사이버킬체인과 ATT&CK

장기간 잠복하는 APTⓘ는 한 번의 침입이 아니라 여러 단계의 행동입니다. 방어자는 그 순서를 그리는 모델과, 실제 기법을 목록으로 쌓은 지식베이스가 필요합니다. 앞이 사이버킬체인, 뒤가 MITRE ATT&CKⓘ입니다. 경보가 뜨기 전에 가설로 찾는 일이 위협 헌팅이고, 확인된 대응을 자동으로 돌리는 자리가 SOAR입니다.

킬체인과 ATT&CK

Lockheed Martin의 킬체인은 공격을 일곱 칸의 흐름으로 봅니다. 앞 칸을 끊으면 뒤가 실행되지 않는다는 군사적 직관입니다.

ATT&CK는 정찰부터 Impact까지 전술을 더 잘게 나누고, 각 칸에 수백 개 기법을 붙입니다. 내부 이동과 자격 증명 탈취처럼 킬체인이 얇았던 구간이 두꺼워집니다.

둘을 대립시킬 필요는 없습니다. 흐름을 말할 때 킬체인, 규칙을 쓸 때 ATT&CK입니다.

TTPs와 위협 헌팅

IP와 해시는 공격자가 바로 바꿉니다. TTPsⓘ는 목표(전술), 방법(기법), 구현(절차)이라 바꾸려면 도구와 습관을 버려야 합니다. 피라미드에서 위로 갈수록 방어 가치가 큽니다.

위협 헌팅ⓘ은 알려지지 않은 잠복을 사람이 가설로 찾습니다. 가설 → SIEM·EDR 데이터 → 기준선과 편차 → 사건화 또는 가설 수정 → 탐지 규칙 반영. 수동 탐지가 “이미 울린 경보”라면, 헌팅은 “아직 안 울린 행동”입니다. IOCⓘ는 단서이고, TTPs가 사냥감입니다.

SOAR로 닫는 루프

헌팅이 사건을 확인하면 SOAR 플레이북이 격리, IOC 차단, 티켓, 증거 수집을 잡고, 결과를 다시 SIEM 규칙과 ATT&CK 커버리지 맵에 넣습니다.

SSRF·CSRF 토픽이 SOAR·SIEM 도구를 나열한다면, 여기서는 그 도구가 어느 전술을 덮는지를 묻는 쪽입니다. CTEM과 ASM은 노출면을 줄이고, 킬체인·ATT&CK는 남은 면 위의 행동을 분류합니다.

기술사 답안 포인트

관련 용어

• 사이버킬체인ⓘ
• MITRE ATT&CKⓘ
• TTPsⓘ
• 위협 헌팅ⓘ
• IOCⓘ
• APTⓘ