스키마로 정규화할 때
- 피드의 신선도, 정확도 및 조직의 위협 프로필과의 관련성을 평가할 때
- SIEM 이벤트와 IOC를 상관 분석하는 자동화된 보강 파이프라인을 구축할 때
사용하지 말아야 할 경우: CTI 기준선을 먼저 설정하지 않고 원시 패킷 캡처 분석이나 실시간 인시던트 분류에 이 스킬을 사용하지 마십시오.
사전 요구 사항
- ThreatConnect, MISP 또는 OpenCTI와 같은 위협 인텔리전스 플랫폼(TIP)에 대한 접근 권한
- 최소 하나의 상업용 피드(Recorded Future, Mandiant Advantage 또는 VirusTotal Enterprise)에 대한 API 키
- TAXII 2.1 클라이언트 라이브러리(taxii2-client Python 패키지 또는 이에 상응하는 라이브러리)
- TIP의 지표 데이터베이스에 대한 읽기/쓰기 권한이 있는 역할
워크플로우
1단계: 피드 소스 열거 및 우선순위 지정
유형별(상업용, 정부, ISAC, OSINT)로 분류된 모든 사용 가능한 피드를 나열합니다:
- 상업용: Recorded Future, Mandiant Advantage, CrowdStrike Falcon Intelligence
- 정부: CISA AIS(자동 지표 공유), FBI InfraGard, MS-ISAC
- OSINT: AlienVault OTX, Abuse.ch, PhishTank, Emerging Threats
각 피드를 업데이트 빈도, 과거 정확도, 해당 업종에 대한 적용 범위 및 귀속 깊이에 대해 점수를 매깁니다. NIST SP 800-150(사이버 위협 정보 공유 가이드)의 기준을 사용하여 가중 점수 매트릭스를 적용합니다.
2단계: TAXII 2.1 또는 API를 통한 수집
TAXII 지원 피드의 경우:
taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01
REST API 피드(예: Recorded Future)의 경우:
/v2/indicator/search를risk_score_min=65로 쿼리하여 신뢰도가 낮은 IOC를 필터링합니다.- API 탄력성을 위해 속도 제한 및 지수 백오프를 적용합니다.
3단계: STIX 2.1로 정규화
각 IOC를 OASIS 표준 스키마를 사용하여 STIX 2.1 객체로 변환합니다:
- IP 주소 →
indicator객체 (pattern: "[ipv4-addr:value = '...']"사용) - 도메인 →
indicator객체 (pattern: "[domain-name:value = '...']"사용) - 파일 해시 →
indicator객체 (pattern: "[file:hashes.SHA-256 = '...']"사용)
지표를 threat-actor 또는 malware 객체에 연결하는 relationship 객체를 첨부합니다. 소스 정확도 등급을 기반으로 confidence 필드(0–100)를 사용합니다.
4단계: 중복 제거 및 보강
정규화된 값과 유형을 복합 키로 사용하여 기존 TIP 데이터베이스에 대해 중복 제거를 실행합니다. 생존한 IOC를 보강합니다:
- VirusTotal: 탐지 비율, 샌드박스 동작 보고서
- PassiveTotal (RiskIQ): WHOIS 기록, 수동 DNS, SSL 인증서 체인
- Shodan: 배너 데이터, 열린 포트, 지리적 위치
5단계: 소비 시스템에 배포
TAXII 2.1 푸시를 통해 보강된 지표를 SIEM(Splunk, Microsoft Sentinel), 방화벽(Palo Alto XSOAR 플레이북) 및 EDR 플랫폼으로 내보냅니다. 지표 유형별로 TTL(만료 시간)을 설정합니다: IP 주소 30일, 도메인 90일, 파일 해시 1년.
주요 개념
| 용어 | 정의 |
|---|---|
| STIX 2.1 | 구조화된 위협 정보 표현 — 지표, 위협 행위자, 캠페인 및 관계를 포함한 CTI 객체를 위한 OASIS 표준 JSON 스키마 |
| TAXII 2.1 | 신뢰할 수 있는 자동화된 인텔리전스 교환 — 서버와 클라이언트 간에 STIX 콘텐츠를 공유하기 위한 HTTPS 기반 프로토콜 |
| IOC | 침해 지표 — 시스템이 침해되었을 수 있음을 나타내는 관찰 가능한 증거(IP, 도메인, 해시, URL) |
| TLP | 트래픽 라이트 프로토콜 — CTI 공유 제한을 정의하는 색상 코드 분류(RED/AMBER/GREEN/WHITE) |
| 신뢰도 점수 | 지표의 악성 귀속에 대한 생산자의 확신을 반영하는 숫자 값(STIX에서 0–100) |
| 피드 정확도 | 생산 탐지에서 실제 양성 비율로 측정된 피드의 과거 정확도 |
도구 및 시스템
- ThreatConnect TC Exchange: 100개 이상의 상업용 및 OSINT 피드를 집계하고 IOC 보강을 위한 자동화된 플레이북 제공
- MISP (Malware Information Sharing Platform): STIX/TAXII를 지원하는 오픈 소스 TIP; ISAC 및 정부 CERT에서 널리 사용됨
- OpenCTI: 기본 MITRE ATT&CK 통합 및 그래프 기반 관계 시각화를 제공하는 오픈 소스 플랫폼
- Recorded Future: AI 기반 위험 점수 및 실시간 다크 웹 모니터링 기능을 갖춘 상업용 피드
- taxii2-client: TAXII 2.0/2.1 클라이언트 작업을 위한 Python 라이브러리 (pip install taxii2-client)
- PyMISP: MISP 피드 관리 및 IOC 제출을 위한 Python API
일반적인 함정
- IOC 에이징 문제: IP 주소와 도메인은 자주 변경되므로 1년 된 IOC를 적용하면 오탐이 발생합니다. TTL 정책을 적용하십시오.
- 컨텍스트 부족: 관련 캠페인이나 적을 이해하지 않고 IOC를 차단하면 합법적인 비즈니스 트래픽(예: 악성 행위자와 공유되는 CDN IP)을 방해할 수 있습니다.
- 중복 제거 없는 피드 중복: 중복 제거 없이 동일한 IOC를 5개 피드에서 수집하면 지표 수가 증가하고 SIEM 규칙이 복잡해집니다.
- TLP 위반: RED 분류 인텔리전스를 승인된 경계 외부로 재배포하면 공유 계약 및 신뢰 관계를 위반합니다.
- 낮은 신뢰도 지표에 대한 과도한 차단: 신뢰도가 50 미만인 지표는 작업 중단을 방지하기 위해 탐지 전용 규칙을 트리거해야 하며 차단해서는 안 됩니다.