위협 헌팅은 기존 방어 체계를 회피한 위협을 선제적으로 찾아내는 활동입니다. 단순히 경고를 기다리는 것이 아니라, 공격자가 이미 시스템에 침투하여 증거를 찾고 있다고 가정하고 접근합니다. 헌터는 가설을 세웁니다. 예를 들어, 공격자가 PowerShell을 이용해 횡적 이동을 하고 있을 수도 있고, DNS를 통해 데이터를 유출하고 있을 수도 있습니다. 그런 다음 로그와 엔드포인트 데이터를 조회하여 가설을 확인하거나 반증합니다. 대부분의 위협 헌팅에서는 아무것도 발견되지 않습니다. 하지만 이는 실패가 아니라, 방어 체계가 효과적으로 작동하고 있음을 입증하는 것입니다.

위협 헌팅은 데이터와 기술을 필요로 합니다. 헌터는 엔드포인트 원격 측정 데이터, 네트워크 로그, 인증 이벤트에 접근할 수 있어야 합니다. 정상적인 상황이 어떤 것인지 알아야 비정상적인 상황을 포착할 수 있습니다. 또한 MITRE ATT&CK와 같은 프레임워크를 기반으로 공격자의 기법을 이해해야 합니다. 위협 헌팅은 사고 대응과는 다릅니다. 사고 대응은 이미 확인된 사건에 대한 대응이지만, 위협 헌팅은 아직 확인되지 않은 사건을 탐색하는 것입니다. 자동화된 탐지와 사람의 조사 사이의 간극을 메워줍니다. 효과적인 위협 헌팅은 새로운 탐지 규칙을 만들어냅니다. 아무것도 발견되지 않은 가설조차도 환경에 대한 새로운 정보를 제공합니다. 시간이 지남에 따라 위협 헌팅은 탐지 범위를 넓히고 침투 시간을 단축합니다. 공격자는 방어자가 사후 대응에 그칠 것이라고 생각하지만, 위협 헌팅은 이러한 가정을 무너뜨립니다.

위협 탐지 프로세스

• 위협 정보 또는 공격자 행동을 기반으로 가설을 세우십시오.
• 관련 출처에서 데이터를 수집하세요
• 증거를 찾기 위해 질의하고 분석하세요.
• 이상 현상을 조사하십시오
• 조사 결과를 문서화하고 새로운 탐지 결과를 생성합니다.

위협 탐지는 탐정 업무와 같습니다. 범죄가 실제로 발생하지 않았을 수도 있습니다. 우리의 임무는 범죄가 발생했는지 여부를 증명하는 것입니다.