APT 지능형 지속 위협의 공격 흐름과 방어 체계
APT 지능형 지속 위협의 특성, 공격 흐름, 주요 사례와 다층 방어·위협 인텔리전스·제로 트러스트 기반 대응 체계를 정리한다.
2026-08-15 · 최초 발행 2025-05-27
오래 남아 목표를 추적하는 공격
APT(Advanced Persistent Threat)는 특정 대상을 겨냥해 장기간 지속되는 고도화된 사이버 위협이다. 단발성 침입과 달리 공격자는 내부 거점을 확보한 뒤 목표를 달성할 때까지 접근 경로를 유지하고 확장한다.
이 위협은 최신 해킹 기법과 제로데이 취약점을 활용할 수 있으며, 정보 탈취나 시스템 파괴처럼 분명한 목적을 가진다. 탐지를 피하기 위한 은닉 기법을 사용하고, 국가 지원 해킹 그룹이나 전문 범죄 조직처럼 조직화된 주체가 수행하는 경우도 있다.
공격 대상은 국가 기관, 방위산업체, 핵심 인프라, 금융기관, 첨단기술 기업 등에 집중된다.
침입 이후에도 이어지는 공격 흐름
APT는 초기 접근만으로 끝나지 않는다. 정찰에서 확보한 정보를 바탕으로 침투하고, 권한과 이동 범위를 넓힌 다음 데이터를 유출하면서 지속성을 남긴다.
정찰 단계에서는 조직 구조, 직원 정보, 사용 기술, 취약점 등을 조사하며 OSINT(Open Source Intelligence) 기법도 활용한다. 이후 스피어 피싱, 워터링 홀 공격, 취약점 공격과 사회공학 기법을 결합해 초기 접근을 시도한다.
침투에 성공하면 백도어와 악성코드를 설치하고 C&C(Command and Control) 서버와 통신한다. 암호화 통신은 이 과정의 탐지 회피에 사용될 수 있다. 시스템 취약점, 패스워드 크래킹, 메모리 해킹 등을 통해 관리자 권한을 얻고 제어 범위를 확대한다.
내부 이동에서는 자격 증명 도용이나 패스 더 해시 공격 등을 이용해 다른 시스템으로 이동하며, 핵심 시스템과 데이터의 위치를 파악한다. 목표 데이터를 수집한 뒤 암호화와 압축으로 탐지를 피하고, 분할 전송이나 암호화 전송으로 외부 유출을 시도한다. 접근을 유지하기 위한 백도어도 남는다.
국가 연계 그룹과 알려진 공격 사례
APT28(Fancy Bear)은 러시아 군사정보국(GRU) 연계 추정 그룹으로, 2016년 미국 대선 개입과 여러 국가 정부기관 공격이 주요 공격으로 언급된다. 제로데이 취약점 활용과 맞춤형 악성코드 개발이 특징이다.
APT29(Cozy Bear)은 러시아 대외정보국(SVR) 연계 추정 그룹이다. SolarWinds 공급망 공격(2020)이 주요 공격으로 알려져 있으며, 고도의 은닉 기술과 장기간 이어지는 스파이 활동이 특징이다.
Lazarus Group은 북한 정부 연계 추정 그룹으로, Sony Pictures 해킹(2014)과 방글라데시 중앙은행 해킹(2016)이 주요 공격에 포함된다. 방글라데시 중앙은행 해킹으로 8,100만 달러를 탈취했으며, 금융 기관을 겨냥하고 암호화폐 탈취 활동을 수행하는 특성이 언급된다.
APT41은 중국 정부 연계 추정 그룹이다. 게임사, 의료기관, 통신사 등 여러 산업을 공격했으며, 사이버 스파이 활동과 금전적 이득을 동시에 추구하는 것으로 정리된다.
Operation Aurora (2009)는 중국 연계 해커 그룹이 Google, Adobe 등 30여 개 기업을 대상으로 수행한 공격이다. 인터넷 익스플로러 제로데이 취약점을 이용했으며, 지적재산권과 소스코드 유출, Gmail 계정 해킹으로 이어졌다.
Stuxnet (2010)은 미국, 이스라엘 연계 추정 공격자가 이란 나탄즈 핵시설을 대상으로 수행한 사례다. SCADA 시스템을 공격해 물리적 파괴를 유발했으며, 최초로 물리적 손상을 야기한 사이버 무기로 언급된다.
Sony Pictures 해킹 (2014)은 Lazarus Group(북한)이 악성코드로 시스템에 접근한 뒤 와이퍼 악성코드로 데이터를 파괴한 사례다. 내부 이메일과 영화가 사전 유출됐고 시스템이 마비됐다.
SolarWinds 공급망 공격 (2020)은 APT29(러시아)이 정품 소프트웨어 업데이트에 백도어를 삽입한 공격이다. 미국 정부기관과 포춘 500대 기업 등을 포함해 18,000개 이상 조직에 영향을 주었고, 공급망 보안의 중요성을 부각시켰다.
방어 계층을 연결하는 방법
APT 방어는 경계 장비 하나에 의존하기보다 경계, 네트워크, 엔드포인트, 데이터, 인적 보안, 통합 관제를 함께 구성하는 방식으로 접근한다.
경계 보안에는 차세대 방화벽(NGFW), 웹 애플리케이션 방화벽(WAF), DDoS 방어 시스템, 이메일 보안 게이트웨이가 포함된다. 네트워크 영역에서는 침입 탐지/방지 시스템(IDS/IPS), 네트워크 행위 분석(NBA), 세그먼테이션, 내부 통신 모니터링과 분석, 트래픽 이상 탐지, 제로트러스트 아키텍처를 활용한다.
제로 트러스트 아키텍처는 “신뢰하지 말고 항상 검증”하는 원칙을 적용한다. 세션별·요청별 권한 검증과 마이크로 세그멘테이션으로 접근 범위를 나누고, 지속적인 인증과 권한 검증으로 내부 접근도 신뢰하지 않는다. 다중 인증(MFA), 권한 관리 솔루션(PAM), ID 거버넌스 및 관리(IGA), SSO(Single Sign-On)는 이 접근 통제를 뒷받침하는 수단이 된다.
엔드포인트에서는 차세대 안티바이러스(NGAV), EDR(Endpoint Detection and Response), 애플리케이션 화이트리스팅, 호스트 기반 침입 방지 시스템(HIPS), 패치 관리 자동화, 고급 안티바이러스·안티멀웨어가 통제가 된다. 데이터는 저장 및 전송 시 암호화하고, DLP(Data Loss Prevention), CASB(Cloud Access Security Broker), 접근 제어, 데이터 분류와 라벨링, 중요도 관리로 보호한다.
인적 보안도 별도 계층이다. 정기적인 보안 인식 교육과 사회공학적 공격 대응 훈련, 내부자 위협 관리 프로그램, 권한 관리 및 최소 권한 원칙이 필요하다. SIEM(Security Information and Event Management), SOC(Security Operation Center), 위협 인텔리전스, 지속적인 모니터링과 이상 행위 탐지는 통합 관제의 기반이 된다.
탐지·대응 역량을 운영 체계로 묶기
위협 인텔리전스는 APT 그룹별 TTP(전술, 기법, 절차), IOC(침해 지표), OSINT 정보를 수집하고 분석하는 데 사용된다. 글로벌 위협 정보 공유 커뮤니티 참여도 이 흐름에 포함된다.
행위 기반 탐지, 머신러닝/AI 기반 이상 탐지, 샌드박스 분석, UEBA(User and Entity Behavior Analytics), 디셉션 기술(Deception Technology)은 고급 탐지 기술로 활용할 수 있다. 탐지 이후에는 IR(Incident Response) 계획과 훈련, 디지털 포렌식 역량, 신속한 대응을 위한 자동화, 위협 사냥(Threat Hunting) 체계가 이어져야 한다.
SOAR(Security Orchestration, Automation and Response)는 탐지·분석·대응 워크플로우를 자동화하고 다양한 보안 솔루션을 통합 관리하는 수단이다. 대응 프로세스를 표준화하고 효율화하는 역할도 맡는다.
기술 통제 밖에서 갖춰야 할 조건
APT 대응은 보안 거버넌스에서 시작된다. 최고 정보보안책임자(CISO)를 지정하고, 보안 정책과 프레임워크, 위험 관리 체계, 정기적인 보안 평가와 개선 활동을 마련해야 한다.
전담 보안 인력, CSIRT(Computer Security Incident Response Team), 위협 인텔리전스 분석팀, 취약점 관리 전담팀은 대응 조직의 구성 요소다. 정기적인 취약점 평가, 침투 테스트(Penetration Testing), 레드팀 기반 가상 공격 시뮬레이션, 사후 분석과 교훈 도출은 지속적인 개선 활동으로 이어진다.
산업별 ISAC(Information Sharing and Analysis Center) 참여, 정부 기관과의 협력, 보안 커뮤니티 활동, 위협 정보 공유 플랫폼 활용도 외부 파트너십의 범위에 들어간다.
변화하는 공격 환경에 맞춘 대응
공급망 공격, 파일리스 악성코드, 클라우드 환경을 겨냥한 공격, 인공지능/머신러닝을 활용한 공격의 고도화가 APT 위협의 변화 방향으로 언급된다.
이에 대응해 제로트러스트 아키텍처, AI/ML 기반 방어 체계, 자동화된 위협 대응, 클라우드 네이티브 보안을 강화할 필요가 있다. 국가별 사이버보안 규제, 산업별 보안 표준, 정보보호 인증 체계, 사이버보험도 함께 고려 대상이 된다.
보안 전문가 양성, 위협 헌팅 역량 개발, 위협 인텔리전스 분석 능력 강화, 국제 협력 네트워크 구축은 장기적인 대응 역량과 연결된다. APT에 대한 회복탄력성(Resilience)은 보안 투자, 전문 인력, 프로세스 개선, 최신 기술 도입을 함께 이어갈 때 강화된다.