Cyber Kill Chain으로 설계하는 단계별 사이버 방어

공격 사슬을 기준으로 방어 지점을 찾는다

Cyber Kill Chain은 공격을 하나의 프로세스로 보고, 각 구간에서 공격자의 목적과 활동을 분석하는 프레임워크다. 방어자는 공격자가 남기는 흔적과 필요한 자원을 따라가며 사슬의 일부를 끊거나 약화시킬 수 있다.

이 모델은 2011년 록히드 마틴(Lockheed Martin)이 군사 개념인 킬 체인에서 착안해 개발했다. 공격자 관점에서 침해 과정을 나누되, 방어자가 어느 시점에 개입할 수 있는지를 함께 보여주는 데 초점이 있다.

정찰에서 유출까지 이어지는 공격 흐름

정찰 단계에서 노출 정보를 줄인다

공격자는 먼저 표적과 주변 환경을 파악한다. 조직 구조, 임직원 정보, 네트워크 토폴로지, 사용 기술을 조사하고, 이메일 주소·소셜 미디어 프로필·공개 문서를 수집할 수 있다. 포트 스캐닝이나 DNS 조회도 이 과정에 포함된다.

방어 측에서는 웹사이트, 소셜 미디어, 구인공고 등에 불필요한 정보가 드러나지 않게 관리해야 한다. 네트워크 모니터링으로 스캐닝 활동을 탐지하고 디지털 풋프린트(Digital Footprint)를 관리하는 일도 여기에 해당한다.

공격 도구를 만들고 전달 경로를 고른다

무기화 단계에서는 악성코드와 익스플로잇을 개발하거나 취약점을 이용할 도구를 만든다. 공격자는 표적 환경에 맞춰 공격 벡터를 설계한다.

전달 단계에서는 피싱 이메일, 악성 웹사이트, 감염된 USB 등을 통해 공격 도구를 표적에게 보낸다. 워터링 홀(Watering Hole) 공격, 스피어 피싱 같은 표적형 공격과 공급망 침해를 통한 악성코드 배포도 이 흐름에 속한다.

이 구간의 방어 통제로는 이메일 필터링과 스팸 차단, 사용자 보안 인식 교육, 웹 필터링, 네트워크 모니터링, 제로트러스트 아키텍처를 들 수 있다.

취약점을 악용해 지속성을 만든다

악용 단계에서는 취약점이나 사회공학적 기법을 이용해 시스템 접근 권한을 확보한다. 제로데이 취약점이 활용될 수도 있다. 이후 설치 단계에서 공격자는 백도어, RAT(Remote Access Trojan)를 심고, 지속성을 위한 메커니즘을 구성한다. 루트킷과 부트킷 같은 은닉 기술도 사용될 수 있다.

정기적인 패치 관리와 취약점 스캐닝, 애플리케이션 허용 목록(Whitelisting), EDR(Endpoint Detection and Response), 행위 기반 분석 도구는 이 단계의 방어 수단이다.

외부 제어 채널과 내부 활동을 추적한다

명령과 제어(Command & Control, C2) 단계에서 공격자는 침해한 시스템을 원격으로 조작할 통신 채널을 구축한다. HTTP, DNS, ICMP 등 여러 프로토콜을 이용해 통신을 숨기고, 다단계 프록시로 출처를 감추기도 한다.

네트워크 트래픽 분석과 이상 탐지, DNS 필터링과 모니터링, 방화벽 규칙 강화, 세그먼테이션, 허니팟(Honeypot) 운영이 대응 수단이 된다.

공격자는 목표 달성 단계에서 내부 네트워크를 측면 이동(Lateral Movement)하고, 권한 상승(Privilege Escalation)을 시도한다. 이어 데이터를 탐색·수집하고 중요 정보에 접근하거나 이를 손상시킨다. 내부 네트워크 세그먼테이션, 최소 권한 원칙(Principle of Least Privilege), 사용자 행동 분석(UBA), 중요 데이터 암호화와 접근 통제가 이를 제한한다.

유출 경로와 흔적 제거를 함께 감시한다

탈출(Exfiltration) 단계에서는 수집한 데이터를 압축·암호화·분할한 뒤 여러 채널로 반출한다. 로그 삭제 등 흔적 제거도 이어질 수 있다.

DLP(Data Loss Prevention), 이상 트래픽 모니터링 및 차단, 로그 중앙화와 백업, 파일 무결성 모니터링(FIM)은 데이터 유출과 사후 조사 방해를 줄이는 통제다.

공격 단계와 방어 통제를 한 흐름으로 본다

⤢✕

공급망 침해와 장기 침해를 읽는 방식

타겟 데이터 유출 사건

2013년 미국 소매업체 타겟의 대규모 데이터 유출은 공급망을 경유한 공격 흐름으로 분석할 수 있다. 공격자는 타겟의 공급망을 조사해 HVAC 벤더를 식별했고, 피싱 이메일로 해당 벤더에 악성코드를 전달했다. 벤더 시스템에 접근한 뒤 타겟 네트워크로 침투해 원격 접근 통로를 열었다.

이후 POS 시스템으로 측면 이동해 신용카드 데이터를 수집했고, FTP를 통해 4천만 개 이상의 신용카드 정보를 유출했다. 이 사례는 공급망 보안과 네트워크 세그먼테이션이 공격 사슬의 여러 구간에서 차단 지점이 될 수 있음을 보여준다.

소니 픽처스 해킹 사건

2014년 소니 픽처스 엔터테인먼트 해킹 사건에서는 공격자가 네트워크 구조와 임직원 정보를 수집한 뒤, 스피어 피싱 이메일로 맞춤형 악성코드를 전달한 것으로 정리된다. 임직원 PC에 백도어를 설치해 내부망에 접근하고, 장기간 은밀하게 네트워크 내부 접근을 유지했다.

공격자는 기밀 문서, 영화 스크립트, 이메일 등을 수집한 뒤 데이터를 유출하고 시스템 파괴를 위한 악성코드를 실행했다. 사용자 보안 인식 교육과 네트워크 이상 탐지가 공격 사슬을 조기에 포착하는 통제가 될 수 있다.

확장된 분석 모델과 남아 있는 제약

통합 킬 체인(Unified Kill Chain)은 기존 모델을 18단계로 확장해 더 세분화된 분석을 제공한다. MITRE ATT&CK 프레임워크는 전술·기법·절차(TTPs)를 포괄적으로 매핑한 지식 베이스로 활용된다. 다이아몬드 모델은 공격자, 인프라, 역량, 피해자라는 4가지 요소를 중심으로 공격을 분석하는 보완적 접근법이다.

다만 Cyber Kill Chain은 이미 내부에 있는 위협 행위자를 모델링하는 데 제한이 있다. 전통적인 온프레미스 환경을 기준으로 설계됐기 때문에 클라우드 환경을 충분히 고려하지 못하며, 자동화된 공격에는 단계별 방어가 시간적 제약을 받을 수 있다. 표적화된 지속 위협(APT) 외의 공격 유형에 적용하기 어렵다는 점도 한계다.

통제를 겹치고 대응을 순환시킨다

각 킬 체인 단계에는 여러 보안 통제를 배치할 수 있다. 단일 조치의 실패가 전체 시스템 손상으로 이어지지 않도록 네트워크 방화벽, 애플리케이션 방화벽, 엔드포인트 보호, 행위 분석을 함께 구성하는 방식이 다층 방어 전략(Defense-in-Depth)이다.

위협 인텔리전스는 내·외부 소스를 활용해 알려진 공격자 TTPs를 수집하고 분석하는 데 쓰인다. STIX/TAXII 같은 표준은 위협 정보 공유를 자동화하는 수단이 된다. SOAR(Security Orchestration, Automation and Response) 플랫폼과 인공지능·머신러닝 기반 분석은 보안 조치의 자동화와 숨겨진 패턴 탐지에 활용할 수 있다.

⤢✕

Cyber Kill Chain은 단일 도구를 대신하는 모델이 아니라, 공격의 어느 고리를 관찰하고 차단할지 정하는 분석 틀이다. MITRE ATT&CK, 다이아몬드 모델, 위협 인텔리전스, 자동화를 결합하면 클라우드 환경과 내부자 위협, 변화하는 공격 기법에 대응하는 방어 체계를 보완할 수 있다.