MITRE ATT&CK의 기법 이름을 아는 것과 실제 방어 행동을 하는 것은 다릅니다. ATT&CK는 공격자 행동을 공통 언어로 설명하는 데 유용하지만, 기법 이름만 보안 문서에 적어 두면 운영팀이 무엇을 해야 하는지 바로 알기 어렵습니다. 방어 관점에서는 기법 이름을 로그 요구사항, 탐지 아이디어, 예방 통제, 대응 절차, 검증 과제로 바꿔야 합니다.
MITRE D3FEND는 방어 대책과 방어 기법을 구조적으로 생각하게 돕는 지식 그래프입니다. ATT&CK가 “공격자가 어떤 행동을 하는가”를 설명한다면, D3FEND는 “그 행동을 방어하기 위해 어떤 대책을 생각할 수 있는가”를 정리하는 데 도움이 됩니다. 이 글은 공격 실행 절차가 아니라 방어 목적의 매핑 방법을 설명합니다.
먼저 매핑의 목적을 정한다
공격 기법을 방어 행동으로 연결할 때 가장 먼저 정해야 할 것은 목적입니다. 목적이 없으면 ATT&CK 기법 목록을 스프레드시트에 옮기는 작업으로 끝납니다.
매핑 목적은 보통 다음 중 하나입니다.
- 우리 환경에서 중요한 공격 행동을 식별한다.
- 필요한 로그와 센서가 있는지 확인한다.
- 탐지 규칙이나 상관분석 아이디어를 만든다.
- 예방 통제와 대응 절차를 정리한다.
- 보안 훈련이나 사이버레인지 시나리오의 검증 기준을 만든다.
이 중 무엇을 목표로 하는지에 따라 결과물이 달라집니다. 탐지 엔지니어링이 목적이라면 로그 필드와 탐지 조건이 중요하고, 사고 대응 훈련이 목적이라면 역할, 판단 기준, 복구 절차가 중요합니다.
ATT&CK 기법 이름을 그대로 쓰지 않는다
ATT&CK 기법은 출발점입니다. 예를 들어 어떤 기법이 우리 환경에 관련 있다고 하더라도, 그 기법 이름만 적어서는 방어자가 할 일을 알 수 없습니다.
방어 행동으로 바꾸려면 다음 질문을 붙여야 합니다.
| 질문 | 의미 |
|---|---|
| 우리 환경에서 이 행동이 가능한가? | 운영체제, 계정 구조, 네트워크, 클라우드 환경과 연결합니다. |
| 어떤 증거가 남는가? | 이벤트 로그, 네트워크 로그, EDR, IAM 로그, 애플리케이션 로그를 봅니다. |
| 어떤 예방 통제가 있는가? | 권한 제한, 설정 강화, 차단 정책, 분리 구조를 봅니다. |
| 어떻게 탐지할 수 있는가? | 단일 이벤트, 연속 행동, 비정상 패턴, 상관분석 기준을 봅니다. |
| 의심되면 누가 무엇을 하는가? | 분석 담당자, 조치 담당자, 보고 경로, 복구 절차를 정합니다. |
이 질문을 붙여야 ATT&CK 기법이 실제 운영 과제로 바뀝니다.
D3FEND를 방어 대책 분류에 활용한다
D3FEND는 방어 행동을 더 체계적으로 분류할 때 유용합니다. 단순히 “탐지한다”라고 쓰는 대신, 어떤 방어 대책이 가능한지 나눠 볼 수 있습니다.
예를 들어 한 공격 기법에 대해 다음처럼 나눌 수 있습니다.
| 방어 관점 | 확인할 내용 |
|---|---|
| 예방 | 설정 강화, 권한 축소, 실행 제한, 네트워크 분리 |
| 탐지 | 로그 수집, 이벤트 상관분석, 이상 행위 탐지 |
| 대응 | 계정 잠금, 호스트 격리, 토큰 폐기, 악성 파일 제거 |
| 복구 | 백업 복구, 설정 원복, 패치, 재발 방지 조치 |
| 검증 | 탐지 테스트, 훈련, 오탐·누락 분석, 개선 기록 |
이렇게 나누면 “통제가 있다”는 말보다 더 운영 가능한 결과가 나옵니다. 방어 행동은 존재 여부보다 작동 증거가 중요합니다. 예를 들어 EDR이 설치되어 있다는 사실보다, 해당 행동을 탐지할 로그가 실제로 들어오고 분석가가 확인할 수 있는지가 더 중요합니다.
매핑 표를 만드는 방법
실무에서는 기법별로 다음 항목을 표로 정리하면 좋습니다.
| 항목 | 작성 내용 |
|---|---|
| ATT&CK 기법 | 기법 ID와 이름 |
| 우리 환경 관련성 | 관련 시스템, 계정, 네트워크, 클라우드 범위 |
| 관찰 가능한 증거 | 필요한 로그, 이벤트 ID, 필드, 센서 |
| 탐지 아이디어 | 어떤 조합이나 패턴을 볼 것인지 |
| D3FEND 관점 | 예방, 탐지, 대응, 복구 중 어떤 방어 행동인지 |
| 대응 절차 | 의심 시 분석가와 운영자가 할 일 |
| 검증 방법 | 테스트, 훈련, 룰 검토, 오탐 분석 |
| 남은 과제 | 로그 부족, 권한 문제, 도구 미연동, 담당자 미정 |
이 표의 목적은 완벽한 매핑 문서를 만드는 것이 아닙니다. 보안팀이 “우리가 이 공격 행동을 실제로 볼 수 있는가”를 확인하게 만드는 것입니다.
예시: 기법을 운영 행동으로 바꾸는 흐름
예를 들어 특정 공격 행동이 계정 오남용과 관련 있다고 가정해 보겠습니다. 이때 바로 탐지 규칙을 쓰기보다 다음 순서로 정리합니다.
1. 해당 행동이 우리 환경에서 발생할 수 있는지 확인합니다.
2. 어떤 계정과 시스템에서 증거가 남는지 봅니다.
3. 인증 로그, 권한 변경 로그, 엔드포인트 로그가 충분한지 확인합니다.
4. 정상 운영과 다른 행동 패턴을 정의합니다.
5. 탐지 규칙을 만들고 오탐 가능성을 검토합니다.
6. 의심 이벤트가 뜨면 분석가가 확인할 절차를 적습니다.
7. 계정 잠금, 세션 폐기, 권한 회수 같은 대응 절차를 연결합니다.
8. 훈련이나 샘플 데이터로 탐지와 대응이 실제 작동하는지 확인합니다.
이 흐름은 공격 방법을 설명하기 위한 것이 아닙니다. 공격자 행동 이름을 방어자가 확인할 증거와 행동으로 바꾸기 위한 절차입니다.
흔한 실수
첫 번째 실수는 ATT&CK 기법을 너무 많이 고르는 것입니다. 모든 기법을 한 번에 매핑하려 하면 깊이가 얕아집니다. 중요한 업무 시스템 하나를 고르고 관련성 높은 기법 몇 개부터 시작하는 편이 낫습니다.
두 번째 실수는 로그가 있는지 확인하지 않고 탐지 아이디어를 쓰는 것입니다. 탐지 아이디어는 로그와 필드가 있어야 작동합니다. 로그가 없으면 먼저 수집 설계가 과제입니다.
세 번째 실수는 예방 통제와 탐지를 혼동하는 것입니다. 설정을 막는 통제와 행동을 발견하는 탐지는 다릅니다. 둘 다 필요하지만 운영 담당자와 검증 방식이 다를 수 있습니다.
네 번째 실수는 대응 절차를 비워 두는 것입니다. 경보가 떠도 누가 확인하고, 어느 기준에서 격리하고, 어떤 보고 경로를 쓰는지 없으면 방어 행동으로 이어지지 않습니다.
보안 훈련에 연결하는 방법
이 매핑은 보안 훈련에도 사용할 수 있습니다. 훈련에서는 “공격 기법을 재현했다”보다 “방어팀이 어떤 증거를 보고 어떤 판단을 했는가”가 더 중요합니다.
훈련 시나리오에는 다음 항목을 넣을 수 있습니다.
- 관찰해야 할 로그와 대시보드
- 분석가가 확인해야 할 질문
- 대응 담당자가 수행할 조치
- 오탐과 누락을 구분하는 기준
- 훈련 후 개선할 탐지 규칙과 절차
이렇게 하면 ATT&CK와 D3FEND가 단순 표가 아니라 훈련 평가 기준으로 연결됩니다.
예를 들어 훈련 종료 후에는 “탐지 성공”만 기록하지 말고 어떤 로그가 충분했고 어떤 로그가 부족했는지, 분석가가 어느 단계에서 판단을 지연했는지, 대응 권한이 명확했는지까지 남겨야 합니다. 방어 매핑의 최종 결과는 탐지 규칙 하나가 아니라 다음 훈련과 실제 사고 대응에서 다시 사용할 수 있는 개선 목록입니다.
팀 단위로 운영한다면 매핑표에 담당 역할을 함께 붙이는 것이 좋습니다. 탐지 엔지니어는 로그와 규칙을 보고, SOC 분석가는 경보 해석 절차를 보고, 시스템 운영자는 격리와 복구 권한을 확인합니다. 같은 기법을 보더라도 역할마다 필요한 행동이 다르기 때문에, 매핑 결과는 담당자별 실행 항목으로 나뉘어야 합니다.
AI 시스템이 포함될 때 ATLAS를 함께 본다
일반 IT 시스템이 아니라 AI 시스템이 포함된 환경이라면 MITRE ATLAS도 참고할 수 있습니다. ATLAS는 AI 시스템을 대상으로 한 공격자 전술과 기법을 정리합니다. AI 모델, 데이터, 프롬프트, 배포 파이프라인, 평가 체계가 공격 표면이 될 수 있기 때문입니다.
다만 ATLAS를 추가한다고 해서 기본 보안 매핑이 사라지는 것은 아닙니다. 계정, 네트워크, 엔드포인트, 로그, 권한 관리는 여전히 중요합니다. AI 시스템에서는 여기에 데이터 오염, 모델 악용, 프롬프트 기반 오남용, 모델 출력 검증 같은 항목을 추가로 봅니다.
결론
공격 기법을 방어 행동으로 연결하려면 ATT&CK 기법 이름에서 멈추면 안 됩니다. 우리 환경에서 가능한 행동인지 확인하고, 관찰 가능한 증거를 찾고, D3FEND 관점으로 예방·탐지·대응·복구 대책을 나누고, 담당자와 검증 주기를 정해야 합니다.
실무 가치는 표를 많이 채우는 데서 나오지 않습니다. 특정 공격 행동을 우리 조직이 실제로 볼 수 있는지, 경보가 났을 때 누가 무엇을 하는지, 훈련 후 어떤 통제를 개선할지까지 연결될 때 생깁니다.
보안 프레임워크는 이름을 외우기 위한 자료가 아닙니다. 공격자 행동을 방어자의 관찰 증거와 운영 행동으로 바꾸는 데 사용할 때 의미가 있습니다.
처음 하는 사람을 위한 단계별 설명
공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법을 어렵게 생각할 필요는 없습니다. 공격 기법과 방어 행동의 관계는 도둑의 발자국과 경비원의 행동을 연결하는 것과 같습니다.
이 글에서는 다음과 같은 상황을 떠올리면 됩니다. ATT&CK 기법 이름을 복사하는 데서 끝내지 않고 데이터 원천·탐지 논리·차단 통제·검증 시나리오를 한 줄로 연결한다. 처음부터 완벽하게 하려 하지 말고, 아래 순서를 하나씩 끝내면 됩니다.
1단계. 우리 환경에서 실제 가능한 공격 경로와 관련 ATT&CK 기법을 고른다
쉽게 말하면, 지금은 ‘우리 환경에서 실제 가능한 공격 경로와 관련 ATT&CK 기법을 고른다’에만 집중하면 됩니다. 기법 이름을 많이 고르기보다 우리 시스템에서 실제로 일어날 수 있는 한두 가지부터 연결하세요.
이 단계에서 답해야 할 질문은 ‘우리 환경에서 실제 가능한 공격 경로와 관련 ATT&CK 기법을 고른다’입니다. 목록을 전부 가져오면 우리 환경과 상관없는 항목이 섞입니다. 현재 사용하는 계정, 서버, AI 도구에서 실제로 가능한 경로만 고르고 그 이유를 짧게 적으세요. ‘공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법’에 관해 확인한 날짜와 자료의 이름을 짧게 적어 두면 며칠 뒤에도 왜 그렇게 결정했는지 다시 알 수 있습니다.
2단계. 기법이 남기는 프로세스·인증·네트워크·파일 흔적을 적는다
쉽게 말하면, 지금은 ‘기법이 남기는 프로세스·인증·네트워크·파일 흔적을 적는다’에만 집중하면 됩니다. 한 번에 여러 조건을 바꾸지 말고 이 항목 하나를 확인한 뒤 결과를 적어 두세요. 그래야 다음 단계에서 문제가 생겨도 원인을 찾기 쉽습니다.
이 단계에서 답해야 할 질문은 ‘기법이 남기는 프로세스·인증·네트워크·파일 흔적을 적는다’입니다. 공격 이름만 알아서는 경고를 만들 수 없습니다. 어떤 컴퓨터에서 누가 언제 무엇을 했는지 보여 주는 값이 실제 로그에 들어오는지 샘플 한 건으로 확인하세요. ‘공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법’에 관해 확인한 날짜와 자료의 이름을 짧게 적어 두면 며칠 뒤에도 왜 그렇게 결정했는지 다시 알 수 있습니다.
3단계. 수집 중인 로그가 필요한 필드와 시간 해상도를 갖는지 확인한다
쉽게 말하면, 지금은 ‘수집 중인 로그가 필요한 필드와 시간 해상도를 갖는지 확인한다’에만 집중하면 됩니다. 날짜와 대상, 결과를 함께 남겨야 나중에 같은 일이 생겼을 때 무엇이 달라졌는지 찾을 수 있습니다.
이 단계에서 답해야 할 질문은 ‘수집 중인 로그가 필요한 필드와 시간 해상도를 갖는지 확인한다’입니다. 공격 이름만 알아서는 경고를 만들 수 없습니다. 어떤 컴퓨터에서 누가 언제 무엇을 했는지 보여 주는 값이 실제 로그에 들어오는지 샘플 한 건으로 확인하세요. ‘공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법’에 관해 확인한 날짜와 자료의 이름을 짧게 적어 두면 며칠 뒤에도 왜 그렇게 결정했는지 다시 알 수 있습니다.
4단계. D3FEND의 방어 개념을 현재 제품 설정과 운영 행동으로 번역한다
쉽게 말하면, 지금은 ‘D3FEND의 방어 개념을 현재 제품 설정과 운영 행동으로 번역한다’에만 집중하면 됩니다. 기법 이름을 많이 고르기보다 우리 시스템에서 실제로 일어날 수 있는 한두 가지부터 연결하세요.
이 단계에서 답해야 할 질문은 ‘D3FEND의 방어 개념을 현재 제품 설정과 운영 행동으로 번역한다’입니다. 목록을 전부 가져오면 우리 환경과 상관없는 항목이 섞입니다. 현재 사용하는 계정, 서버, AI 도구에서 실제로 가능한 경로만 고르고 그 이유를 짧게 적으세요. ‘공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법’에 관해 확인한 날짜와 자료의 이름을 짧게 적어 두면 며칠 뒤에도 왜 그렇게 결정했는지 다시 알 수 있습니다.
5단계. 정상 관리 작업과 공격을 구분할 예외 조건과 승인 절차를 둔다
쉽게 말하면, 지금은 ‘정상 관리 작업과 공격을 구분할 예외 조건과 승인 절차를 둔다’에만 집중하면 됩니다. 필요한 사람에게 필요한 기능만 주면 계정 하나가 잘못돼도 피해가 넓게 번지는 일을 줄일 수 있습니다.
이 단계에서 답해야 할 질문은 ‘정상 관리 작업과 공격을 구분할 예외 조건과 승인 절차를 둔다’입니다. 결과는 ‘괜찮아 보인다’로 끝내지 말고 실제 값이나 열린 화면으로 확인합니다. 답을 찾지 못했다면 다음 단계로 넘어가지 말고 범위를 더 작게 나누어 보세요. ‘공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법’에 관해 확인한 날짜와 자료의 이름을 짧게 적어 두면 며칠 뒤에도 왜 그렇게 결정했는지 다시 알 수 있습니다.
6단계. 격리 환경에서 재현해 탐지·알림·조사·복구까지 걸린 시간을 기록한다
쉽게 말하면, 지금은 ‘격리 환경에서 재현해 탐지·알림·조사·복구까지 걸린 시간을 기록한다’에만 집중하면 됩니다. 실제 서비스와 떨어진 시험 공간에서 먼저 해 보면 실수해도 방문자와 운영 자료에 영향을 주지 않습니다.
이 단계에서 답해야 할 질문은 ‘격리 환경에서 재현해 탐지·알림·조사·복구까지 걸린 시간을 기록한다’입니다. 시험 공간에는 실제 사이트와 같은 글, 이미지, 플러그인 조건을 넣어야 비교가 됩니다. 다만 실제 결제나 메일 발송은 꺼 두어 외부에 잘못 전달되지 않게 합니다. ‘공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법’에 관해 확인한 날짜와 자료의 이름을 짧게 적어 두면 며칠 뒤에도 왜 그렇게 결정했는지 다시 알 수 있습니다.
왜 이 순서로 해야 할까요?
처음 두 단계인 ‘우리 환경에서 실제 가능한 공격 경로와 관련 ATT&CK 기법을 고른다’와 ‘기법이 남기는 프로세스·인증·네트워크·파일 흔적을 적는다’는 출발 조건을 확인하는 과정입니다. 이 답이 틀리면 뒤에서 아무리 열심히 해도 잘못된 대상이나 조건을 기준으로 움직이게 됩니다. 서두르기보다 공식 자료와 실제 환경이 맞는지 먼저 확인하세요.
가운데 두 단계인 ‘수집 중인 로그가 필요한 필드와 시간 해상도를 갖는지 확인한다’와 ‘D3FEND의 방어 개념을 현재 제품 설정과 운영 행동으로 번역한다’는 계획을 실제 행동으로 바꾸면서 위험을 줄이는 과정입니다. 한 번에 범위를 넓히지 말고 작은 예시 하나로 먼저 해 보세요. 예상과 실제가 다르면 그 자리에서 멈춰 차이를 찾아야 뒤 단계의 판단도 정확해집니다.
마지막 두 단계인 ‘정상 관리 작업과 공격을 구분할 예외 조건과 승인 절차를 둔다’와 ‘격리 환경에서 재현해 탐지·알림·조사·복구까지 걸린 시간을 기록한다’는 결과가 쓸 만한지 확인하고 다음에도 같은 방법을 쓸 수 있게 마무리하는 과정입니다. 끝났다는 느낌보다 실제 화면, 수치, 서류, 현장 상태로 답을 확인하세요. 문제가 생겼을 때 선택할 두 번째 방법까지 정해 두면 처음 계획이 어긋나도 당황하지 않습니다.
한 번에 이해하는 쉬운 예시
예를 들어 수상한 로그인 뒤 파일이 한꺼번에 바뀌는 공격을 막는다면, 로그인 로그와 파일 변경 로그가 같은 시간표에 보여야 합니다. 경고가 울린 뒤 누가 계정을 잠그는지도 정해 둡니다.
혼자 결정하기 어려운 순간
실제 공격을 흉내 내는 시험은 허가된 시험망과 정해진 시간 안에서만 해야 합니다. 업무 서버에 영향을 줄 가능성이 있거나 로그에 개인정보가 들어 있다면 보안 담당자와 시스템 책임자에게 범위와 중지 조건을 먼저 확인하세요. 이 글의 주제인 ‘공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법’에서도 모르는 부분을 억지로 채우기보다, 확인되지 않은 점을 그대로 표시하고 답을 얻은 뒤 다음 단계로 넘어가는 것이 가장 빠릅니다.
예상과 다를 때 이렇게 하세요
‘공격 기법을 관찰 가능한 방어 행동으로 바꾸는 방법’에서 예상과 다른 상황이 생기면 다음처럼 대응합니다. 예상과 다른 경고나 차단이 나오면 시험을 멈추고 격리된 범위가 맞는지 확인합니다. 정상 업무가 막혔는지, 필요한 로그가 빠졌는지부터 살핀 뒤 규칙 하나만 고쳐 다시 시험합니다.
함께 읽을 글
- Cyber Range를 넘어 임무를 지키는 훈련: 2026 을지훈련과 Multi-Domain Mission Assurance Range
- Tailscale로 사내망 원격접속 통제하기: VPN 장비 비용을 줄이는 제로트러스트 구조
- AI가 취약점을 찾고 공동 대응이 고친다: Glasswing과 Akrites의 연결 구조
더 확인할 자료
아래 자료는 공격 기법과 방어 행동을 매핑할 때 참고할 만한 공식 자료입니다.