측면 이동은 공격자가 감염된 네트워크 내에서 더 깊이 이동하기 위해 사용하는 프로세스로, 추가 시스템을 제어하거나 민감한 데이터 및 취약점에 액세스합니다.
목차
공격자는 민감한 데이터 또는 중요한 시스템을 즉시 표적으로 삼는 대신 시간을 들여 네트워크를 탐색하고 권한을 확대하며 고가치 대상을 식별하고 네트워크 내에서 지속성을 구축합니다. 이러한 계산된 접근 방식은 지능형 지속적 위협(APT) 및 기타 정교한 사이버 공격에서 일반적입니다.
침해가 발견되더라도 공격자는 탐지를 피하기 위해 네트워크 내에서 내부로 이동하기 위해 존재감을 유지할 수 있습니다. 공격자가 네트워크 내에서 지속성을 확립하고 탐지를 피하는 경우 랜섬웨어 공격, 데이터 유출 또는 스파이 활동을 통해 조직에 심각한 피해를 입힐 수 있습니다.
측면 이동 단계
측면 이동 공격은 단일 단계 프로세스가 아니며 네트워크에 침투하고 네트워크를 악용하기 위해 다단계 프로세스에서 신중하게 실행됩니다. 다음은 일반적인 측면 이동 단계를 설명합니다.
정찰
정찰 단계에서 공격자는 네트워크 아키텍처를 매핑하고, 연결된 장치를 식별하고, 중요한 표적을 검색하는 것으로 시작합니다. 공격자는 민감한 데이터, 자격 증명 및 보안 구성의 위치를 포함하여 네트워크를 탐색하고 매핑합니다. 이는 공격자가 시스템 간의 관계를 이해하고 보안 위협으로부터 탐지되지 않도록 다음 단계를 계획하는 데 도움이 되기 때문에 중요한 단계입니다.
자격 증명 수집
정찰이 완료되면 공격자는 종종 침해된 시스템에서 사용자 이름, 암호 또는 암호 해시와 같은 자격 증명을 수집하는 데 중점을 둡니다. Mimikatz와 같은 자격 증명 덤핑 도구 또는 약한 암호에 대한 무차별 공격은 더 높은 권한을 가진 계정에 대한 액세스를 얻는 데 사용되는 일반적인 방법입니다. 이러한 훔친 자격 증명을 통해 공격자는 합법적인 사용자를 사칭하여 의심을 제기하지 않고 네트워크를 통해 내부로 이동할 수 있습니다.
권한 에스컬레이션
권한 에스컬레이션은 소프트웨어 취약점, 잘못된 구성 또는 잘못된 액세스 제어를 악용하여 더 높은 수준의 권한을 얻는 것을 포함합니다. 공격자는 애플리케이션의 결함을 악용하여 중요한 시스템에 대한 무제한 액세스 권한을 얻을 수 있습니다. 권한 에스컬레이션은 공격자가 네트워크로 더 깊이 이동할 수 있는 능력을 크게 증가시키기 때문에 내부 이동 공격의 핵심 단계입니다.
측면 이동
공격자가 충분한 자격 증명과 권한을 가지면 내부 이동으로 진행할 수 있습니다. 여기에는 네트워크 내에서 한 시스템에서 다른 시스템으로 이동하고 리소스에 액세스하며 공격의 최종 단계를 준비하고 보안 팀이 공격을 차단할 수 있는 대응책을 찾는 작업이 포함됩니다. 공격자는 RDP(원격 데스크톱 프로토콜), PowerShell 또는 WMI(Windows Management Instrumentation)와 같은 합법적인 도구를 사용하여 정상적인 운영과 혼합하고 탐지를 피할 수 있습니다. 공격자는 또한 백도어를 설치하거나 초기 진입 지점이 발견되고 닫히더라도 네트워크에 대한 액세스를 유지하기 위한 지속성 메커니즘을 설정할 수 있습니다.
액세스 및 실행 대상
내부로 이동한 후 공격자는 민감한 데이터, 지적 재산 또는 중요한 인프라를 수용할 수 있는 표적 시스템에 도달합니다. 또한 공격은 랜섬웨어와 같은 악성 소프트웨어를 실행하여 파일을 암호화하거나 민감한 데이터를 유출하거나 시스템을 비활성화하여 운영 중단을 야기할 수 있습니다. 이 단계는 종종 측면 이동 프로세스의 정점입니다. 공격자가 탐지 없이 네트워크에 대한 액세스를 오래 유지할수록 더 광범위한 피해를 입힐 수 있습니다.
어떤 유형의 공격이 측면 이동을 사용합니까?
랜섬웨어 공격
측면 이동은 랜섬웨어 캠페인의 핵심 구성 요소입니다. 공격자는 시스템 간에 이동하여 멀웨어를 확산시켜 파일을 암호화하고 결제를 요구하기 전에 그 영향을 극대화합니다. 이 전략은 전체 조직이 마비될 수 있으므로 몸값을 지불할 가능성을 높입니다.
데이터 유출
공격자는 종종 민감한 정보를 찾고 추출하기 위해 내부 이동에 의존합니다. 네트워크의 여러 부분에 침투함으로써 지적 재산, 재무 기록 또는 개인 식별 정보(PII)와 같은 중요한 데이터를 식별할 수 있습니다. 성공적인 데이터 유출은 조직에 심각한 평판 및 재정적 피해를 초래할 수 있습니다.
스파이 및 지능형 지속적 위협(APT)
국가 후원 공격자와 정교한 해킹 그룹은 장기간에 걸쳐 고부가가치 시스템에 침투하기 위해 내부 이동을 사용합니다. 이러한 공격자는 탐지 없이 인텔리전스를 수집하고 중요한 인프라를 손상시켜 네트워크 내에서 지속적인 존재감을 유지하는 것을 목표로 합니다.
봇넷 감염
봇넷 캠페인에서 내부 이동을 통해 공격자는 네트워크 내의 추가 장치를 손상시킬 수 있습니다. 여러 엔드포인트를 감염시킴으로써 공격자는 봇넷을 확장하고 공격 규모를 늘릴 수 있습니다. 여기에는 분산 서비스 거부(DDoS) 공격 또는 대규모 스팸 캠페인이 포함될 수 있습니다.
측면 움직임을 감지하는 방법
인증 로그 모니터링
인증 로그는 내부 이동을 감지하는 데 중요한 정보 소스입니다. 반복된 로그인 실패, 비정상적인 위치에서의 성공적인 로그인 또는 홀수 시간 동안의 예상치 못한 액세스와 같은 징후는 악성 활동을 나타낼 수 있습니다. 이러한 로그를 정기적으로 검토하면 무단 액세스 시도를 식별하는 데 도움이 됩니다.
EDR 및 XDR 솔루션 사용
엔드포인트 탐지 및 대응(EDR) 도구는 승인되지 않은 관리 명령과 같은 의심스러운 활동에 대해 개별 장치를 모니터링합니다. 그러나 EDR만으로는 특히 공격자가 회피 전술을 사용하거나 보호를 비활성화할 때 내부 이동을 완전히 탐지하지 못할 수 있습니다. 확장된 탐지 및 대응(XDR)은 엔드포인트, 네트워크, 서버 및 클라우드 환경 전반에 걸쳐 데이터를 통합하여 이를 해결합니다. XDR은 이러한 계층에 걸쳐 활동을 상호 연관시킴으로써 가시성을 향상시키고 EDR을 우회할 수 있는 위협을 탐지하여 내부 이동을 식별하기 위한 주요 솔루션입니다.
네트워크 트래픽 분석
네트워크 트래픽 분석(NTA) 도구는 네트워크 내에서 불규칙한 데이터 흐름을 식별하는 데 도움이 됩니다. 예를 들어, 관련 없는 시스템 간의 예기치 않은 파일 전송 또는 외부 대상으로의 과도한 데이터 업로드는 내부 이동의 강력한 지표입니다.
행동에 대한 기준 설정
정상적인 활동에 대한 기준을 생성함으로써 조직은 더 쉽게 이상을 식별할 수 있습니다. 예를 들어, PowerShell을 거의 사용하지 않는 시스템에서 PowerShell 사용이 갑자기 급증하면 공격자의 존재를 나타낼 수 있습니다. 기준선 모니터링은 효과적인 상태를 유지하기 위해 일관된 로깅과 분석이 필요합니다.
측면 이동을 방지하는 방법
네트워크 세분화 적용
네트워크를 격리된 세그먼트로 분할하면 공격자가 시스템 간에 자유롭게 이동할 수 있는 능력이 제한됩니다. 예를 들어, 중요한 인프라를 범용 장치에서 분리하면 공격자가 한 세그먼트를 침해하더라도 그 영향이 억제됩니다.
제로 트러스트 아키텍처 채택
제로 트러스트 원칙은 네트워크 내부 또는 외부에서 발생하는지 여부에 관계없이 모든 요청에 대해 엄격한 검증을 요구합니다. 이 접근 방식은 경계 방어에 대한 의존도를 최소화하고 세분화된 액세스 제어를 시행합니다.
다중 인증(MFA) 구현
MFA는 사용자 인증에 추가 보안 계층을 추가하여 공격자가 훔친 자격 증명을 오용하는 것을 더 어렵게 만듭니다. 여러 가지 요인을 통해 사용자의 신원을 확인하도록 요구함으로써 조직은 자격 증명 도난의 효과를 줄입니다.
정기적으로 시스템 업데이트 및 패치 적용
패치되지 않은 취약점은 공격자에게 쉬운 진입점을 제공합니다. 일관된 패치 일정을 유지하면 알려진 익스플로잇으로부터 시스템을 보호하여 내부 이동의 위험을 줄일 수 있습니다.
권한 제한
최소 권한 원칙을 적용하면 역할에 필요한 것만 사용자 액세스가 제한됩니다. 이는 공격자가 계정을 손상시키는 경우 권한을 에스컬레이션하거나 민감한 데이터에 액세스할 수 있는 능력을 제한합니다.
직원 교육 실시
강력한 암호로 무단 액세스 방지
강력하고 고유한 암호는 네트워크 내에서 무단 액세스를 방지하는 데 매우 중요합니다. 약하거나 재사용된 암호는 공격자가 권한을 에스컬레이션하거나 시스템 간에 이동하기 위한 일반적인 표적입니다. 복잡한 암호 정책을 적용하고, 다중 인증(MFA)을 구현하고, 정기적으로 자격 증명을 순환하면 이러한 위험을 줄일 수 있습니다. 암호 관리자를 사용하도록 권장하면 암호가 안전하고 고유한지 확인하는 데 도움이 됩니다. 또한 최소 권한 원칙을 적용하면 사용자가 필요한 리소스에만 액세스할 수 있으므로 무단 액세스가 더욱 제한됩니다.
내부 이동 공격에 도움이 될 수 있는 보안 솔루션은 무엇입니까?
보안 팀은 단순한 가시성 이상의 것을 필요로 합니다. 내부 이동 공격으로부터 조직을 보호하기 위해 명확성, 우선순위 지정 및 빠르고 조정된 조치가 필요합니다. Trend Vision One™ Security Operations(SecOps)는 수상 경력에 빛나는 XDR, 에이전트 SIEM 및 에이전트 보안 오케스트레이션, 자동화 및 대응(SOAR)을 통합하여 팀이 가장 중요한 것에 집중할 수 있도록 지원합니다.
이조
제품 관리 부사장
Joe Lee 는 트렌드마이크로의 제품 관리 부사장으로 엔터프라이즈 이메일 및 네트워크 보안 솔루션에 대한 글로벌 전략 및 제품 개발을 이끌고 있습니다.