사이버 공격 유형 정리 :: 전략/캠페인형 (제로데이, 공급망 공격, 내부자 위협, APT)
제로데이 공격(Zero-day Attack)
정의
소프트웨어 제조사도 아직 모르거나, 알고 있어도 아직 패치를 내놓지 못한 취약점을 이용한 공격
“패치까지 남은 날이 0일”이라는 의미에서 이름이 유래
위험한 이유
방어 측이 대응할 시간적 여유가 전혀 없음. 기존 시그니처 기반 탐지 도구로는 알려지지 않은 공격이라 탐지가 어려움
국가 배후 해킹 그룹이나 고가에 거래되는 취약점 시장에서 주로 다뤄짐
방어 방법
시그니처 기반 탐지의 한계를 보완하는 행위 기반 탐지(EDR 등) 도입
가상 패치(WAF 룰로 임시 차단)로 정식 패치 전까지 위험 완화
네트워크 세분화로 침투 성공 시에도 피해 범위 최소화
공급망 공격(Supply Chain Attack)
정의
목표 조직을 직접 공격하는 대신, 그 조직이 사용하는 소프트웨어나 서비스, 협력업체를 먼저 침투해서 우회적으로 목표에 도달하는 공격
동작 방식
널리 쓰이는 라이브러리, 업데이트 서버, 관리 도구 등에 악성 코드를 심어두면, 그걸 사용하는 모든 조직이 동시에 영향을 받음
하나만 뚫으면 그 소프트웨어를 쓰는 수많은 하위 조직까지 한 번에 침투 가능하다는 점에서 파급력이 매우 큼
방어 방법
소프트웨어 구성 요소 목록(SBOM) 관리로 사용 중인 라이브러리 파악
신뢰할 수 있는 출처의 소프트웨어만 사용, 정기적인 무결성 검증(해시 비교)
협력업체 대상 보안 요구사항 계약에 포함
내부자 위협(Insider Threat)
정의
조직 내부의 직원, 전직 직원, 협력사 등이 고의 또는 실수로 정보를 유출하거나 시스템에 피해를 입히는 위협
유형
악의적 내부자: 불만, 금전적 이익 등을 이유로 고의로 정보 유출이나 시스템 파괴
과실형 내부자: 실수로 민감정보를 잘못 전송하거나, 피싱에 속아 정보 유출 경로 제공
방어 방법
최소 권한 원칙으로 접근 가능한 정보 범위 최소화
퇴사자 계정 즉시 비활성화 절차
DLP(Data Loss Prevention)로 민감정보 유출 시도 탐지
사용자 행동 분석(UEBA)으로 평소와 다른 이상 접근 패턴 탐지
APT(Advanced Persistent Threat)
정의
단일 공격 기법이 아니라, 장기간에 걸쳐 은밀하게 침투해서 정보를 지속적으로 빼가는 공격 캠페인 전체를 지칭
Advanced(정교함), Persistent(지속성), Threat(위협)라는 이름 그대로, 한 번의 침입이 아니라 오랜 기간 발각되지 않고 활동하는 게 핵심 특징
전형적인 진행 단계
정찰: 목표 조직의 정보 수집
초기 침투: 스피어 피싱, 취약점 악용 등으로 최초 접근
거점 확보 및 권한 상승: 백도어 설치, 관리자 권한 획득
내부 정찰 및 이동(래터럴 무브먼트): 내부망을 돌아다니며 원하는 자산 탐색
목표 달성: 정보 탈취, 장기간 잠복하며 지속적으로 정보 유출
특징
국가 배후 해킹 그룹이 벌이는 경우가 많고, 목표가 금전보다 정보(기밀, 산업기술, 안보정보 등)인 경우가 흔함
MITRE ATT&CK 프레임워크가 이런 APT의 행동 패턴을 체계적으로 분류하기 위해 만들어진 배경과도 연결됨
방어 방법
장기적인 로그 보관과 SIEM 기반 이상 패턴 분석
네트워크 세분화로 침투 후 이동 범위 제한
침해사고 대응 체계를 평소에 갖춰서 장기 잠복 상태도 탐지할 수 있게 준비