😈 나쁜 해커들 감시하는 CTI

안녕하세요, 구독자님!

TMI지만 해킹짹짹🐤을 운영하는 hackyboiz 팀은 직장인 6명, 학생 5명으로 구성되어 있어요. 혹시 hackyboiz 구성원들의 본업이 뭔지 궁금하지 않으신가요?

뜬금없이 웬 팀원 얘기지🤔🤔 의아해하실 것 같아요. 하지만 오늘 이야기할 주제와 관련이 있답니다. 바로 직장인 6명 중 무려 4명이 CTI 기업에 재직 중이거나 재직했던 경력이 있다는 것! 그래서 오늘은 이 4명의 집단지성을 모아서 구독자 여러분들께 CTI란 무엇인지 소개하고, CTI 분야에 취업하거나 이직하고 싶으신 분들을 위한 꿀팁도 이야기해 드리려고 해요.

CTI, 이게 이게 뭐예요?

얼마 전 북한🇰🇵이 바이비트를 해킹해 한화 2조 원에 달하는 암호화폐를 탈취한 사건, 기억하시나요? 북한 해킹 그룹은 이런 암호화폐 탈취뿐만 아니라 국내외 기업을 대상으로 취약점 악용, 랜섬웨어와 같은 악성코드 배포, 민감정보 탈취 등 다양한 공격을 지속적으로 해오고 있어요.

2월 28일, 미국 연방수사국(FBI)이 바이비트 암호화폐 탈취 사건의 배후가 북한임을 공식적으로 인정

북한을 제외하더라도 정치적, 경제적 충돌로 인해 핵티비스트 단체와 국가 배후 사이버 위협 그룹의 활동이 날로 증가📈하고 있어요. 이에 발맞춰 기업도 사이버 위협에 대응하고 자산을 안전하게 지켜야 할 필요가 있는데, 이럴 때 필요한 것이 바로 CTI인 것이죠!

이렇듯 사이버 위협 인텔리전스(Cyber Threat Intelligence), CTI는 기업의 자산을 보호하기 위해 사이버 상에 존재하는 위협에 대한 정보를 수집하고 분석해 대응 가능한 의미 있는 정보를 생산하는 것을 뜻해요.

그래서 하는 일이 정확히 뭐야?

사이버 위협이 점점 많아지고 피해 규모도 증가하는 반면, 각 기업이 이러한 위협들에 대해 모두 분석하고 대응하기에는 인력과 리소스가 너무 많이 들고 위협 정보가 공유되지 않아 비효율적이기도 해요. 그래서 이런 CTI 정보를 서비스로 제공하는 전문 기업이 여럿 등장하고 성장하고 있답니다.

CTI 서비스를 전문적으로 제공하는 기업들은 취약점부터 악성코드, 위협그룹, 공격 표면, 침해사고 등 기존에 존재하던 데이터 수집과 분석 방법론들을 하나의 라이프사이클로 통합해 기업 입장에서 자산을 보호할 때 더욱 도움이 되는 데이터로 만들어요.

CTI 기업에서 하는 여러 업무 중 하나는 바로 위협 행위자(Threat Actor) 분석이에요. 악성코드, 해킹 공격을 분석하고 다양한 해킹 그룹과의 연관성을 추적한답니다. 혹시 라자루스, 안다리엘, APT37과 같이 어떤 그룹명이 해킹 공격을 했다! 라는 기사를 보시고 어떻게 이 그룹이 공격한 걸 안거지? 궁금해하셨던 적 없으신가요? “이거 우리가 했어요~” 하고 홍보하는 것도 아닐 텐데 말이에요 🤔

라자루스로 밝혀진 링크드인 구직자 대상 악성코드 배포 그룹 (출처: Bitdefender)

CTI 분석가들은 공격 기법 및 행동 패턴(TTP), 연관 지표(IoC), C&C와 같은 인프라, 그 외 다양한 상관관계를 분석하고 그 근거로 위협 행위자를 특정해요. 위협 행위자 특정이 중요한 이유는 같은 공격 그룹에서 나타나는 공통적인 특징이 있기 때문이에요. 어떤 유형의 취약점을 주로 사용하는지, 악성코드의 최초 침입 루트로는 어떤 방식을 선호하는지, 이전 공격에 사용한 인프라를 재사용 했는지 등의 특징을 알고 있으면 선제적인 대응이 가능하겠죠!

이뿐만 아니라 오픈 소스(OSINT) 정보, 다크웹과 딥웹의 해커 포럼, 취약점 정보 등 다양한 경로에서 수집된 데이터를 공격 표면 관리(ASM) 등의 서비스로 기업 자산을 모니터링한 결과와 결합해 제공함으로써 기업이 대응 우선순위를 결정하는 데 도움을 줄 수 있도록 서비스에 녹여내고 있어요.

이렇듯 CTI는 점점 기업 자산 보호에 필수적인 서비스로 자리잡으며 사이버 보안에 기여하고 있답니다.