위협 헌팅 & 탐지 엔지니어링은(는) 무엇을 하나요?
ACTION REQUIRED（읽은 후 즉시 실행）
NOW: 블루팀/헌팅 권한 및 데이터 소스 범위 확인 (SIEM, EDR 내보내기)NOW: 데이터 조회 전 가설(hypothesis) 명확히 설정, 무분별한 알람 방지NEXT: 도구 및 데이터 접근 방식 결정ACT: 가설 → 쿼리 → 검증 → 규칙화
적용 시나리오
- 위협 헌팅 (가설 기반)
- Sigma / YARA 탐지 엔지니어링
- 알람 튜닝, 오탐 분석
malware-analysis/와의 연계: 샘플 IOC → 본 스킬로 탐지 규칙화digital-forensics/와의 연계: 사건 아티팩트 → 수평적 헌팅
워크플로
1. 가설 설정
예: 공격자가 living-off-the-land 기법으로 횡적 이동
→ 데이터 소스: Sysmon 1/3/10, Windows Security 4624/4648
→ 성공 기준: 비정상 부모 프로세스 또는 드문 계정 로그 소스 발견
2. 쿼리 및 스태킹
□ 기준선: 정상 관리자 활동 시간대 및 호스트
□ 이상: 새 서비스, 인코딩된 PowerShell, 비정상 아웃바운드
□ 연관: 동일 계정 다중 호스트 단기간 로그인
3. 규칙화
# Sigma 골격은 malware-analysis 참조; 본 스킬 강조 사항:
# - 오탐 범위
# - 데이터 소스 필드 매핑
# - 대응 플레이북 링크
4. 검증
□ 원자 테스트 (Atomic Red Team)는 반드시 승인된 실험실에서만 수행
□ 과거 로그 재생하여 재현율 검증
도구 체인
| 도구 | 용도 |
|---|---|
| Sigma CLI / sigmac | 규칙 변환 |
| YARA | 파일/메모리 |
| SIEM (ELK/Splunk 등) | 쿼리 |
| osquery | 엔드포인트 헌팅 |
| Atomic Red Team | 탐지 검증 (실험실) |
참고
references/hunting-loop.md../malware-analysis/references/yara-sigma-rules.md../digital-forensics/
라우팅 컨텍스트
상위: MASTER R27
하위: 침해 확인 → forensics; 악성 샘플 → malware-analysis
MUST NOT: 무단 프로덕션 환경에서 공격 시뮬레이션 실행 금지
작업 완료 자가 점검
- 명확한 가설과 결론이 있는가?
- 규칙에 오탐과 데이터 소스가 명시되었는가?
- 체크리스트 확인 완료?