TDR(위협 탐지 및 대응)이란?

조직이 클라우드 공간을 확장하고, 더 많은 디바이스를 인터넷에 연결하고, 하이브리드 업무 공간으로 전환함에 따라 사이버 위협의 식별이 점점 더 어려워지고 있습니다. 악의적인 행위자는 다음과 같은 유형의 전술을 사용하여 이렇게 확장된 노출 영역과 보안 도구의 단편화를 이용합니다.

• 피싱 작전: 악의적인 행위자가 회사에 침투하는 가장 일반적인 방법 중 하나는 직원을 속여 악성 코드를 다운로드하거나 자격 증명을 제공하도록 속이는 이메일을 보내는 것입니다.
• 맬웨어: 많은 사이버 공격자는 컴퓨터와 시스템을 손상시키거나 중요한 정보를 수집하도록 설계된 소프트웨어를 배포합니다.
• 랜섬웨어: 일종의 맬웨어인 랜섬웨어 공격자는 중요한 시스템과 데이터를 인질로 잡고 몸값이 지불될 때까지 개인 데이터를 공개하거나 클라우드 리소스를 훔쳐 비트코인을 채굴하겠다고 위협합니다. 최근 사이버 공격자 집단이 조직의 전체 네트워크에 액세스하는 형태의 인간 조작 랜섬웨어가 보안 팀이 주목하는 문제로 대두되고 있습니다.
• DDoS(분산형 서비스 거부) 공격: 악의적인 행위자는 일련의 봇을 사용하여 트래픽을 폭주시켜 웹 사이트나 서비스를 중단시킵니다.
• 내부자 위협: 모든 사이버 위협이 조직 외부에서 발생하는 것은 아닙니다. 중요한 데이터에 액세스할 수 있는 신뢰할 수 있는 직원이 의도치 않게 또는 악의적으로 조직에 해를 끼칠 위험도 있습니다.
• ID 기반 공격: 대부분의 침해는 사이버 공격자가 사용자 자격 증명을 훔치거나 추측하여 조직의 시스템 및 데이터에 액세스하는 데 사용할 때 발생하는 손상된 ID와 관련됩니다.
• IoT(사물 인터넷) 공격: IoT 디바이스도 사이버 공격에 취약하며, 특히 최신 디바이스와 달리 보안 제어 기능이 내장되어 있지 않은 레거시 디바이스는 더욱 그렇습니다.
• 공급망 공격: 때로는 악의적인 행위자가 타사 공급업체에서 제공하는 소프트웨어나 하드웨어를 변조하여 조직을 표적으로 삼는 경우도 있습니다.
• 코드 삽입: 사이버 범죄자는 원본 코드가 외부 데이터를 처리하는 방식의 취약점을 이용하여 애플리케이션에 악성 코드를 삽입합니다.

위협 탐지
증가하는 사이버 보안 공격에 앞서기 위해 조직은 위협 모델링을 사용하여 보안 요구 사항을 정의하고, 취약성과 위험을 식별하고, 수정 우선 순위를 지정합니다. SOC는 가상 시나리오를 사용하여 사이버 범죄자의 마음속으로 들어가 보안 인시던트를 예방하거나 완화하는 조직의 능력을 향상시키고자 노력합니다. MITRE ATT&CK® 프레임워크는 일반적인 사이버 공격 기법 및 전술을 이해하는 데 유용한 모델입니다.

다중 계층 방어에는 환경에 대한 지속적인 실시간 모니터링을 제공하고 잠재적인 보안 문제를 발견하는 도구가 필요합니다. 또한 한 탐지 방법이 손상되면 두 번째 탐지 방법이 문제를 탐지하고 보안 팀에 알릴 수 있도록 솔루션이 중복되어야 합니다. 사이버 위협 탐지 솔루션은 다음과 같은 다양한 방법을 사용하여 위협을 식별합니다.

• 서명 기반 탐지: 많은 보안 솔루션은 소프트웨어와 트래픽을 검사하여 특정 유형의 맬웨어와 관련된 고유한 서명을 식별합니다.
• 동작 기반 탐지: 새롭게 등장하는 사이버 위협을 포착하기 위해 보안 솔루션은 사이버 공격에서 흔히 발생하는 활동와 동작도 찾습니다.
• 변칙 기반 탐지: AI 및 분석은 팀이 사용자, 디바이스, 소프트웨어의 일반적인 행동을 이해하여 사이버 위협을 나타낼 수 있는 비정상 상황을 식별할 수 있도록 도와줍니다.

소프트웨어도 중요하지만 사이버 위협 탐지에서는 사람도 똑같이 중요한 역할을 합니다. 분석가는 시스템 생성 경고를 분류하고 조사하는 것 외에도 사이버 위협 헌팅 기술을 사용하여 손상 징후를 사전에 찾거나 잠재적인 위협을 암시하는 전술, 기법, 절차를 찾습니다. 이러한 접근 방식은 SOC가 정교하고 탐지하기 어려운 공격을 신속하게 발견하고 막는 데 도움이 됩니다.