정상 도구를 정상적으로 안 쓰면 그게 흔적이다 — 위협 헌팅은 가설에서 시작한다
정상 도구를 정상적으로 안 쓰면 그게 흔적이다 — 위협 헌팅은 가설에서 시작한다
분류: Security · 네트워크 · 위협헌팅 방법론 [정보성]
덱. 침입탐지는 흔히 “이 파일이 악성인가”를 묻지만, 실제 침해 사고의 상당수는 새 악성코드가 아니라 시스템에 원래 있던 정상 도구로 이뤄집니다. 이 글은 공개된 위협 인텔리전스 보고서 하나를 재구성해, “무엇을 찾을 것인가”라는 가설을 어떻게 세우고 로그 쿼리로 옮기는지 그 방법론만 짚어봅니다. 실제 탐지 규칙이나 쿼리 문법은 원문·공개 시그마룰 저장소를 참고하시고, 여기서는 사고방식만 다룹니다.
리드
시그니처 기반 탐지는 “이 실행파일의 해시가 알려진 악성코드다”를 잡는 데는 강하지만, 공격자가 애초에 시스템에 이미 있는 정상 서명된 도구(예: 원격 관리·네트워크 설정용 명령줄 유틸리티)를 그대로 쓰면 걸러내지 못합니다. 이런 도구는 화이트리스트에 올라 있고 서명도 정상이라, 백신·EDR(엔드포인트 탐지·대응 도구) 입장에선 “위험한 파일”이 아니기 때문입니다. 그래서 등장한 게 위협 헌팅(threat hunting) — 확정된 악성 여부가 아니라 “이 도구가 이런 방식·조합으로 쓰이는 게 이 환경에서 정상인가”라는 가설을 세우고 능동적으로 로그를 뒤지는 접근입니다. 이번에 재구성한 원문은 중국 연계 지능형지속위협(APT) 그룹의 관측된 행동 패턴을 출발점 삼아, 이 가설-검증 사이클을 하나의 절차로 정리한 사례입니다.
01 개념 30초 — 위협 헌팅이란 무엇인가
위협 헌팅은 “이미 뚫렸다고 가정하고, 아직 알람이 울리지 않은 흔적을 능동적으로 찾는” 활동입니다. IOC(침해지표 — 알려진 악성 IP·해시·도메인) 매칭과는 다릅니다. IOC는 “이미 알려진 것”만 잡지만, 위협 헌팅은 “알려지지 않았어도 이 행위 패턴 자체가 비정상”이라는 가설을 세우고, 그 가설을 로그 쿼리로 옮겨 실제로 발생했는지 확인합니다. 가설의 출발점은 대개 공개된 위협 인텔리전스(정부·벤더 어드바이저리, MITRE ATT&CK 같은 공격기법 분류체계)입니다.
02 빈틈 — 화이트리스트된 도구가 만드는 사각지대
이번 원문이 다루는 행위 패턴의 상당수는 LOLBAS(Living Off the Land Binaries and Scripts — 시스템에 원래 설치돼 있는 정상 실행파일·스크립트를 공격에 전용하는 것)에 속합니다. 인증서 관련 작업에 쓰는 도구로 외부 URL에서 파일을 내려받거나, 네트워크 설정 도구로 방화벽을 우회하는 포트 릴레이를 걸거나, 디렉터리 서비스 관리 도구로 도메인 계정 데이터베이스의 사본을 추출하는 식입니다. 이 도구들은 정상적인 시스템 관리 작업에서도 매일 쓰이기 때문에, “이 프로그램이 실행됐다”는 사실 자체는 탐지 신호가 되지 못합니다. 신호는 그 도구가 어떤 인자 조합으로, 어떤 맥락에서 쓰였는가에 있습니다.
03 메커니즘 — 어드바이저리에서 쿼리까지
원문이 보여주는 절차를 개념적으로 재구성하면 이렇습니다.
- 출발점 = 공개된 위협 인텔리전스. 정부기관 합동 어드바이저리나 침해 사고 대응 보고서에서 “이 그룹은 이런 도구를 이렇게 썼다”는 관측 사실을 가져옵니다. 개별 사건 하나가 아니라, 여러 사고에서 반복 관측된 패턴일수록 가설의 신뢰도가 높습니다.
- 기법 분류체계에 매핑. 각 관측 행위를 MITRE ATT&CK(공격 기법을 표준화한 분류체계) 기법 ID에 대응시킵니다. 이렇게 하면 “이 도구 하나”가 아니라 “정찰”, “측면 이동”, “자격증명 탈취” 같은 더 큰 단계 관점에서 방어 공백을 볼 수 있습니다.
- 정상 사용과 구분되는 조건을 찾는다. 도구 이름만으로는 구분이 안 되니, 관측된 명령행 인자 조합·실행 위치·상위 프로세스 같은 맥락 조건을 추립니다. 예를 들어 “이 도구로 도메인 계정 데이터베이스의 새도카피(변경 중에도 읽기 가능한 복사본)를 특정 임시 폴더에 만드는 조합”은 일반 관리 업무에서는 거의 나타나지 않는 조합입니다.
- 여러 로그 소스를 겹쳐 신뢰도를 높인다. 프로세스 실행 로그 하나만으로는 오탐이 많습니다. 여기에 파일 생성·레지스트리 변경·네트워크 연결 로그를 함께 걸어, 같은 가설을 여러 각도에서 확인합니다.
- 탐지 규칙으로 굳힌다. 검증된 가설은 재사용 가능한 탐지 규칙(공개 시그마룰 형식 등)으로 정리해, 다음번엔 수작업 없이 자동으로 걸리게 만듭니다.
개념용 단순화입니다 — 실제 쿼리 문법·필드명은 로그 플랫폼마다 다르며, 이 글에서는 재현 가능한 쿼리를 싣지 않습니다.
04 왜 반복되는가 — 우리 논평
이 방법론이 반복해서 유효한 이유는, 방어 체계 대부분이 “이 파일이 알려진 악성코드인가”라는 질문에 최적화돼 있기 때문입니다. 공격자는 그 질문 자체를 회피할 수 있는 도구 — 이미 서명되고 화이트리스트에 오른 시스템 유틸리티 — 를 씁니다. 이건 저희가 다른 글에서 다룬 “한 계층에서 확인된 상태를 다른 계층에서도 그대로 신뢰하는” 문제와 같은 뿌리입니다. 여기서는 “서명된 정상 파일이다”라는 상태를 “그러니까 이 실행은 안전하다”로 잘못 확장하는 셈입니다. 신뢰는 파일의 신원이 아니라 행위의 맥락에 대해서만 성립해야 합니다.
05 남는 교훈
방어팀이 이 방법론에서 가져갈 것은 개별 쿼리 목록이 아니라 절차 자체입니다 — ① 공개된 위협 인텔리전스로 가설을 세우고 ② 표준 분류체계로 더 큰 그림에 위치시키고 ③ 정상 사용과 구분되는 조합 조건을 찾고 ④ 여러 로그로 교차 확인한 뒤 ⑤ 재사용 가능한 규칙으로 굳힌다. 이 한 틀은 그룹이 바뀌어도, 도구가 바뀌어도 그대로 쓸 수 있습니다 — 그래서 도구가 아니라 방법을 남깁니다.
References / 참고자료
- SIMKRA, “Playbook: Hunting Chinese APT — Chinese APT TTPs and LOLBAS Operations”, Detect FYI — 이 글이 재구성한 원 분석. 여러 공개 어드바이저리·MITRE ATT&CK 매핑을 바탕으로 정리한 헌팅 플레이북 원문. https://detect.fyi/playbook-hunting-chinese-apt-379a6b950492
이 글은 위 원 분석을 우리 관점에서 다시 쓰고 짧은 논평을 더한 정보성 초안입니다. 특정 문장·쿼리·규칙을 그대로 옮기지 않았으며, 실제 탐지 규칙은 원문과 원문이 인용한 공개 시그마룰 저장소를 참고하세요. ⚠️미확인 표시 항목은 발행 전 독립 팩트체크에서 확증·정정되어야 합니다.