위협 인텔리전스 플랫폼: IOC 피드, 다크웹 모니터링 및 APT 추적

위협 인텔리전스 플랫폼은 조직에 사이버 위협, 공격 기법, 위협 행위자 및 침해 지표(IOC)에 관한 정보를 제공하여 선제적 위협 탐지와 대응을 가능하게 합니다. Cypher Sentinel의 위협 인텔리전스 기능에는 여러 위협 피드 연동, 조직 관련 위협의 다크웹 모니터링, 지능형 지속 위협(APT) 추적 및 악성코드 인텔리전스 분석이 포함되어 새로운 위협을 신속하게 탐지하고 대응할 수 있습니다.

조직은 국가, 조직화된 사이버 범죄 집단 및 국가 지원 핵티비스트 등 정교한 위협 행위자에 직면합니다. 새로운 공격 기법, 취약점 및 악성코드 변종이 끊임없이 등장하면서 이러한 위협은 빠르게 진화합니다. 효과적인 방어를 위해 조직에는 자신이 구체적으로 직면한 위협의 맥락을 제공하는 실행 가능한 위협 인텔리전스가 필요합니다.

위협 인텔리전스는 공격과 위협 행위자의 원시 데이터를 실행 가능한 통찰로 전환하여 조직이 위협 환경을 이해하고, 방어 투자 우선순위를 정하며, 공격을 조기에 탐지하고, 침해 발생 시 효과적으로 대응하도록 합니다. 조직은 이해하지 못하는 위협을 방어할 수 없으므로 이는 필수적입니다.

위협 인텔리전스란 무엇인가요?

위협 인텔리전스는 조직이 위협을 이해하고 효과적인 방어를 구현할 수 있도록 하는 사이버 위협, 공격 기법, 위협 행위자 및 침해 지표에 관한 정보입니다. 위협 인텔리전스에는 전술적 정보(특정 악성코드 시그니처, IOC, 공격 도구), 운영적 정보(공격 캠페인, 집단이 사용하는 TTP), 전략적 정보(위협 행위자의 동기, 역량 및 표적)가 포함됩니다.

효과적인 위협 인텔리전스는 실행 가능하고(의사결정을 지원), 관련성이 높으며(조직의 위협에 집중), 시의적절하고(위협이 현실화되기 전에 이용 가능), 정확해야 합니다(신뢰할 수 있는 정보원에 기반). 위협 인텔리전스를 통해 조직은 사후 대응 태세(공격 발생 시 대응)에서 선제적 태세(위협을 이해하고 공격 전에 방어 구현)로 전환할 수 있습니다.

• 전술적 인텔리전스 — 알려진 위협의 탐지를 가능하게 하는 구체적인 IOC 및 악성코드 시그니처.
• 운영적 인텔리전스 — 공격 캠페인, 전술 및 특정 위협 행위자에 관한 정보.
• 전략적 인텔리전스 — 위협 환경, 위협 행위자의 역량 및 사이버 위협에 영향을 미치는 지정학적 요인에 대한 이해.

침해 지표(IOC)와 탐지

침해 지표(IOC)는 시스템이 침해되었거나 공격받고 있음을 나타내는 흔적입니다. IOC에는 공격자가 사용하는 IP 주소, 악성 도메인 이름, 악성코드 파일 해시, 피싱 캠페인에 사용되는 이메일 주소 및 침해를 나타내는 행동 패턴이 포함됩니다.

보안 연구자, 정부 기관, 위협 인텔리전스 공급업체 등 다양한 정보원에서 IOC를 수집하면 조직은 시스템이 악성 IP 주소와 통신했는지, 악성 파일을 다운로드했는지 또는 악성 도메인을 방문했는지 확인하여 침해된 시스템을 탐지할 수 있습니다. IOC 피드는 새로운 지표가 발견될 때마다 지속적으로 업데이트되어 조직이 거의 실시간으로 위협을 탐지하도록 합니다.

Cypher Sentinel은 여러 IOC 피드와 통합되며 조직이 자체 위협 헌팅과 사고 조사에 기반한 맞춤형 IOC를 추가할 수 있도록 합니다. 시스템이 IOC와 일치하면 Cypher Sentinel이 자동으로 경고하여 신속한 사고 대응을 지원합니다.

다크웹 모니터링 및 데이터 침해 탐지

다크웹에는 위협 행위자가 도난 데이터, 악성코드 및 해킹 서비스를 사고파는 시장과 포럼이 있습니다. 다크웹 모니터링은 도난 자격 증명, 침해로 유출된 민감한 데이터 및 계획된 공격에 대한 논의 등 조직과 관련된 위협을 찾기 위해 이러한 시장과 포럼을 지속적으로 모니터링하는 것입니다.

다크웹 모니터링을 통해 조직은 도난 데이터가 광범위하게 악용되기 전에 데이터 침해를 조기에 탐지하고, 공격자가 시스템 침해에 사용하기 전에 유출된 자격 증명을 식별하며, 악용 중인 취약점을 파악하고, 조직을 겨냥한 계획된 공격에 대한 조기 경고를 받을 수 있습니다.

예를 들어 조직 직원의 자격 증명이 다크웹에서 판매되면 다크웹 모니터링이 조직에 알려 공격자가 계정 탈취에 사용하기 전에 비밀번호 재설정을 강제할 수 있습니다. 마찬가지로 조직의 민감한 데이터가 다크웹 시장에 나타나면 모니터링으로 이를 탐지하여 규제 요구 사항에 따라 영향을 받은 고객에게 통지할 수 있습니다.

지능형 지속 위협(APT) 추적 및 배후 식별

지능형 지속 위협(APT)은 특정 표적을 상대로 장기간의 캠페인을 수행하는 정교하고 자원이 풍부한 위협 행위자(일반적으로 국가)입니다. APT는 제로데이 취약점 악용, 맞춤형 악성코드 및 전략적 계획을 포함한 고급 기법을 사용하며, 장기 목표를 달성하기 위해 대상 네트워크에 장기간 머무릅니다.

APT 추적에는 위협 행위자 활동 모니터링, 공격을 특정 APT와 연결하는 배후 분석, 전술과 기법 분석 및 표적과 목표 식별이 포함됩니다. 조직은 자신의 부문을 노리는 APT 집단을 이해함으로써 특정 공격 패턴에 대한 방어를 구현하고 위험이 가장 높은 위협에 자원을 우선 배분할 수 있습니다.

APT 추적에는 APT29, Lazarus 등의 이름, 출처, 표적, 사용하는 도구 및 전술과 기법을 포함한 알려진 APT 집단의 위협 인텔리전스 유지가 포함됩니다. 이를 통해 조직은 알려진 APT의 공격을 받고 있음을 인식하고 적절한 대응 절차를 구현할 수 있습니다.

위협 피드 연동 및 자동화

최신 위협 인텔리전스 플랫폼은 상용 위협 인텔리전스 제공자, 정부 기관, 보안 연구 기관 및 동료 조직 등 다양한 정보원의 여러 위협 피드와 통합됩니다. 이를 통해 인터넷 전반의 위협을 종합적으로 다룹니다.

위협 피드 연동은 피드의 IOC를 조직 시스템과 자동 대조하고, 조직의 위협 프로필과 일치하는 위협의 우선순위를 자동 지정하며, 위협 피드 기반 탐지로 자동 대응 워크플로를 시작하는 자동화를 지원합니다. 이 자동화는 수동 프로세스에 비해 위협 탐지와 대응을 크게 가속합니다.

Cypher Sentinel은 여러 상용 및 공개 위협 피드와 통합되며 조직이 자체 위협 환경에 맞는 맞춤형 피드를 추가할 수 있도록 합니다. 위협 피드는 새로운 위협이 발견됨에 따라 지속적으로 업데이트되고, Cypher Sentinel은 최신 인텔리전스를 지속적인 모니터링과 분석에 적용합니다.

악성코드 분석 및 인텔리전스

악성코드 분석은 악성코드 샘플을 자세히 조사하여 기능, 역량 및 의도를 이해하는 것입니다. 악성코드 인텔리전스는 새로운 악성코드 변종이 광범위하게 확산되기 전 탐지, 악성코드 계열과 진화에 대한 이해 및 특정 위협 행위자에 대한 배후 식별을 가능하게 합니다.

고급 악성코드 분석에는 정적 분석(실행하지 않고 악성코드 코드 검토), 동적 분석(통제된 환경에서 악성코드를 실행하여 행동 관찰) 및 행동 분석(런타임에 악성코드가 하는 일 이해)이 포함됩니다. 이 분석으로 악성코드 탐지를 가능하게 하는 IOC와 행동 시그니처를 추출할 수 있습니다.

Cypher Sentinel은 악성코드 분석 서비스와 통합되고 알려진 계열에 관한 악성코드 인텔리전스를 유지하여 악성코드를 신속하게 식별하고 탐지 시그니처를 추출할 수 있도록 합니다.

위협 연구 및 새로운 위협

선제적 위협 연구는 새로운 위협을 적극적으로 탐색하고, 새로운 공격 기법을 분석하며, 위협 행위자의 진화를 이해하는 활동입니다. 보안 연구 기관과 위협 인텔리전스 기업은 새로운 위협이 조직에 영향을 미치기 전에 식별하기 위해 지속적으로 연구합니다.

위협 연구 결과는 위협 보고서, 블로그 및 연구 논문으로 게시되어 조직이 새로운 위협을 파악할 수 있도록 합니다. 위협 인텔리전스 서비스를 구독하는 조직은 자신의 부문과 조직에 대한 위협에 초점을 맞춰 선별된 위협 인텔리전스를 받습니다.

Cypher Sentinel은 위협 연구와 새로운 위협 정보에 대한 접근을 제공하여 보안팀이 진화하는 위협을 파악하고 그에 맞춰 방어를 조정하도록 합니다.