APT

APT는 일반적인 해킹과는 목적, 지속성, 자원, 정교함, 대상 측면에서 뚜렷한 차이를 보인다. 일반적인 해킹은 주로 금전적 이득을 목표로 하며, 자동화된 도구를 사용해 취약점을 가진 다수의 시스템을 무차별적으로 공격하는 경우가 많다. 이러한 공격은 비교적 단기간에 이루어지고, 목표가 달성되면 공격 활동이 종료되는 특징을 가진다.

반면, APT 공격은 특정 조직이나 국가를 장기간에 걸쳐 표적으로 삼는다. 공격의 궁극적 목표는 기밀 정보 탈취, 산업 스파이 활동, 또는 중요한 인프라에 대한 잠복과 제어이다. 이를 위해 공격자는 상당한 시간과 자금, 고도의 기술력을 투자하여 표적에 대한 철저한 정찰을 수행한다.

결론적으로, 일반 해킹이 '돈을 빨리 벌기 위한 범죄'에 가깝다면, APT는 '특정 목표를 위해 치밀하게 계획된 첩보 활동'에 비유될 수 있다. APT의 가장 큰 특징은 공격이 발견되고 차단되더라도 새로운 방법으로 지속적으로 재침투를 시도하는 끈질긴 지속성에 있다.

APT 공격의 주요 목표는 일반적으로 국가적, 경제적, 군사적 가치가 높은 기관과 조직이다. 공격의 궁극적 목적에 따라 목표가 세분화되며, 대부분 장기간에 걸쳐 기밀 정보를 수집하거나 핵심 시스템을 마비시키는 것을 목표로 한다.

특히, 국가 지원을 받는 APT 그룹은 상대국의 핵심 국가 기반 시설을 장기간 감시하며, 실제 분쟁 상황에서 이를 표적으로 삼는 경우가 많다. 또한, 경제적 이익을 추구하는 그룹은 기술 개발에 막대한 투자가 이루어지는 산업 분야의 연구 데이터를 노린다. 이러한 표적 공격은 단순한 금전적 이득보다 전략적 가치가 훨씬 크기 때문에, 탐지와 대응이 매우 어려운 특징을 가진다.

정찰 및 정보 수집 단계는 APT 공격 수명주기의 첫 번째이자 가장 중요한 단계이다. 이 단계에서 공격자는 표적 조직에 대한 상세한 정보를 수집하여 맞춤형 공격 전략을 수립한다. 공격 성공률을 높이기 위해 표적의 기술적 인프라, 조직 구조, 핵심 인물, 보안 체계 등 다양한 정보를 광범위하게 조사한다.

주요 정보 수집 대상은 다음과 같다.

정보 수집은 주로 공개 출처를 이용한 정보 수집(OSINT) 방식으로 이루어진다. 공격자는 소셜 미디어, 기업 웹사이트, 기술 포럼, 작업 게시판, 공개된 연구 논문, 깃허브 등의 코드 저장소에서 유용한 정보를 찾아낸다. 예를 들어, 직원이 소셜 미디어에 올린 회사 배지 사진이나 기술 블로그에 게시한 시스템 로그 샘플은 의도치 않게 중요한 정보를 노출할 수 있다. 이러한 정보를 바탕으로 공격자는 가장 효과적인 초기 침투 경로(예: 특정 인물을 대상으로 한 스피어 피싱 이메일, 공격에 활용할 특정 소프트웨어 취약점)를 결정한다. 이 단계의 정교함과 철저함이 이후 공격 단계의 성패를 좌우하는 핵심 요소가 된다.

초기 침투 단계는 공격자가 표적 조직의 내부 네트워크에 최초로 발판을 마련하는 단계이다. 이 단계의 성공 여부는 전체 공격의 성패를 좌우하므로, 공격자는 신중하게 수단을 선택한다. 가장 흔한 초기 침투 벡터는 사회공학적 기법을 이용한 피싱 또는 스피어 피싱 이메일이다. 이메일에 첨부된 악성 문서나 악성 링크를 통해 악성코드가 실행되면, 공격자는 첫 번째 침투 지점을 확보하게 된다.

다른 주요 수단으로는 제로데이 취약점을 활용한 공격이 있다. 공격자는 표적 시스템에서 아직 패치되지 않은 알려지지 않은 취약점을 이용하여 원격 코드 실행 등을 수행한다. 또한, 합법적인 소프트웨어 업데이트 서버를 장악하거나, 타사 공급망을 공격하여 신뢰받는 소프트웨어 배포 채널을 통해 악성코드를 유포하는 공급망 공격도 빈번히 사용된다.

초기 침투에 성공하면, 공격자는 일반적으로 외부 C&C 서버와 통신할 수 있는 작은 백도어나 다운로더를 설치한다. 이는 주로 메모리 상에서만 실행되는 파일 없는(Fileless Malware) 형태를 띠어 탐지를 회피하려는 시도가 많다. 이 단계에서 설치된 초기 페이로드는 복잡한 기능보다는 추가적인 악성 모듈을 다운로드하거나, 공격자에게 내부 시스템에 대한 초기 접근 권한을 제공하는 데 중점을 둔다.

초기 침투에 성공한 공격자는 제한된 권한을 가진 계정이나 시스템에 접근한 상태입니다. 이 단계의 목표는 네트워크 내에서 더 높은 수준의 접근 권한을 획득하고, 목표 시스템을 찾아 이동하며, 장기적인 거점을 마련하는 것입니다.

권한 상승은 일반적으로 시스템 또는 응용 프로그램의 취약점을 악용하거나, 유효한 자격 증명을 탈취하여 수행됩니다. 공격자는 로컬 권한 상승 취약점을 이용해 사용자 권한에서 관리자 권한으로 상승하거나, 도메인 관리자 계정의 패스워드 해시를 덤프하는 패스스루 해시 공격을 시도합니다. 내부 확산은 획득한 권한과 자격 증명을 바탕으로 윈도우 관리 공유, WMI, 원격 데스크톱 프로토콜과 같은 합법적인 관리 도구와 프로토콜을 악용해 네트워크를 횡적으로 이동합니다. 이 과정에서 공격자는 추가 시스템의 자격 증명을 수집하며, 그 영향 범위를 점차 확대합니다.

공격자는 지속성을 확보하기 위해 확산 과정에서 다양한 백도어와 C2 서버와의 통신 채널을 구축합니다. 내부 네트워크의 구조와 중요한 자산을 매핑한 후, 최종 목표(예: 데이터베이스 서버, 파일 서버, 개발 시스템)에 접근할 수 있는 충분한 권한과 경로를 확보하는 것이 이 단계의 완료를 의미합니다.

공격자는 목표 시스템 내에서 확보한 권한과 접근 경로를 이용해 민감 정보를 식별하고 외부로 유출합니다. 유출 대상은 지식 재산권, 기밀 설계도, 고객 데이터, 내부 통신문, 연구 자료 등 조직의 핵심 자산이 될 수 있습니다. 데이터 유출은 네트워크 트래픽에 섞여 정상 활동처럼 위장하거나, 암호화된 채널을 통해 소량씩 장기간에 걸쳐 이루어지는 경우가 많습니다. 이를 탐지하기 어렵게 만드는 주요 전략입니다.

지속성 유지는 공격자가 초기 침투 지점이 발견 및 차단되더라도 시스템에 다시 접근할 수 있도록 백도어를 설치하고 관리 권한을 공고히 하는 단계입니다. 일반적인 기법으로는 레지스트리 키 수정, 합법적인 시스템 도구 악용(리빙 오프 더 랜드), 정상 프로세스에 악성 코드 삽입(프로세스 홀로우잉), 그리고 원격 접속 트로이 목마(RAT) 설치 등이 있습니다.

공격 수명주기 내에서 이 단계는 종종 다음 표와 같은 다양한 도구와 기법을 동원합니다.

이러한 지속성 메커니즘을 통해 APT 공격은 수개월에서 수년에 걸쳐 표적 조직 내부에 잠복하며 활동할 수 있습니다. 최종 목표인 데이터 유출이 완료된 후에도, 공격자는 차기 공격을 대비하거나 조직의 대응 상황을 모니터링하기 위해 접근 경로를 유지하는 경우가 많습니다.

사회공학적 기법은 APT 공격에서 초기 침투를 성공시키기 위해 가장 빈번하게 활용되는 수단이다. 이 기법은 기술적 취약점보다는 인간의 심리적 약점을 공략하여, 표적이 스스로 악성 행위를 수행하도록 유도한다. 피싱은 가장 일반적인 형태로, 합법적인 기관을 사칭한 이메일을 대량 발송하여 개인정보나 로그인 자격증명을 탈취하는 공격이다. 스피어 피싱은 피싱의 고도화된 형태로, 특정 개인이나 조직을 대상으로 맞춤형 정보를 활용해 훨씬 더 정교하게 공격을 수행한다.

스피어 피싱은 공격 대상에 대한 사전 조사를 바탕으로 진행된다. 공격자는 소셜 엔지니어링을 통해 표적의 직무, 관심사, 인간관계 등을 파악한 후, 신뢰할 수 있는 발신자(예: 동료, 상사, 파트너사)를 사칭하거나 관심을 끌 만한 주제(예: 업무 관련 문서, 회의 초대, 청구서)로 이메일을 작성한다. 첨부 파일이나 포함된 링크는 악성코드를 다운로드시키거나 자격증명을 입력하도록 유도하는 가짜 로그인 페이지로 연결된다. 이 과정에서 표적은 공격을 의심하지 않고 악성 코드를 실행하거나 중요한 정보를 입력하게 된다.

이러한 공격을 방어하기 위해서는 기술적 통제와 함께 지속적인 보안 인식 교육이 필수적이다. 기술적 측면에서는 이메일 보안 게이트웨이를 활용해 의심스러운 발신자나 첨부 파일을 필터링하고, 엔드포인트 탐지 및 대응 솔루션을 도입해 악성 행위를 탐지해야 한다. 그러나 궁극적으로는 구성원이 의심스러운 이메일의 징후(예: 긴급성을 조장, 링크 URL 확인, 예상치 못한 첨부 파일)를 식별하고 적절히 보고할 수 있도록 훈련시키는 것이 가장 효과적인 대응책이다.

제로데이 취약점은 소프트웨어 제조사나 대중에게 알려지지 않아 아직 패치가 이루어지지 않은 보안 취약점을 의미한다. APT 공격자는 이러한 취약점을 발견하고 악용하여 표적 시스템에 침투하는 데 사용한다. 제로데이 공격은 사전에 알려진 취약점에 대한 방어 조치가 존재하지 않기 때문에 탐지와 방어가 매우 어렵다. 공격자는 취약점을 비공개로 유지하며, 고가의 익스플로잇 키트를 개발하거나 암시장에서 구매하여 사용한다.

공격 수명주기에서 제로데이 공격은 주로 초기 침투 단계에서 활용된다. 공격자는 정찰을 통해 표적 조직이 사용하는 특정 소프트웨어(예: 오피스 제품군, PDF 리더, 브라우저 플러그인 등)를 파악한 후, 해당 소프트웨어의 제로데이 취약점을 악용한 악성 문서나 웹 페이지를 준비한다. 이 문서는 표적에게 이메일 첨부파일이나 링크 형태로 전달되어, 열람하는 순간 취약점을 통해 악성코드가 설치된다.

제로데이 공격의 위험성을 완화하기 위해서는 사전 예방적 조치가 필수적이다. 애플리케이션 화이트리싱을 통해 허용된 소프트웨어만 실행되도록 제한하거나, 샌드박싱 기술로 의심스러운 애플리케이션을 격리된 환경에서 실행하는 방법이 있다. 또한, 위협 인텔리전스를 통해 새로운 제로데이 공격 캠페인에 대한 정보를 신속히 획득하고, 네트워크와 엔드포인트에서의 비정상적인 행위를 탐지하는 행위 기반 탐지 시스템의 도입이 효과적인 대응 전략이 된다.

APT 공격에서 악성코드는 초기 침투부터 내부 확산, 데이터 유출, 지속성 유지에 이르기까지 공격 수명주기 전반에 걸쳐 핵심 도구로 활용된다. 일반적인 범용 악성코드와 달리, APT 공격에 사용되는 악성코드는 특정 표적을 염두에 두고 맞춤형으로 개발되거나 기존 코드를 변조하는 경우가 많다. 이는 탐지를 회피하고 장기간 표적 시스템 내에 잠복하기 위한 목적이 크다.

주요 악성코드 유형으로는 트로이 목마, 원격 접근 트로이, 키로거, 정보 유출 악성코드 등이 있다. 특히 백도어는 공격자가 합법적인 인증 절차를 우회하여 표적 시스템에 지속적으로 접근할 수 있도록 설계된 악성코드의 일종이다. 백도어가 설치되면 공격자는 암호나 기타 보안 조치 없이도 시스템을 원격으로 제어하고, 추가 악성코드를 다운로드하거나, 내부 네트워크로 이동할 수 있다.

APT 공격자는 악성코드와 백도어를 은밀하게 배포하고 실행하기 위해 다양한 기법을 사용한다. 합법적인 소프트웨어 업데이트 프로세스를 가장하거나, 정상적인 시스템 관리 도구를 악용하는 라이브 오프 더 랜드 기법이 대표적이다. 또한, 악성코드의 통신 채널은 암호화되거나 일반적인 웹 트래픽에 위장되어 네트워크 모니터링을 회피한다.

이러한 악성코드와 백도어는 단독으로 작동하기보다는 공격 체인의 한 단계를 이루며, 사회공학적 기법이나 제로데이 취약점을 통해 시스템에 침투한다. 일단 설치되면, 공격자는 이를 발판으로 네트워크 내부를 정찰하고, 권한을 상승시키며, 궁극적으로 가치 있는 데이터를 찾아 외부로 유출한다.

APT28은 러시아 군사 정보국 GRU와 연관된 것으로 알려진 APT 그룹이다. "Fancy Bear", "Sofacy", "Pawn Storm", "Strontium" 등 다양한 이름으로 불린다. 2000년대 중반부터 활동이 관찰되었으며, 주로 정부 기관, 군사 조직, 외교 단체, 언론 매체, 국방 산업체 등을 표적으로 삼는다.

이 그룹의 공격은 정치적, 군사적 목적을 띠는 경우가 많다. 2016년 미국 대통령 선거 당시 민주당 전국위원회 해킹 사건에 관여한 것으로 미국 정보 당국에 의해 지목되었다[3]. 또한 독일 연방의회, 프랑스 대통령 선거, 세계반도핑기구(WADA), 유럽 안보 협력 기구(OSCE) 등을 대상으로 한 공격도 수행한 것으로 보고되었다.

APT28은 기술적으로 정교한 공격 기법을 사용한다. 주로 표적형 피싱(스피어 피싱) 이메일을 초기 침투 수단으로 활용하며, 제로데이 취약점과 함께 Microsoft Office 문서나 PDF 파일에 삽입된 악성 매크로를 자주 이용한다. 한번 시스템에 침투하면, X-Agent, X-Tunnel, GAMEFISH와 같은 맞춤형 악성코드와 백도어를 설치하여 장기간 잠복하며 정보를 수집하고 유출한다.

APT29는 러시아 정보 기관 SVR과 연관된 것으로 널리 알려진 APT 그룹이다. 'Cozy Bear', 'The Dukes', 'Yttrium' 등 다양한 별칭으로 불린다. 이 그룹은 2008년경부터 활동한 것으로 추정되며, 주로 정부 기관, 외교 단체, 연구 기관, NGO 및 국제 기구를 표적으로 삼는 것으로 알려져 있다.

APT29의 공격은 정교한 스피어 피싱 이메일과 맞춤형 악성코드를 특징으로 한다. 초기 침투 수단으로는 합법적으로 보이는 문서 파일에 악성 매크로를 삽입하거나, 제로데이 취약점을 활용하는 경우가 많다. 일단 시스템에 침투하면, 백도어를 설치하고 내부 네트워크에서 신중하게 이동하며 권한 상승을 통해 장기간 잠복하며 표적 정보를 수집한다. 이 그룹은 특히 SolarWinds 공급망 공격(2020년)에서 미국 정부 기관 및 기업을 광범위하게 표적으로 삼은 주체로 지목되었다[4].

이 그룹의 운영 방식은 은밀함과 지속성에 중점을 둔다. 일반적인 활동 패턴은 다음과 같다.

APT29는 전통적인 맬웨어보다 운영 체제의 기본 도구를 악용하는 '파일리스' 기법을 선호하며, 탐지를 회피하기 위해 공격 도구와 인프라를 빈번히 변경한다. 이들의 활동은 국가 차원의 정보 수집 및 지속적 정찰 목적과 연관되어 있다고 평가받는다.

Lazarus Group은 북한 정부의 지원을 받는 것으로 널리 알려진 APT 그룹이다. 주로 금융 기관을 표적으로 한 사이버 금융 사기와 암호화폐 거래소 해킹, 그리고 정치적 목적의 파괴적 공격으로 악명이 높다. 이 그룹의 활동은 2000년대 중반부터 추적되었으며, 미국 연방수사국과 미국 재무부를 비롯한 여러 국가 기관들이 북한과의 연관성을 공식적으로 지목했다.

주요 공격 사례로는 2014년 소니 픽처스 엔터테인먼트 해킹[5], 2016년 방글라데시 중앙은행의 뉴욕 연방준비은행 계좌에서 8,100만 달러를 탈취하려 한 사건, 그리고 2017년 전 세계를 강타한 워너크라이 랜섬웨어 공격이 있다. 특히 워너크라이 공격은 악성코드를 통해 시스템을 암호화하고 몸값을 요구하는 방식으로, Lazarus Group이 개발한 해킹 도구와의 연관성이 확인되었다.

이 그룹의 공격 동기는 주로 경제적 이득과 정치적 목적이 혼합되어 있다. 최근 몇 년 간은 암호화폐 거래소와 관련 기업에 대한 표적 공격을 지속적으로 수행하며 대규모 자금을 탈취해 왔다. 2022년에는 론진 브리지 해킹 사건을 통해 약 6억 2,500만 달러 상당의 암호화폐를 훔친 것으로 보고되었다[6].

Lazarus Group은 정교한 사회공학 기법과 맞춤형 악성코드, 제로데이 취약점 공격을 자주 활용한다. 공격 수명주기 전반에 걸쳐 은밀성을 유지하며, 침투 후 내부 네트워크에서 장기간 활동하며 정보를 수집하고 최종 목표를 달성하는 전형적인 APT의 특징을 보인다. 이들의 활동은 북한의 핵 및 미사일 프로그램 자금 조달 수단으로 의심받고 있어 국제사회의 지속적인 감시와 대응 대상이 되고 있다.

행위 기반 탐지는 악성코드의 정적 특징(시그니처)이 아닌, 시스템이나 네트워크 상에서 관찰되는 활동과 패턴을 분석하여 위협을 식별하는 접근법이다. 이 방법은 알려지지 않은 제로데이 공격이나 정교하게 위장된 APT 공격을 탐지하는 데 효과적이다. 시스템 호출, 프로세스 생성, 네트워크 연결, 파일 접근 패턴 등과 같은 정상적인 활동의 기준선을 먼저 수립한 후, 이 기준에서 벗어나는 이상 행위를 실시간으로 탐지한다.

탐지 모델은 주로 기계 학습 알고리즘을 활용하여 구축된다. 예를 들어, 사용자가 평소에는 접근하지 않는 중요 시스템 파일을 갑자기 대량으로 읽거나, 내부 네트워크에서 외부 C2 서버로의 비정상적인 통신이 발생하는 경우 이를 의심 행위로 판단한다. 또한, 권한 상승 시도, 로그인 실패 반복, 데이터 암호화 행위(랜섬웨어 징후) 등 연속된 이벤트를 연결하여 공격 수명주기의 특정 단계를 식별할 수 있다.

이 방식의 장점은 시그니처 기반 탐지가 놓칠 수 있는 새로운 위협을 포착할 수 있다는 점이다. 그러나 높은 수준의 정확한 기준선 설정과 대량의 로그 데이터 처리, 그리고 기계 학습 모델의 지속적인 학습과 조정이 필요하다. 또한 정상적인 활동의 변동(예: 신규 소프트웨어 도입)으로 인한 오탐지(False Positive)를 최소화하는 것이 중요한 과제이다. 효과적인 운영을 위해서는 위협 인텔리전스와 연계하여 알려진 공격자의 TTPs를 행위 패턴으로 변환하여 탐지 규칙에 반영하기도 한다.

위협 인텔리전스는 APT 공격을 탐지하고 대응하는 데 있어 핵심적인 역할을 한다. 이는 단순한 위협 데이터의 수집을 넘어, 공격자의 동기, 능력, 전술, 기법 및 절차를 분석하여 조직에 맞는 실행 가능한 정보로 전환하는 과정이다. 효과적인 위협 인텔리전스는 사전에 공격을 예측하고 차단하는 데 기여하며, 사후 대응 시에도 공격의 범위와 영향을 신속히 파악하는 데 도움을 준다.

위협 인텔리전스는 일반적으로 전략적, 작전적, 전술적 수준으로 구분된다. 전략적 인텔리전스는 장기적인 위협 트렌드와 공격 그룹의 배경을 분석하여 조직의 보안 전략 수립에 활용된다. 작전적 인텔리전스는 특정 APT 그룹의 공격 캠페인, 사용 도구, 인프라 등에 초점을 맞춘다. 가장 실질적인 것은 전술적 인텔리전스로, 공격에 사용된 악성코드의 해시 값, 악성 도메인, IP 주소, 파일 경로 등 즉시 탐지 및 차단에 사용할 수 있는 지표를 제공한다.

조직은 외부 위협 인텔리전스 공급자로부터 정보를 구독하거나, 자체 사고 대응 과정에서 수집한 데이터를 기반으로 내부 인텔리전스를 구축한다. 효과적인 활용을 위해서는 이 정보들이 SIEM 시스템이나 차세대 방화벽, EDR 솔루션 등에 자동으로 연동되어 실시간 탐지 규칙으로 작동해야 한다. 예를 들어, 특정 APT 그룹이 새롭게 사용하기 시작한 C2 서버의 IP 주소가 인텔리전스 피드로 수신되면, 방화벽 정책에 즉시 차단 규칙이 추가된다.

이러한 체계적인 위협 인텔리전스 활용은 APT 공격의 긴 수명주기 동안 지속적으로 변화하는 공격자의 전술을 따라잡고, 알려진 지표뿐만 아니라 새로운 변종 공격을 사전에 식별하는 데 필수적이다.

사고 대응 및 복구 절차는 APT 공격이 탐지된 후 피해를 최소화하고 정상적인 운영을 신속히 복원하기 위한 체계적인 접근법이다. 이 절차는 일반적으로 준비, 탐지 및 분석, 봉쇄 및 박멸, 복구, 사후 활동의 단계로 구성된다.

첫 번째 단계인 준비 단계에서는 사고 대응 계획을 사전에 수립하고 대응팀을 구성하며, 필요한 도구와 절차를 마련한다. 탐지 및 분석 단계에서는 행위 기반 탐지 시스템이나 위협 인텔리전스를 통해 이상 징후를 확인하고, 공격의 범위, 영향을 받은 자산, 사용된 공격 기법 등을 신속히 분석하여 사고의 심각도를 평가한다. 이후 봉쇄 및 박멸 단계에서는 감염된 시스템을 네트워크에서 격리하고, 악성코드를 제거하며, 공격자가 설치한 백도어와 지속성 메커니즘을 찾아 무력화한다.

복구 단계에서는 깨끗한 백업으로 시스템을 복원하거나 패치를 적용하여 운영을 재개한다. 마지막 사후 활동 단계에서는 공격의 근본 원인을 분석하고 대응 과정을 평가하여 사고 대응 계획과 보안 체계를 개선한다. 이 과정의 각 단계는 아래 표와 같이 요약할 수 있다.

효과적인 복구를 위해서는 정기적인 백업이 필수적이며, 백업 데이터의 무결성과 오프라인 저장이 보장되어야 한다. 또한, 복구 후에도 시스템에 대한 지속적인 모니터링을 실시하여 공격이 완전히 종료되었는지 확인한다. 사후 활동 단계에서 작성된 사고 보고서와 교훈은 향후 유사한 공격을 방어하는 데 중요한 자산이 된다.

차세대 방화벽(Next-Generation Firewall, NGFW)은 전통적인 방화벽의 패킷 필터링 및 상태 기반 검사 기능에 애플리케이션 인식, 침입 방지 시스템(IPS), 그리고 위협 인텔리전스 연동 등의 고급 기능을 통합한 보안 장비이다. 이는 APT 공격이 특정 애플리케이션을 악용하거나 암호화된 트래픽을 통해 이루어지는 경우를 효과적으로 탐지하고 차단하는 데 핵심적인 역할을 한다. NGFW는 네트워크 경계에서 애플리케이션 계층까지의 가시성을 제공하여 정상적인 트래픽 속에 숨은 이상 행위를 식별할 수 있다.

엔드포인트 탐지 및 대응(Endpoint Detection and Response, EDR) 솔루션은 APT 방어에서 네트워크 중심 보안을 보완하는 핵심 기술이다. EDR은 서버나 사용자 PC와 같은 엔드포인트에 에이전트를 설치하여 프로세스 실행, 레지스트리 변경, 네트워크 연결 시도 등 시스템의 모든 활동을 지속적으로 모니터링하고 기록한다. 이를 통해 공격자가 초기 침투 후 시스템 내부에서 수행하는 권한 상승, 측면 이동, 데이터 수집 등의 행위를 실시간으로 분석하고 차단할 수 있다. EDR의 강점은 사전 예방뿐만 아니라 공격 발생 후의 신속한 조사와 대응에 있다.

NGFW와 EDR은 상호 보완적으로 작동하여 APT 공격의 수명주기 전반에 걸쳐 방어 계층을 형성한다. NGFW는 네트워크 경계에서의 초기 침투와 명령 제어(C2) 서버와의 통신을 차단하는 데 효과적이며, EDR은 이미 침투한 공격자가 내부에서 수행하는 세부적인 악성 행위를 탐지하고 격리한다. 현대의 통합 보안 플랫폼은 이 두 기술을 연동하여, NGFW에서 발견된 위협 신호를 EDR 시스템과 공유하고, EDR에서 탐지된 이상 엔드포인트의 네트워크 트래픽을 NGFW에서 차단하는 등의 협업 방어가 가능하다.

네트워크 분할은 APT 공격자가 일단 내부에 침투하더라도 네트워크 전체를 자유롭게 이동하는 것을 방지하기 위한 핵심 전략이다. 이는 단일 평면 네트워크에서 공격자가 한 번 침투하면 모든 시스템에 접근할 수 있는 위험을 줄이기 위해 설계된다. 네트워크를 논리적 또는 물리적으로 분할하여 각 세그먼트 간의 트래픽을 엄격히 통제한다. 예를 들어, 재무 데이터베이스 서버가 위치한 세그먼트, 일반 사용자 PC가 위치한 세그먼트, 그리고 외부 서비스를 제공하는 DMZ 세그먼트를 분리하고, 이들 사이의 통신은 반드시 필요하고 승인된 경우에만 허용하는 정책을 적용한다.

이 분할 전략의 효과를 극대화하기 위해 반드시 병행되어야 하는 원칙이 최소 권한 원칙이다. 이 원칙은 사용자, 애플리케이션, 시스템 프로세스가 자신의 임무를 수행하는 데 필요한 최소한의 권한만을 부여받아야 함을 의미한다. 예를 들어, 마케팅 부서 직원의 사용자 계정이 인사 기록이 저장된 서버에 접근할 필요는 없다. 권한이 과도하게 부여된 계정은 공격자가 이를 탈취했을 때 네트워크 분할의 장벽을 쉽게 우회하고 광범위한 확산을 이루는 데 이용될 수 있다.

이 두 전략을 통합적으로 적용하면 공격 표면을 크게 축소할 수 있다. 네트워크 분할은 공격자의 수평적 이동을 차단하는 물리적/논리적 장벽을 제공하고, 최소 권한 원칙은 공격자가 탈취한 자격증명이나 프로세스 권한으로 할 수 있는 행위를 제한한다. 이는 정찰 및 정보 수집 단계에서 목표를 찾기 어렵게 만들고, 권한 상승 및 내부 확산 단계에서의 공격 활동을 현저히 늦추거나 저지한다. 결과적으로 방어자에게 이상 징후를 탐지하고 대응할 수 있는 귀중한 시간을 제공한다.

구현을 위한 일반적인 접근법은 다음과 같은 계층적 모델을 따를 수 있다.

엔드포인트는 APT 공격의 주요 표적이자 최종 목적지가 되는 경우가 많다. 따라서 엔드포인트 보안을 강화하는 것은 공격 수명주기 초기에 위협을 차단하거나, 침해 후 신속하게 탐지하여 피해를 최소화하는 데 핵심적인 역할을 한다. 전통적인 안티바이러스 소프트웨어는 서명 기반 탐지에 의존하여 새로운 변종이나 맞춤형 악성코드를 탐지하는 데 한계가 있으므로, 보다 진화된 접근 방식이 필요하다.

엔드포인트 탐지 및 대응 솔루션은 엔드포인트 보안의 핵심 요소로 자리 잡았다. EDR은 단순히 악성 파일을 차단하는 것을 넘어, 엔드포인트에서 발생하는 프로세스 실행, 네트워크 연결, 레지스트리 변경 등 다양한 이벤트와 행위를 지속적으로 모니터링하고 기록한다. 이를 통해 의심스러운 행위 패턴을 식별하고, 공격 체인의 연관성을 분석하여 조사와 대응을 가능하게 한다. 많은 EDR 솔루션은 머신 러닝과 행위 분석 기술을 결합하여 알려지지 않은 위협을 사전에 탐지하는 능력을 갖추고 있다.

응용 프로그램 제어 및 최소 권한 원칙의 엄격한 적용도 중요하다. 사용자 계정에 불필요한 관리자 권한을 부여하지 않고, 업무에 필요한 응용 프로그램만 허용하는 화이트리스트 방식을 적용하면, 권한 상승 공격이나 무단 소프트웨어 실행을 효과적으로 차단할 수 있다. 또한 디스크 암호화와 모바일 장치 관리 솔루션을 통해 노트북이나 모바일 기기 분실 시 데이터 유출 위험을 줄일 수 있다.

주요 기술적 대책은 다음 표와 같이 정리할 수 있다.

이러한 조치들은 단독으로 운영되기보다 통합 보안 플랫폼을 통해 상호 연계되어야 한다. 엔드포인트에서 수집된 위협 데이터는 위협 인텔리전스 플랫폼이나 보안 정보 및 이벤트 관리 시스템과 연동되어 전체적인 보안 가시성을 높이고 대응 속도를 가속화한다.