TDR(위협 탐지 및 대응)이란?

사이버 위협 및 기타 보안 문제를 해결하기 위해 많은 조직에서는 조직의 사이버 보안 태세를 개선하고 위협에 대한 방지, 탐지, 대응 작업을 수행하기 위한 중앙 집중식 직무 또는 팀인 SOC(보안 운영 센터)를 둡니다. SOC는 진행 중인 사이버 공격을 모니터링하고 그에 대응하는 것 외에도 새로운 사이버 위협 및 조직 취약성을 식별하기 위한 사전 대응 작업을 수행합니다. 내부에 있거나 외부 위탁 형태로 운영되는 대부분의 SOC 팀은 연중무휴 24시간 운영됩니다.

SOC는 위협 인텔리전스와 시도되었거나 성공했거나 진행 중인 침해를 발견하는 기술을 사용합니다. 사이버 위협이 식별되면 보안 팀은 위협 탐지 및 대응 도구를 사용하여 문제를 제거하거나 완화합니다.

위협 탐지 및 대응에는 일반적으로 다음 단계가 포함됩니다.
 

• 탐지: 엔드포인트, ID, 네트워크, 앱, 클라우드를 모니터링하는 보안 도구는 위험 및 잠재적인 위반을 발견하는 데 도움이 됩니다. 또한 보안 전문가는 탐지를 피하는 정교한 사이버 위협을 파악하기 위해 사이버 위협 헌팅 기술을 사용합니다.
• 조사: 위험이 식별되면 SOC는 AI 및 기타 도구를 사용하여 사이버 위협이 실제 위협인지 확인하고, 어떻게 발생했는지 파악하며, 영향을 받는 회사 자산을 평가합니다.
• 억제: 사이버 공격의 확산을 막기 위해 사이버 보안 팀과 자동화된 도구는 감염된 디바이스, ID, 네트워크를 조직의 나머지 자산에서 격리합니다.
• 박멸: Teams는 환경에서 악의적인 행위자를 완전히 제거하는 것을 목표로 보안 인시던트 근본 원인을 제거합니다. 또한 조직을 유사한 사이버 공격의 위험에 빠뜨릴 수 있는 취약성을 완화합니다.
• 복구: 팀은 사이버 위협이나 취약성이 제거되었다는 것을 합리적으로 확신한 후 격리된 시스템을 다시 온라인 상태로 전환합니다.
• 보고서. 인시던트의 심각도에 따라 보안 팀은 발생한 상황과 해결 방법을 문서로 기록하고 리더, 임원진 및/또는 이사회를 대상으로 브리핑합니다.
• 위험 완화: 유사한 침해가 다시 발생하지 않도록 방지하고 향후 대응을 개선하기 위해 팀은 인시던트를 연구하고 환경과 프로세스에 어떤 변화가 필요한지 파악합니다.

조직이 클라우드 공간을 확장하고, 더 많은 디바이스를 인터넷에 연결하고, 하이브리드 업무 공간으로 전환함에 따라 사이버 위협의 식별이 점점 더 어려워지고 있습니다. 악의적인 행위자는 다음과 같은 유형의 전술을 사용하여 이렇게 확장된 노출 영역과 보안 도구의 단편화를 이용합니다.
 

• 피싱 작전: 악의적인 행위자가 회사에 침투하는 가장 일반적인 방법 중 하나는 직원을 속여 악성 코드를 다운로드하거나 자격 증명을 제공하도록 속이는 이메일을 보내는 것입니다.
• 맬웨어: 많은 사이버 공격자는 컴퓨터와 시스템을 손상시키거나 중요한 정보를 수집하도록 설계된 소프트웨어를 배포합니다.
• 랜섬웨어: 일종의 맬웨어인 랜섬웨어 공격자는 중요한 시스템과 데이터를 인질로 잡고 몸값이 지불될 때까지 개인 데이터를 공개하거나 클라우드 리소스를 훔쳐 비트코인을 채굴하겠다고 위협합니다. 최근 사이버 공격자 집단이 조직의 전체 네트워크에 액세스하는 형태의 인간 조작 랜섬웨어가 보안 팀이 주목하는 문제로 대두되고 있습니다.
• DDoS(분산형 서비스 거부) 공격: 악의적인 행위자는 일련의 봇을 사용하여 트래픽을 폭주시켜 웹 사이트나 서비스를 중단시킵니다.
• 내부자 위협: 모든 사이버 위협이 조직 외부에서 발생하는 것은 아닙니다. 중요한 데이터에 액세스할 수 있는 신뢰할 수 있는 직원이 의도치 않게 또는 악의적으로 조직에 해를 끼칠 위험도 있습니다.
• ID 기반 공격: 대부분의 침해는 사이버 공격자가 사용자 자격 증명을 훔치거나 추측하여 조직의 시스템 및 데이터에 액세스하는 데 사용할 때 발생하는 손상된 ID와 관련됩니다.
• IoT(사물 인터넷) 공격: IoT 디바이스도 사이버 공격에 취약하며, 특히 최신 디바이스와 달리 보안 제어 기능이 내장되어 있지 않은 레거시 디바이스는 더욱 그렇습니다.
• 공급망 공격: 때로는 악의적인 행위자가 타사 공급업체에서 제공하는 소프트웨어나 하드웨어를 변조하여 조직을 표적으로 삼는 경우도 있습니다.
• 코드 삽입: 사이버 범죄자는 원본 코드가 외부 데이터를 처리하는 방식의 취약점을 이용하여 애플리케이션에 악성 코드를 삽입합니다.

위협 탐지
증가하는 사이버 보안 공격에 앞서기 위해 조직은 위협 모델링을 사용하여 보안 요구 사항을 정의하고, 취약성과 위험을 식별하고, 수정 우선 순위를 지정합니다. SOC는 가상 시나리오를 사용하여 사이버 범죄자의 마음속으로 들어가 보안 인시던트를 예방하거나 완화하는 조직의 능력을 향상시키고자 노력합니다. MITRE ATT&CK® 프레임워크는 일반적인 사이버 공격 기법 및 전술을 이해하는 데 유용한 모델입니다.

다중 계층 방어에는 환경에 대한 지속적인 실시간 모니터링을 제공하고 잠재적인 보안 문제를 발견하는 도구가 필요합니다. 또한 한 탐지 방법이 손상되면 두 번째 탐지 방법이 문제를 탐지하고 보안 팀에 알릴 수 있도록 솔루션이 중복되어야 합니다. 사이버 위협 탐지 솔루션은 다음과 같은 다양한 방법을 사용하여 위협을 식별합니다.
 

• 서명 기반 탐지: 많은 보안 솔루션은 소프트웨어와 트래픽을 검사하여 특정 유형의 맬웨어와 관련된 고유한 서명을 식별합니다.
• 동작 기반 탐지: 새롭게 등장하는 사이버 위협을 포착하기 위해 보안 솔루션은 사이버 공격에서 흔히 발생하는 활동와 동작도 찾습니다.
• 변칙 기반 검색. AI 및 분석은 팀이 사용자, 디바이스, 소프트웨어의 일반적인 행동을 이해하여 사이버 위협을 나타낼 수 있는 비정상 상황을 식별할 수 있도록 도와줍니다.

소프트웨어도 중요하지만 사이버 위협 탐지에서는 사람도 똑같이 중요한 역할을 합니다. 분석가는 시스템 생성 경고를 분류하고 조사하는 것 외에도 사이버 위협 헌팅 기술을 사용하여 손상 징후를 사전에 찾거나 잠재적인 위협을 암시하는 전술, 기법, 절차를 찾습니다. 이러한 접근 방식은 SOC가 정교하고 탐지하기 어려운 공격을 신속하게 발견하고 막는 데 도움이 됩니다.