APT(지능형 지속 위협)란?| Microsoft Security

APT 개요

지능형 지속 위협은 조직에 침투해 가능한 한 오래 숨어 있으려고 설계된 장기적이고 표적화된 사이버 공격입니다. 쉽게 노릴 수 있는 대상을 찾는 광범위한 공격과 달리, APT는 치밀하고 정교합니다. 공격자는 대상을 신중하게 선택하고 종종 정부 기관, 중요 인프라 또는 대기업과 같은 고가치 엔터티를 대상으로 합니다. 액세스 권한을 얻고 그대로 유지하기 위해 체계적으로 작업합니다.

APT의 목표는 피해자에게 들키지 않고 조용히 활동을 모니터링하고, 중요한 데이터를 훔치거나, 업무를 방해하는 것입니다. 이런 캠페인은 몇 주, 몇 달, 때로는 몇 년에 걸쳐 진행되기도 합니다. 은밀하고 복잡하기 때문에, APT는 탐지하기 어렵고, 한 번 뿌리내리면 차단하기는 더 어렵습니다.

핵심 사항

APT는 조직 내부에 몇 달이나 몇 년 동안 숨어 있을 수 있는 장기적이고 표적화된 공격입니다.
공격자는 제로 데이 익스플로잇, 사용자 지정 맬웨어 및 소셜 엔지니어링과 같은 고급 도구를 사용하여 방어를 우회합니다.
APT 캠페인은 초기 침투, 측면 이동, 방해 또는 데이터 탈취 같은 단계별로 조율되어 진행됩니다.
주요 대상은 정부, 금융, 의료, 기술, 중요 인프라 분야입니다.
탐지 및 대응에는 이상 탐지, 위협 인텔리전스, 조사 및 수정을 위한 조정된 전략이 필요합니다.
패치, 직원 교육 및 네트워크 구분과 같은 모범 사례는 APT 위험을 줄이는 데 도움이 됩니다.

APT에 대해 알아야 할 내용

조직을 장기적이고 표적화된 공격으로부터 보호하려면 APT와 그 작동 방식을 이해하는 것이 중요합니다. 이러한 위협은 방어를 우회하는 데 그치지 않습니다. 이들은 여러분의 환경 안에 숨어들어 그곳에 머뭅니다.

APT가 다른 공격과 다른 점은 집중성, 정교함, 지속 기간이 모두 결합되어 있다는 것입니다. 이런 특성 때문에 보안 팀이 다루기 가장 어려운 위협 중 하나입니다:

고도화: 공격자는 제로데이 취약성, 맞춤형 맬웨어, 다단계 작업 같은 전통적인 보안 제어를 회피하도록 설계된 특수 도구와 전술을 사용합니다.
지속성: APT는 한 번으로 끝나는 사건이 아닙니다. 공격자는 지속적으로 접근 권한을 유지하려고 움직입니다. 탐지를 피하고, 차단되더라도 다시 통제권을 되찾기 위해 다양한 기법을 사용합니다.
위협: 이런 캠페인은 자금력이 풍부하고 숙련된 공격자가 수행합니다. 많은 경우 국가 지원 그룹이나 대규모 범죄 조직과 연관되어 있으며, 분명한 의도와 장기적인 목표를 가지고 활동합니다.

이런 특성을 이해하면 보안 및 IT 리더가 위험을 더 효과적으로 평가하고, 복원력 있는 방어 체계를 구축하고, 공격자가 환경에 머무는 시간을 줄일 수 있습니다.

APT 작동 방식

APT 행위자는 동기가 매우 강하고, 종종 상당한 재정 지원을 받습니다. 이들은 시간을 들여 대상의 인프라를 조사하고, 취약한 지점을 찾아내고, 이를 악용하기 위한 맞춤형 전략을 개발합니다. 일단 내부에 들어오면, 시스템 간에 측면 이동을 하면서 데이터를 수집하거나 더 큰 혼란을 준비하면서 들키지 않으려 합니다. 이 정도의 은밀함 때문에 초기 탐지와 대응은 특히 어렵습니다.

APT는 영향은 극대화하고 탐지는 피하도록 설계된 조율된 단계로 전개됩니다.

정찰 및 계획: 공격을 시작하기 전에 APT 그룹은 대상에 대해 광범위하게 조사합니다. 여기에는 시스템, 인력, 공급업체, 잠재적 취약점에 대한 세부 정보를 수집하는 일이 포함됩니다. 공개 소스 인텔리전스나 스캐닝 도구를 사용하는 경우가 많습니다.
초기 침해: 공격자는 피싱 메일, 알려졌거나 알려지지 않은(제로데이) 취약성 악용, 또는 탈취한 자격 증명 활용 같은 방법으로 네트워크에 침투합니다. 목표는 첫 진입 지점을 확보하는 것입니다.
거점 확보: 내부에 들어온 뒤 공격자는 맞춤형 맬웨어를 배포하고, 백도어를 설치하거나, 새 사용자 계정을 만들어 지속적인 접근 권한을 확보합니다. 이렇게 하면 하나의 액세스 지점이 닫혀 있어도 반환할 수 있습니다.
권한 상승: 중요한 시스템 또는 데이터에 액세스하기 위해 APT 행위자가 종종 시스템 잘못된 구성을 악용하거나, 관리 자격 증명을 도용하거나, 권한 상승 취약성을 악용하여 권한을 에스컬레이션합니다.
측면 이동: 공격자는 네트워크를 가로지르며 시스템에서 시스템으로 이동해 환경을 파악하고, 데이터를 모으고, 가치 있는 자산을 찾습니다. 이 단계에서는 내부 방어와 보안 도구를 우회하는 경우가 많습니다.
데이터 반출 또는 중단: 일단 배치되면 APT 그룹은 지적 재산, 재무 기록 또는 기밀 통신과 같은 중요한 데이터를 자동으로 도용할 수 있습니다. 또한 랜섬웨어를 배포하거나 분산 서비스 거부(DDoS) 공격을 시작하는 등 더 파괴적인 활동을 준비할 수도 있습니다.
은밀성과 지속성 유지: 공격자는 전 과정에서 탐지되지 않도록 기법을 계속 조정합니다. C2(명령 및 제어) 서버를 바꾸고, 암호화된 통신을 사용하고, 탐지를 피하려고 맬웨어를 업데이트할 수 있습니다.

APT 그룹은 이런 단계를 수행하기 위해 다음을 포함한 다양한 공격 벡터에 의존합니다:

특정 직원을 대상으로 하는 스피어 피싱 전자 메일입니다.
특정 환경을 위해 제작된 사용자 지정 맬웨어입니다.
공격 프로세스의 일부를 자동화하는 익스플로잇 키트입니다.
패치되지 않은 취약성을 대상으로 하는 제로 데이 익스플로잇입니다.
원격 관리를 위한 명령 및 제어 서버입니다.
내부자를 조작하기 위한 소셜 엔지니어링 기법입니다.
신뢰할 수 있는 제3자를 손상시키는 공급망 공격입니다.

일반적인 대상 및 실제 사례

지능형 지속 위협 그룹은 사이버 보안에서 가장 강력한 적수 중 하나입니다. 국가나 자금력이 풍부한 조직의 지원을 받는 이들 그룹은 스파이 활동, 데이터 탈취, 방해를 목표로 장기적인 표적 캠페인을 수행합니다. 이들은 종종 몇 달 또는 몇 년에 걸쳐 활동하며, 국가 및 경제 안보에 중요한 분야를 집중적으로 노립니다.

APT 그룹의 일반적인 표적
APT 행위자는 보통 대규모 조직이나 기관을 표적으로 삼습니다.

정부 및 국방 조직: 정보 수집과 전략적 우위를 노립니다.
금융 기관: 중요한 금융 데이터에 액세스하거나 경제 안정성을 방해하는 것을 목표로 합니다.
의료 서비스 공급자: 개인 건강 정보와 연구 데이터를 노립니다.
기술 회사: 지식 재산과 독점 기술을 노립니다.
핵심 인프라 분야: 에너지, 운송, 통신 등이 포함되며, 이곳에 장애가 생기면 광범위한 영향을 줄 수 있습니다.

주목할 만한 APT 그룹
여러 APT 그룹은 사이버 보안 전문가들에 의해 식별되고 추적되어 왔습니다. 다음은 가장 주목할 만한 몇몇 그룹입니다.

APT28(Fancy Bear): 러시아 군사 정보기관과 연관된 것으로 알려진 이 그룹은 정부와 군사 조직을 노렸으며, 스피어 피싱과 맬웨어를 사용해 네트워크에 침투했습니다.
APT29(Cozy Bear): 러시아 정보기관과 연관된 APT29는 외교 및 정부 기관에 초점을 맞춰, 정교한 맬웨어와 은밀한 기법으로 데이터를 빼돌렸습니다.
Lazarus Group: 북한과 연관된 것으로 알려진 Lazarus는 금융 탈취부터 미디어와 엔터테인먼트 분야를 교란하는 공격까지 다양한 활동을 수행해 왔습니다.

APT 사례 연구
고도화된 지속적 위협 그룹은 여러 분야에 걸쳐 수많은 정교한 사이버 공격을 실행해 왔습니다. 아래의 대표 사례는 이들의 수법과 영향을 보여 줍니다.

미국의 한 대표 보험사에 대한 사이버 공격: 2021년 3월, 미국에 본사를 둔 한 주요 보험사가 랜섬웨어 공격을 받아 여러 서비스가 중단됐습니다. 공격자는 랜섬웨어로 파일을 암호화하고 데이터를 유출했으며, 이로 인해 75,000명 이상이 영향을 받았습니다. 이 침해 사고를 해결하려면 많은 비용이 들고 몇 달이나 걸리는 조사, 법적 대응, 복구 작업이 필요했습니다. 영향을 받은 시스템을 보호하고 피해 고객에게 알리는 일도 포함됐습니다.
한 국가의 에너지 인프라 침해: 2023년, 조정된 공격이 방화벽 취약점을 악용해 덴마크 에너지 부문의 22개 회사를 노렸습니다. 공격자는 일부 회사의 산업 제어 시스템에 무단으로 접근했고, 그 결과 운영에 큰 차질이 생겼습니다.
대형 의료 기관의 IT 서비스 침해: 2024년 2월, 한 주요 사이버 공격이 의료 IT 서비스 부서를 노려 환자 치료를 방해하고 보호 대상 건강 정보가 유출됐습니다. 공격자는 랜섬웨어로 파일을 암호화하고 데이터를 유출했으며, 약 1억 9,000만 명이 영향을 받은 것으로 추정됩니다.

이 사례들은 APT 위협이 끊임없이 진화하고 지속된다는 점을 보여 줍니다. 모든 분야에서 강력한 APT 사이버 보안 조치가 필요하다는 뜻이기도 합니다.

APT 탐지 및 대응

APT 사이버 공격은 정상적인 네트워크 활동처럼 보이도록 설계되어, 일반 보안 도구로는 탐지하기 어렵습니다. 하지만 어디를 봐야 하는지만 알면 경고 신호를 찾을 수 있습니다.

IOC(침해 지표)
IOC는 악의적인 활동이 남긴 흔적입니다. APT 공격의 경우 다음이 포함될 수 있습니다.

예상하지 못한 위치에서 접속하거나 이상한 시간대에 로그인하는 등 비정상적인 로그인 패턴.
내부 시스템과 외부 서버 사이에서 예상치 못한 네트워크 트래픽이 발생하는 경우.
알 수 없거나 의심스러운 파일, 스크립트 또는 사용자 계정이 있는 경우.
자격 증명 덤퍼나 측면 이동 프레임워크처럼 공격자와 연관된 도구를 사용하는 경우.
대량의 외부 전송이나 원인을 설명하기 어려운 외부 전송을 포함한 데이터 유출 징후.

이 신호를 일찍 알아차리면 공격자가 여러분의 환경에 머무는 시간을 줄일 수 있고, 잠재적 피해도 줄어듭니다.

APT 활동을 탐지하는 전략
APT를 탐지하려면 기술, 프로세스, 사람이 모두 함께 필요합니다. 효과적인 전략은 다음과 같습니다.

이상 탐지: 데이터 접근 급증이나 비정상적인 관리자 작업처럼 정해진 기준을 벗어난 활동을 모니터링합니다.
사이버 위협 인텔리전스: 최신 위협 인텔리전스 피드를 활용해 최신 공격 기법, 도구, 위협 행위자 프로필을 파악합니다.
엔드포인트 및 네트워크 모니터링— 엔드포인트, 클라우드 서비스, 네트워크 트래픽 전반을 파악할 수 있는 도구를 배포해 침해 징후를 실시간으로 탐지하는 데 도움을 줍니다.
선제적 사이버 위협 헌팅— 경고가 발생하지 않았더라도 환경 속에 숨은 위협을 적극적으로 찾아냅니다.

이러한 접근 방식을 함께 사용하면 APT 활동을 더 일찍 찾아내고, 오래 지속되는 피해가 발생하기 전에 대응할 수 있습니다.

APT 공격 대응
APT 사이버 공격이 탐지되면 신속하게 대응하고, 적절한 절차에 따라 통제권을 되찾고, 보안 허점을 막고, 사건에서 배운 점을 바탕으로 더 강한 보안 태세를 갖추는 것이 중요합니다.

차단: 추가 확산을 막기 위해 영향을 받은 시스템이나 계정을 분리합니다.
조사: 로그, 트래픽, 시스템 동작을 분석해 공격자의 이동, 목표, 수법을 파악합니다.
수정: 악성 도구를 제거하고, 악용된 취약점을 패치하고, 영향을 받은 시스템을 복원합니다.
복구 및 검토: 정상 운영을 재개하는 동시에 사고 후 철저한 검토를 진행해 방어를 강화하고 재발을 막습니다.

APT 방지

고급 지속적 위협을 막으려면 단일 도구나 제품만으로는 충분하지 않습니다. 다중 계층 보안 접근 방식을 요구합니다. APT 그룹은 여러 전술을 사용해 네트워크에 침투하고 오래 머무르기 때문에, 이를 방어하려면 사람, 프로세스, 기술 전반의 허점을 모두 막아야 합니다.

직원이 흔한 공격 경로를 인식하고 적절하게 대응하도록 교육합니다.
노출을 줄이고 복원력을 높이는 정책과 절차를 마련합니다.
전체 디지털 환경에서 가시성, 탐지 및 보호를 제공하는 최신 보안 도구를 사용합니다.

관리형 탐지 및 대응(MDR) 서비스 같은 솔루션은 기술과 사람의 전문성을 함께 제공합니다.

APT 방지를 위한 모범 사례
완벽한 방어는 없지만, 다음의 모범 사례를 따르면 APT 공격의 가능성과 영향을 크게 줄일 수 있습니다.

정기적인 소프트웨어 업데이트 및 패치 관리: 알려진 취약점을 막기 위해 시스템, 애플리케이션, 펌웨어를 최신 상태로 유지합니다. 많은 APT 공격은 패치되지 않은 취약점을 악용해 성공합니다.
피싱 대응을 위한 직원 교육: 특히 개인을 겨냥한 맞춤형 미끼를 사용하는 스피어 피싱 시도를 중심으로, 수상한 이메일과 메시지를 알아보는 방법을 직원들에게 교육하세요.
네트워크 세분화와 최소 권한 액세스: 네트워크를 분리하고 사용자에게 업무에 필요한 권한만 부여해 공격 확산을 제한하세요. 이렇게 하면 공격자가 측면 이동을 더 어렵게 만듭니다.
모니터링 및 사고 대응 계획: 지속적인 모니터링으로 수상한 활동을 탐지하고, 충분히 연습한 사고 대응 계획을 유지하세요. 이렇게 하면 공격이 감지되었을 때 팀이 빠르게 대응하는 방법을 알 수 있습니다.

APT를 방지한다고 해서 모든 위험을 없애는 것은 아닙니다. 대신 공격자의 기준을 높이고, 일을 더 어렵게 만들며, 공격을 더 빨리 포착할 가능성을 높이는 것입니다. 계층형 접근 방식을 사용하면 조직이 중요 자산을 정교한 위협으로부터도 보호하는 심층 방어 전략을 만들 수 있습니다.

APT의 새로운 추세

APT 그룹은 끊임없이 진화하고 있습니다. 방어자가 도구와 프로세스를 개선하면 공격자는 기법을 조정해 보안 제어를 우회하고 액세스를 유지할 새로운 방법을 찾습니다.

새로운 APT 기법
최신 APT 행위자는 점점 더 다양한 전술을 섞어 사용하고 있습니다. 기술적 취약점 악용과 소셜 엔지니어링, 공급망 공격을 결합해 목표에 도달합니다. 다음과 같은 새로운 추세가 있습니다.

상세한 개인 정보나 조직 데이터를 사용해 그럴듯한 미끼를 만드는 더 정교한 피싱 캠페인입니다.
Living-off-the-land 기법은 공격자가 환경에 이미 있는 합법적인 도구와 프로세스를 사용해 탐지를 피하는 방식입니다.
공급망 침해에 더 크게 의존하는 방식입니다. 제3자 공급업체나 소프트웨어 업데이트가 초기 액세스의 경로가 됩니다.

이런 변화 때문에 바이러스 백신이나 경계 기반 보안 같은 기존 방어에만 의존하기가 더 어려워집니다.

새로운 기술을 통한 탐지 및 예방
새로운 기술은 공격과 방어 양쪽에서 모두 역할을 합니다.

양자 컴퓨팅은 실용화의 초기 단계에 있습니다. 암호화 표준이 중단될 가능성이 있으므로 결국 APT 행위자가 데이터 도용 또는 시스템 손상에 접근하는 방식에 영향을 줄 수 있습니다.
통합 SecOps 솔루션 은 보안 정보 및 이벤트 관리 솔루션(SIEM)과 확장 탐지 및 대응(XDR) 솔루션을 결합해, 팀이 한 플랫폼에서 더 향상된 위협 탐지 및 대응을 수행할 수 있도록 합니다.
AI 및 기계 학습은 이미 APT 탐지와 예방을 개선하고 있습니다. 사이버 보안을 위한 AI를 사용하면 패턴을 찾고, 이상 징후를 탐지하고, 위협에 더 빨리 대응할 수 있습니다. 하지만 공격자에게도 캠페인의 일부를 자동화하거나 더 설득력 있는 피싱 콘텐츠를 생성하는 등 새로운 기능을 제공합니다.

양쪽의 기술이 계속 발전하더라도, 공격에 대응하는 데에는 여전히 사람이 중심입니다. 보안 팀은 변화하는 위협을 따라잡을 수 있도록 최신 정보를 꾸준히 확인하고 유연하게 대응해야 합니다.

IoT(사물 인터넷) 및 클라우드 환경을 노리는 APT
APT의 공격 표면이 넓어지고 있습니다. 더 많은 조직이 IoT 디바이스와 클라우드 기반 서비스를 도입하면서 공격자도 목표를 넓히고 있습니다.

IoT 디바이스: 강력한 보안 제어가 부족한 경우가 많아, 더 큰 네트워크로 들어가는 쉬운 진입점이 될 수 있습니다.
클라우드 환경: 워크로드 및 데이터가 클라우드로 전환됨에 따라 APT 행위자는 클라우드 ID, 잘못 구성된 리소스 및 SaaS 플랫폼을 손상시키는 새로운 기술을 개발하고 있습니다.

이러한 추세에 대응하려면 보안 태세를 확장해 온-프레미스 시스템뿐 아니라 디지털 에코시스템의 모든 부분을 보호해야 합니다.

APT에 대응하는 Microsoft Security 솔루션

Microsoft Defender XDR은 조직이 전체 디지털 환경에서 고급 지속형 위협을 탐지, 조사, 대응할 수 있도록 지원합니다. 엔드포인트, ID, 이메일, 클라우드 앱 등에서 신호를 모아 Microsoft Defender XDR은 위협을 통합된 시각으로 제공하고, 보안 팀이 사일로를 없애고 빠르게 대응할 수 있도록 돕습니다.

APT에 대한 방어를 강화하고 보안 여정의 다음 단계로 나아가려면 Microsoft Defender XDR과 Microsoft Security 통합 SecOps 솔루션을 살펴보세요.

리소스

Microsoft Security에 대한 자세한 정보

제품

Microsoft Defender XDR을 사용하여 전체 기업 보호

사이버 공격으로부터 엔드포인트, ID, 클라우드 앱 및 데이터를 방어합니다.

자세한 정보

솔루션

통합 보안 운영

엔드투엔드 보안 운영 플랫폼으로 사이버 위협을 앞서가세요.

자세한 정보

위협 방지 포털

사이버 보안 및 AI 뉴스

사이버 위협 보호와 사이버 보안용 AI 관련 최신 추세와 모범 사례를 살펴보세요.

최신 리소스 받기

Microsoft 인텔리전스 보고서

2024 디지털 방어 보고서

Microsoft의 전문가로부터 위협 인텔리전스 환경 및 지침에 대한 최신 인사이트를 얻으세요.

보고서 받기

APT(지능형 지속 위협)은 자금력이 풍부한 공격자가 수행하는 장기적이고 표적화된 사이버 공격으로, 보통 국가나 조직화된 그룹과 연관되어 있습니다. APT는 특정 조직에 침투해 민감한 시스템이나 데이터에 대한 무단 액세스를 지속적으로 유지하는 데 초점을 맞추며, 주로 스파이 활동, 도난, 방해를 목적으로 합니다. 기회주의적 공격과 달리 APT는 맞춤형 악성 코드, 소셜 엔지니어링, 제로데이 익스플로잇을 포함한 정교한 도구와 전술을 사용해 탐지를 피하고 목표를 달성합니다.
지능형 지속 위협의 잘 알려진 사례 중 하나는 2024년 2월에 발생했습니다. 한 대형 의료 기관의 IT 서비스가 침해되었습니다. 이 사이버 공격은 환자 치료를 방해했고, 보호 대상 건강 정보의 유출로 이어졌습니다. 공격자는 랜섬웨어를 사용해 파일을 암호화하고 데이터를 유출했으며, 약 1억 9천만 명에게 영향을 미쳤습니다.
APT(지능형 지속 위협)는 사이버 공격의 한 유형이지만 ATP(Advanced Threat Protection)는 이러한 위협을 감지하고 방어하는 데 사용되는 도구와 전략을 나타냅니다. APT는 공격자의 방법을 설명하며, 장기적이고 표적화된 작업에 초점을 맞춥니다. 반면 ATP에는 Microsoft Defender 같은 보안 솔루션이 포함되며, 이는 조직이 이러한 공격을 식별하고 조사하고 대응하는 데 도움을 줍니다. 약어는 비슷하게 들리지만, 사이버 보안 환경의 서로 반대되는 측면을 의미합니다.
지속적인 고급 위협 공격의 주요 목표는 탐지되지 않은 채 대상 시스템이나 데이터에 장기적으로 무단 액세스하고 그 상태를 유지하는 것입니다. 공격자는 민감한 정보를 탈취하거나, 스파이 활동을 하거나, 운영을 방해하거나, 중요한 인프라를 파괴하려는 경우가 많습니다. 빠르고 기회주의적인 공격과 달리 APT는 매우 표적화되어 있고 신중하게 계획됩니다. 장기적인 지속성과 전략적 영향에 초점을 맞춥니다.

APT(지능형 지속 위협)란?