사이버 킬 체인은 사이버 범죄자가 공격을 수행하기 위해 자주 취하는 일련의 단계를 의미합니다. 또한 록히드 마틴이 도입한 프레임워크인 사이버 킬 체인은 이러한 시퀀스를 매핑하여 조직이 프로세스에서 사이버 공격을 이해하고 방해할 수 있도록 지원합니다.
목차
사이버 킬 체인 프레임워크
록히드 마틴은 원래 사이버 보안에 대한 군사적 “사망” 사고를 조정하기 위한 방법으로 사이버 사쇄 프레임워크를 개발했습니다. 군사 전략에서 킬 체인은 공격자가 표적을 식별하고 참여시키기 위해 취하는 구조화된 단계와 방어자가 이를 방해할 수 있는 기회를 설명합니다.
마찬가지로 사이버 킬 체인 프레임워크는 공격을 별개의 단계로 세분화하여 방어자들이 개입할 위치와 방법에 대한 명확한 관점을 제공합니다. 보안 팀은 이제 이 모델을 사용하여 위협을 특정 단계에 매핑하여 방어의 우선순위를 지정하고 격차를 발견할 수 있도록 지원합니다.
사이버 킬 체인 단계
사이버 킬 체인 모델은 사이버 공격자가 취할 7가지 단계를 식별합니다.
정찰: 공격자는 오픈 포트 또는 직원 이메일과 같은 표적에 대한 정보를 수집합니다.
무기화: 멀웨어 페이로드를 준비하며, 종종 악성 파일 또는 링크와 익스플로잇을 연관시킵니다.
배송: 일반적으로 피싱 이메일 또는 드라이브 바이 다운로드를 통해 페이로드를 보냅니다.
악용: 악성 코드는 취약점을 악용하여 대상 시스템에서 실행됩니다.
설치: 멀웨어는 백도어 또는 트로이 목마를 설치하여 지속성을 설정합니다.
명령 및 제어(C2): 공격자는 침해된 시스템과 통신하여 명령을 내립니다.
목표에 대한 조치: 데이터 유출, 파일 암호화 또는 서비스 중단과 같은 목표를 달성합니다.
사이버 킬 체인 모델이 공격을 시각화하는 방법
이 모델은 사이버 공격이 단일 이벤트가 아니라 일련의 상호 연결된 단계임을 보여줍니다. 보안팀은 이 체인의 한 단계라도 방해함으로써 공격자가 목표를 달성하지 못하게 하고 침해의 전반적인 영향을 줄일 수 있습니다.
예를 들어, 위협 인텔리전스를 배포하여 정찰 활동을 탐지하거나, 샌드박스를 사용하여 무기화된 멀웨어를 포착하거나, 의심스러운 C2 연결을 위해 네트워크 트래픽을 모니터링할 수 있습니다.
사이버 킬 체인과 MITRE ATT&CK 비교
사이버 킬 체인은 공격에 대한 선형적이고 높은 수준의 뷰를 제공하는 반면 MITRE ATT&CK 프레임워크는 공격자 전술 및 기술에 대한 자세한 매트릭스를 제공합니다. 두 가지를 함께 사용하면 사이버 보안의 탐지,사고 대응 및 지속적인 개선을 강화할 수 있습니다.
통합 사이버 킬 체인 및 기타 모델
통합 사이버 킬 체인은 록히드 마틴 모델을 MITRE ATT&CK 전술과 통합하여 최신 공격, 특히 지능형 지속 위협(APT)의 복잡성을 더 잘 포착합니다. 초기 침해를 넘어 킬 체인을 확장하여 익스플로잇 후 측면 이동 및 자격 증명 도난을 포함시켜 방어자에게 침입을 발견하고 방해할 수 있는 더 완전한 로드맵을 제공합니다.
사이버 킬 체인과 다른 모델 비교: 비교 차트
프레임워크
초점
강점
사이버 킬 체인
의 선형 단계
공격
이해하기 쉽고 공격을 조기에 차단
MITRE ATT&CK
전술 및 기술 매트릭스
매우 상세하며 위협 헌팅 지원
통합 사이버 킬 체인
두 접근 방식을 결합합니다.
APT 라이프사이클을 캡처하고 전체 스펙트럼 방어를 지원합니다.
사이버 킬 체인 프로세스를 방해하는 방법
사이버 공격을 차단하는 것은 킬 체인의 하나 이상의 단계를 식별하고 파괴하는 것입니다. 이 계층화된 접근 방식은 공격자의 성공 가능성을 줄이고 초기 방어를 위반할 경우 피해를 제한합니다.
사이버 킬 체인 전술 및 예방
킬 체인 스테이지
일반적인 공격/전략
일반적인/최상의 예방
악용
소프트웨어 취약점, 자격 증명 공격 악용
엔드포인트 보호(EPP/EDR)를 통해 악성 활동을 탐지하고 차단합니다.
설치
멀웨어는 백도어, 랜섬웨어, 트로이 목마를 설치합니다.
알 수 없거나 의심스러운 설치를 중지하기 위한 애플리케이션 제어 및 샌드박스
실제 사이버 킬 체인 사례
LockBit & BlackCat(ALPHV) 랜섬웨어
2024년에LockBitl은 전달 및 활용 단계에서 QakBot 트로이 목마를 활용하여 액세스 권한을 얻은 다음 Cobalt Strike를 사용하여 명령과 제어를 얻었습니다. 궁극적으로 중요한 시스템을 암호화하여 수백만 달러의 몸값을 요구하고 초기 사이버 킬 체인 단계를 목표로 하는 탐지를 건너뛰는 비용을 입증합니다.
Clop 랜섬웨어
Clopis는 보안 파일 전송 애플리케이션을 활용하여 액세스 권한을 얻는 것으로 유명합니다. 전달 후 데이터 유출(목표에 대한 설치 및 작업)로 빠르게 이동하고 암호화와 공개 데이터 유출을 결합하여 이중 갈취를 수행합니다.
사이버 보안에서 사이버 킬 체인을 사용하는 이점
침해 비용 절감: 조기 탐지는 공격이 증가하기 전에 차단하여 복구 및 법률 비용을 절감하는 것을 의미합니다.
규제 준수 지원: GDPR, NIS2 및 이와 유사한 규정에 따른 사전 조치를 시연하는 데 도움을 줍니다.
SOC 및 IR 준비성 개선: 보안 팀에 위협 탐지 및 사고 대응에 대한 구조화된 접근 방식을 제공합니다. 이 네트워크가제로 트러스트 네트워킹과 어떻게 연결되는지 알아보십시오.
전체 사이버 킬 체인에서 방어 강화
사이버 킬 체인을 이해하면 초기 정찰부터 데이터 유출에 이르기까지 공격의 각 단계를 예측하고 방해하는 데 도움이 됩니다. 그러나 실시간으로 탐지, 대응 및 적응할 수 있는 능력 없이는 전술을 아는 것만으로는 충분하지 않습니다.
Trend Vision One™은 전체 환경에 걸쳐 통합된 가시성, 강력한 분석 및 확장된 탐지 및 대응(XDR)을 제공합니다. 킬 체인의 모든 단계에서 활동을 상호 연관시킴으로써 위협을 조기에 차단하고 체류 시간을 줄이며 중요한 자산을 안전하게 보호할 수 있습니다.
Jon Clay has worked in the cybersecurity space for over 29 years. Jon uses his industry experience to educate and share insights on all Trend Micro externally published threat research and intelligence.