사이버 킬 체인으로 보는 지능형 위협의 침투 경로와 방어

공격 흐름을 따라 방어 지점을 찾는 모델

사이버 킬 체인(Cyber Kill Chain)은 록히드 마틴(Lockheed Martin)이 2011년 개발한 사이버 공격 단계 모델이다. 전통적인 군사 작전의 킬 체인 개념을 보안 영역에 옮겨, APT(Advanced Persistent Threat, 지능형 지속 위협)가 목표를 정하고 침투해 목적을 수행하기까지의 흐름을 나눈다.

이 모델의 핵심은 공격을 한 번의 사건으로 보지 않는 데 있다. 각 단계에는 탐지하거나 차단할 수 있는 지점이 있으며, 하나의 통제가 실패해도 다음 방어선에서 공격을 멈출 수 있다.

정찰에서 목표 달성까지 이어지는 공격 과정

정찰 단계에서 노출 정보를 모은다

정찰(Reconnaissance)은 공격자가 목표 시스템의 정보를 수집하는 구간이다. 이메일 주소, 소셜 미디어 계정, 네트워크 구성, 사용 중인 시스템 등이 대상이 될 수 있다. OSINT(Open Source Intelligence), 소셜 엔지니어링, 스캐닝 등이 주요 기법이다.

공개 정보를 줄이고, 직원 교육과 네트워크 모니터링을 강화하는 방식이 이 단계의 대응 수단이 된다.

수집한 정보를 공격 도구로 바꾼다

무기화(Weaponization)에서는 수집한 정보를 바탕으로 악성코드나 공격 도구를 준비한다. 취약점을 분석한 뒤 익스플로잇(Exploit) 코드와 페이로드(Payload)를 결합하며, 악성 매크로가 포함된 문서 파일이나 익스플로잇 킷이 이 단계의 예다.

취약점 패치 관리, 샌드박스 분석, 위협 인텔리전스 활용이 무기화 단계의 대응 방안이다.

악성코드가 목표 환경에 도달하는 경로

전달(Delivery)은 준비된 악성코드를 목표 시스템으로 보내는 단계다. 피싱 이메일, 악성 웹사이트, USB 드라이브, 소셜 엔지니어링이 주요 전달 방식으로 쓰인다. COVID-19 관련 정보를 가장한 피싱 이메일로 악성 첨부파일을 배포한 사례도 있다.

이메일 및 웹 필터링, 사용자 인식 교육, 엔드포인트 보호를 함께 적용해야 전달 경로를 줄일 수 있다.

취약점을 이용해 실행 권한을 얻는다

악용(Exploitation) 단계에서는 전달된 악성코드가 취약점을 이용해 실행된다. 시스템과 애플리케이션의 결함뿐 아니라 사용자의 행동상 취약점도 공격 표면이 된다. 제로데이 취약점 공격, 버퍼 오버플로우, SQL 인젝션이 여기에 해당한다.

패치 관리, 최소 권한 원칙, 취약점 스캐닝, 침입 탐지 시스템은 악용을 막기 위한 통제다.

지속성을 확보하기 위해 내부에 설치한다

설치(Installation)는 공격자가 시스템 안에 백도어나 악성코드를 심어 지속적인 접근을 확보하는 단계다. 루트킷(Rootkit), 트로이 목마, RAT(Remote Access Trojan) 설치가 대표적이다. 재부팅 뒤에도 접근을 유지하고 탐지를 피하는 것이 목적이다.

애플리케이션 화이트리스팅, 엔드포인트 보호, 행위 기반 탐지가 설치 단계에 대응한다.

외부 조종 채널을 만들고 명령을 전달한다

명령 및 제어(Command and Control, C2)는 침투한 시스템과 공격자 사이에 통신 채널을 구축하는 과정이다. 공격자는 이 채널을 통해 악성코드를 원격 제어하고, 데이터를 유출하거나 추가 명령을 전달한다. 도메인 생성 알고리즘(DGA), 암호화된 통신, 합법적 서비스 악용은 고도화된 C2 기법이다.

네트워크 세그먼테이션, 이상 트래픽 탐지, DNS 모니터링으로 C2 통신을 식별하고 제한할 수 있다.

공격자의 최종 목적이 실행된다

목표 달성(Actions on Objectives)은 공격자가 의도한 결과를 수행하는 단계다. 데이터 유출, 시스템 파괴, 랜섬웨어 실행, 내부 이동(Lateral Movement)이 주요 목적에 포함된다. Colonial Pipeline 랜섬웨어 공격으로 주요 인프라가 마비된 사례가 있다.

데이터 암호화와 백업 관리, 침해 대응 계획, 포렌식 분석은 피해 확산을 줄이기 위한 대응 수단이다.

⤢✕

킬 체인을 방어 설계에 연결하는 방법

각 단계에 보안 통제를 배치하면 다층 방어 전략(Defense in Depth)을 구성할 수 있다. 네트워크 방화벽, 엔드포인트 보안, 데이터 암호화, 사용자 교육을 결합하면 한 단계의 방어가 실패해도 이후 단계에서 공격을 차단할 여지가 생긴다.

위협 헌팅은 공격자의 TTP(Tactics, Techniques, and Procedures)를 이해한 상태에서 IOC(Indicators of Compromise)와 이상 징후를 능동적으로 찾는 활동이다. MITRE ATT&CK 프레임워크와 연계하면 위협 모델링의 범위를 넓힐 수 있다.

사이버 위협 인텔리전스(CTI)는 외부 위협 정보와 내부 보안 시스템을 연결한다. 알려진 공격 패턴과 신규 위협 정보를 수집해 잠재적 위협을 사전에 차단하는 방어 체계를 만들 수 있다.

SOAR(Security Orchestration, Automation and Response) 도구는 탐지 이후의 차단과 격리 조치를 자동화하는 데 쓰인다. 대응 시간을 줄이고 인적 오류를 최소화하는 것이 목적이다.

선형 모델만으로 설명하기 어려운 공격

사이버 킬 체인은 외부에서 내부로 침투하는 전통적 공격 모델에 초점을 둔다. 따라서 내부자 위협을 충분히 고려하지 못하며, 선형 구조로는 복잡한 현대 공격 전술을 모두 반영하기 어렵다. 클라우드와 IoT 환경의 공격 방식 반영도 제한적이고, 방어자보다 공격자의 관점에 더 치우쳐 있다.

이 한계를 보완하는 모델이 있다.

• MITRE ATT&CK 프레임워크는 더 포괄적인 전술·기법·절차(TTP)를 매핑하며, 14개 전술 카테고리와 수백 개의 기법을 정의한다. 실제 관찰된 공격자 행동 패턴에 기반한다.
• 유니파이드 킬 체인(Unified Kill Chain)은 사이버 킬 체인과 MITRE ATT&CK을 통합해 18단계의 상세 공격 모델을 제시한다. 내부 이동과 지속성(Persistence)을 강조한다.
• 다이아몬드 모델은 공격자, 인프라, 역량, 피해자의 4가지 요소를 분석한다. 비선형적으로 복잡한 공격을 분석하고 이벤트 간 상관관계를 식별하는 데 유용하다.

산업 환경에 따라 달라지는 적용 지점

금융 산업에서는 온라인 뱅킹 사기를 막기 위해 다단계 인증과 이상 거래 탐지를 적용할 수 있다. 정찰 단계의 피싱 도메인을 모니터링하고 선제적으로 차단하는 방식도 가능하다. 방글라데시 중앙은행 SWIFT 해킹 사건(2016년) 이후 킬 체인 기반 보안이 강화된 사례가 있다.

의료 산업에서는 환자 정보를 보호하기 위한 데이터 흐름 모니터링, 의료기기 보안 강화, 네트워크 분리가 중요하다. WannaCry 랜섬웨어 사태 이후 영국 NHS는 킬 체인 기반 보안 체계를 도입했다.

제조 및 산업 제어 시스템에서는 OT(Operational Technology) 환경에 맞춘 킬 체인 모델이 필요하다. 에어갭(Air-gap) 네트워크를 보호하고 이상 명령을 탐지하는 통제가 중심이 된다. NotPetya 공격 이후 제약회사 Merck가 보안 체계를 재구축한 사례도 있다.

정부 및 공공 기관은 APT 대응을 위해 포괄적인 킬 체인 프레임워크를 구현할 수 있다. 국가 주요 인프라 보호 전략에 이 개념을 통합하고, 한국 정부의 사이버 위협 인텔리전스 플랫폼과 연계하는 방식이 해당한다.

현재 통제 수준을 점검하고 운영 체계로 만든다

도입 시에는 기존 보안 통제를 킬 체인의 각 단계에 매핑해 부족한 영역을 찾는다. 정찰 단계에서 노출된 정보의 수준은 어떤지, 악성코드 전달을 막는 체계가 있는지, 내부 네트워크의 이상 행위를 탐지할 수 있는지를 확인할 수 있다.

단계별 운영 도구도 연결해야 한다.

• 정찰: 디지털 자산 인벤토리, 노출 모니터링 도구
• 전달: 이메일/웹 보안 게이트웨이, 콘텐츠 필터링
• 설치: EDR(Endpoint Detection and Response), 애플리케이션 제어
• C2: 네트워크 트래픽 분석, DNS 모니터링, 방화벽 정책
• 목표 달성: DLP(Data Loss Prevention), UEBA(User and Entity Behavior Analytics)

운영 지표로는 단계별 탐지 성공률, MTTD(Mean Time To Detect), MTTR(Mean Time To Respond)를 추적할 수 있다. 실제 공격 또는 모의 훈련을 통해 방어 효과성을 검증하고, 보안 인시던트 이후의 사후 분석과 위협 인텔리전스 피드 연동으로 방어 전략을 갱신한다.

거버넌스와 보안 통제를 잇는 구조

킬 체인은 기술 통제만을 위한 분류 체계가 아니다. 위험 평가, 보안 정책, 보안 아키텍처를 위협 모델링과 연결해 보안 투자 우선순위와 정책 준수 검증, 보안 솔루션 구현으로 이어지게 할 수 있다.

⤢✕

사이버 킬 체인을 ATT&CK 같은 보완 프레임워크와 함께 활용하면, 공격자 행동의 흐름과 조직의 보안 프로세스·인력 교육·거버넌스를 하나의 방어 체계로 연결할 수 있다.