강민석 카스퍼스키 이사
국내 최대 사이버위협 인텔리전스 전문 컨퍼런스인 ‘제13회 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스(K-CTI 2026)’가 4월 7일 서울 코엑스 3층 컨퍼런스룸 E에서 열렸다. 이번 행사는 데일리시큐가 주최하고 한국인터넷진흥원(KISA), 한국정보보호산업협회(KISIA)가 후원했으며, 정부와 공공기관, 지자체, 교육기관, 금융기관, 의료기관, 일반기업의 정보보안 책임자와 실무자 1,000여 명이 참석했다.
이날 카스퍼스키 강민석 이사는 ‘위협 인텔리전스로 강화된 XDR의 실 구축 사례들’을 주제로 강연에 나서, 점점 정교해지는 다단계 공격에 대응하기 위해서는 단순 탐지를 넘어 위협 인텔리전스와 연계된 통합 대응 체계가 필요하다고 강조했다.
강 이사는 먼저 최근 공격 양상이 얼마나 복잡하게 진화했는지를 실제 사례를 통해 설명했다. 하나의 악성 파일만으로 끝나는 것이 아니라 LNK, VBS, 파워셸 스크립트, 다운로더, 백도어, 정보탈취 악성코드가 여러 단계로 이어지며 침투와 확산, 명령수신, 정보유출까지 수행하는 구조가 일반화됐다는 것이다. 그는 블루노로프 계열의 스냇치크립토 캠페인과 같은 사례를 언급하며, 오늘날 공격은 한 개의 탐지 이벤트만으로는 전체 흐름을 파악하기 어렵고, 각 단계의 행위를 연결해서 봐야 실질적인 대응이 가능하다고 설명했다.
특히 강연에서는 공격을 제대로 이해하기 위해 ‘풀 컨텍스트(Full-context)’가 중요하다는 점이 반복해서 강조됐다. 실제 현장에서는 개별 파일 해시나 특정 IP만 따로 보면 서로 연관이 없어 보이는 흔적들이 많지만, 스크립트 실행과 백도어 설치, 자격증명 탈취, 측면 이동, 외부 명령제어 접속까지 연속된 공격 흐름으로 묶어 보면 위협의 실체가 드러난다는 것이다. 강 이사는 이런 다단계 침해를 놓치지 않기 위해서는 단편적 경고가 아니라 공격 전개 전체를 보는 시야가 필요하다고 말했다.
공격은 더 복잡해졌고, 탐지는 더 넓은 맥락을 요구
그는 랜섬웨어와 APT 공격 사례를 함께 제시하며, 공격자들이 이미 오래전부터 정상 도구와 원격접속 도구, 파워셸, 코발트스트라이크, 자격증명 탈취 도구, 원격 관리 도구를 조합해 다단계 킬체인을 구성해 왔다고 설명했다. 콜로니얼 파이프라인 공격과 JBS 푸드 공격 사례처럼 침해 이후 피해 복구에는 오랜 시간이 걸리고, 몸값을 지불했다고 해서 문제가 바로 끝나는 것도 아니기 때문에 초기 탐지와 빠른 차단이 훨씬 중요하다고 강조했다. 실제로 공격자가 내부로 들어온 뒤 어떤 도구를 거쳐 확산하고, 어떤 채널을 통해 데이터를 빼내려 하는지를 사전에 연결해 볼 수 있어야 실무 대응 속도가 달라진다는 설명이다.
강 이사는 카스퍼스키가 그동안 추적해 온 다양한 표적공격 연구 사례도 소개했다. 엑스페트르(ExPetr/NotPetya), 올림픽 디스트로이어(Olympic Destroyer), 문바운스(MoonBounce), 오퍼레이션 트라이앵귤레이션(Operation Triangulation) 등은 단순 악성코드 탐지 차원을 넘어, 공격자의 기술적 특징과 배후, 지속성 메커니즘까지 장기간 분석해야만 실체를 파악할 수 있었던 사례라고 설명했다. 이 과정에서 위협 인텔리전스는 단지 IOC 목록을 제공하는 것이 아니라, 공격자의 성향과 유사 샘플, 침투 방식, 표적 산업군을 함께 해석하는 역할을 한다고 덧붙였다.
이날 강연의 핵심 중 하나는 SIEM의 한계에 대한 지적이었다. 강 이사는 SIEM이 여러 장비의 로그를 모아 상관분석을 수행하는 데 매우 중요한 역할을 하지만, 그 출발점에는 반드시 ‘누군가 먼저 공격 흔적을 찾아내야 한다’는 구조적 한계가 있다고 말했다. IPS나 이메일 서버, 방화벽 어디에서도 공격 흔적을 먼저 발견하지 못하면, 이후의 상관분석도 의미를 잃게 된다는 것이다. 결국 SIEM과 SOAR가 실효성을 가지려면 IOC가 지속적으로 공급돼야 하고, 이 IOC가 실제 환경의 탐지와 대응 체계 안에서 살아 움직이도록 해야 한다고 설명했다.
K-CTI 2026 강민석 이사 강연 현장
XDR의 성패, 위협 인텔리전스와 자동 대응 체계에 달렸다
강 이사는 이어 오픈 XDR과 네이티브 XDR의 차이도 짚었다. 오픈 XDR은 다양한 벤더의 제품과 연동할 수 있어 유연성이 높고, 네이티브 XDR은 동일 벤더 생태계 내에서 높은 통합성과 자동화, 간소화된 운영을 제공한다는 점에서 장단점이 나뉜다고 설명했다. 카스퍼스키는 위협 인텔리전스, EDR, 안티 타기티드 어택, 샌드박스, 이메일 보안, 하이브리드 클라우드 보안 등을 연결해 통합된 XDR 아키텍처를 구성하고 있으며, 이를 통해 탐지 정확도와 분석 효율을 함께 높이는 방향을 제시했다고 밝혔다.
실제 탐지 기술 구성도 구체적으로 제시됐다. 안티멀웨어 엔진, 샌드박스, YARA 규칙, 공격지표(IoA), URL 평판, Sigma 규칙, IoC 스캐닝 등 여러 탐지 기술이 함께 동작해야 복잡한 위협을 더 높은 정확도로 찾아낼 수 있다는 설명이다. 강 이사는 특히 정상적인 호스트 활동을 학습해 비정상적인 경고 체인을 잡아내는 AI 기반 자산 스코어링 개념도 소개하며, 고정된 규칙만으로는 놓치기 쉬운 공격 패턴을 학습형 알고리즘으로 보완할 수 있다고 말했다.
강연에서는 카스퍼스키 위협 인텔리전스의 데이터 규모와 운영 방식도 공개됐다. 전 세계 수억 명 규모의 사용자 기반과 센서, 웹 크롤러, 봇팜, 스팸 함정, APT 연구팀, 파트너 협업 등을 통해 데이터를 수집하고, 매일 수십만 개의 새로운 위협을 탐지하며, 대규모 연구 인력이 이를 지속적으로 분석하고 있다는 점이 소개됐다. 강 이사는 이런 위협 인텔리전스가 단순히 ‘악성’ 여부만 알려주는 것이 아니라, 최초 탐지 시점과 최근 관측 시점, 관련 IP, 국가 분포, 위협명, 연관 파일과 URL, WHOIS 정보 등 풍부한 맥락을 함께 제공해야 실무 활용도가 높아진다고 설명했다.
그는 특히 URL IoC와 파일 해시 피드 예시를 들며, 실무에서 중요한 것은 한 줄짜리 블랙리스트가 아니라 해석 가능한 구조화 데이터라고 강조했다. 이런 데이터가 JSON, STIX, CSV, OpenIOC, PCRE 같은 다양한 형식으로 제공되면 SIEM, SOAR는 물론 이메일 서버, 엔드포인트 관리 시스템, 클라우드 보안 운영 체계, MDM 등과도 폭넓게 연동할 수 있고, 조직 내부에서 자체적인 프라이빗 CTI 체계를 구축하는 데도 유리하다고 설명했다. 특히 폐쇄망에서는 외부 API 조회가 어렵기 때문에 데이터 피드 전체를 단방향으로 내려받아 내부에서 운영하는 방식이 더 적합하다고 강조했다.
강연 자료 내용 중
금융·OT·폐쇄망까지…국내 환경에 맞춘 구축 사례 제시
강 이사는 위협 인텔리전스와 XDR, SIEM, SOAR를 결합한 자동 탐지·자동 대응 구조도 소개했다. 서버나 클라이언트에 심어진 악성 스크립트가 트로이목마를 내려받는 행위, 트로이목마가 C2 서버와 통신하는 행위, 이메일 서버를 통한 악성코드 유포, 웹을 통한 악성 파일 다운로드 유도 행위를 탐지한 뒤, 방화벽과 IPS, 이메일 서버, 클라우드 서버, 엔드포인트 중앙관리 시스템에 차단 정책을 자동 반영하는 식이다. 결국 탐지는 빠르게, 대응은 자동으로 이어져야 다단계 킬체인을 중간에서 끊어낼 수 있다는 메시지였다.
적용 사례로는 금융기관 폐쇄망 SIEM 환경이 제시됐다. 이 구조에서는 SIEM이 여러 네트워크 장비와 IT 시스템의 로그를 수집하고 URL, 해시, IP 등의 이벤트를 분석한 뒤, 카스퍼스키 사이버 트레이스(Cyber Trace)가 위협 피드와 실시간으로 대조해 탐지 이벤트를 생성한다. 이후 보안 담당자는 대시보드와 웹 콘솔에서 해당 이벤트를 맥락 정보와 함께 확인하고, 이를 기준으로 사고 조사와 후속 대응을 수행하게 된다. 이는 금융권처럼 폐쇄성과 안정성이 중요한 환경에서 위협 인텔리전스를 어떻게 운영 체계 안으로 녹여낼 수 있는지를 보여주는 사례였다.
또 다른 사례로는 OT망 보안 로그 실시간 분석 모델이 소개됐다. OT 환경 역시 여러 장비와 시스템 로그를 모은 뒤, 위협 피드와의 일치 여부를 실시간으로 판단해 탐지 이벤트를 발생시키는 방식이다. 강 이사는 산업제어 시스템 환경에서는 단순 보안 솔루션 추가보다 운영 연속성과 안정성을 해치지 않는 방식의 탐지 체계가 중요하며, 맥락이 포함된 위협 인텔리전스가 그 역할을 해낼 수 있다고 설명했다.
완전 폐쇄망 환경에 대한 모델도 눈길을 끌었다. 강연에서는 인터넷망과 폐쇄망 사이에 연계 시스템을 두고, 파일 평판, URL 평판, 연구 샌드박스, 사이버 트레이스, 위협 분석 엔진 등을 내부 환경에 맞게 운영하는 프라이빗 위협 인텔리전스 플랫폼 구조가 제시됐다. 이는 외부 API 호출 없이도 폐쇄망 안에서 충분한 위협 탐지와 분석 체계를 구현할 수 있다는 점에서 공공, 국방, 금융, 산업 분야 참석자들의 관심을 끌었다.
강 이사는 위협 분석의 고도화 측면에서 ‘위협 귀속(Attribution)’ 기능도 소개했다. 카스퍼스키의 위협 귀속 엔진은 축적된 악성코드 계보와 유사도 분석을 통해, 새로 발견된 파일이 어떤 공격자군과 관련성이 있는지, 기존 APT 샘플과 어떤 유전적 유사성을 가지는지 자동으로 분석해 준다는 설명이다. 그는 과거에는 수년씩 걸리던 추적 작업이 자동화된 분석을 통해 훨씬 빠르게 진행될 수 있으며, 고객이 자체 보유한 샘플이나 공격자 정보를 학습 데이터에 추가해 더 정교한 내부 분석 체계를 갖출 수도 있다고 말했다.
이날 발표는 단순히 제품 기능을 나열하는 데 그치지 않고, 실제 보안 운영에서 XDR이 왜 위협 인텔리전스와 결합돼야 하는지를 사례 중심으로 설명했다는 점에서 의미가 있었다. 공격이 다단계·지속형으로 진화하는 상황에서 로그 수집과 상관분석만으로는 한계가 분명하고, 풍부한 맥락이 담긴 위협 데이터가 탐지와 조사, 차단 정책 자동화까지 이어져야 비로소 운영 효율과 대응 속도를 함께 끌어올릴 수 있다는 점을 분명히 했다.
강민석 카스퍼스키 이사는 이날 강연에서 “위협 인텔리전스는 단순한 IOC 목록이 아니라, 공격의 맥락을 이해하고 실제 대응까지 연결하기 위한 기반”이라며 “폐쇄망과 OT망, 일반 기업 환경까지 각 조직의 운영 특성에 맞춰 XDR과 위협 인텔리전스를 결합해야 실질적인 보안 효과를 얻을 수 있다”고 강조했다.
댓글
0