MITRE ATT&CK의 기법 이름을 아는 것과 실제 방어 행동을 하는 것은 다릅니다. ATT&CK는 공격자 행동을 공통 언어로 설명하는 데 유용하지만, 기법 이름만 보안 문서에 적어 두면 운영팀이 무엇을 해야 하는지 바로 알기 어렵습니다. 방어 관점에서는 기법 이름을 로그 요구사항, 탐지 아이디어, 예방 통제, 대응 절차, 검증 과제로 바꿔야 합니다.
MITRE D3FEND는 방어 대책과 방어 기법을 구조적으로 생각하게 돕는 지식 그래프입니다. ATT&CK가 “공격자가 어떤 행동을 하는가”를 설명한다면, D3FEND는 “그 행동을 방어하기 위해 어떤 대책을 생각할 수 있는가”를 정리하는 데 도움이 됩니다. 이 글은 공격 실행 절차가 아니라 방어 목적의 매핑 방법을 설명합니다.
먼저 매핑의 목적을 정한다
공격 기법을 방어 행동으로 연결할 때 가장 먼저 정해야 할 것은 목적입니다. 목적이 없으면 ATT&CK 기법 목록을 스프레드시트에 옮기는 작업으로 끝납니다.
매핑 목적은 보통 다음 중 하나입니다.
- 우리 환경에서 중요한 공격 행동을 식별한다.
- 필요한 로그와 센서가 있는지 확인한다.
- 탐지 규칙이나 상관분석 아이디어를 만든다.
- 예방 통제와 대응 절차를 정리한다.
- 보안 훈련이나 사이버레인지 시나리오의 검증 기준을 만든다.
이 중 무엇을 목표로 하는지에 따라 결과물이 달라집니다. 탐지 엔지니어링이 목적이라면 로그 필드와 탐지 조건이 중요하고, 사고 대응 훈련이 목적이라면 역할, 판단 기준, 복구 절차가 중요합니다.
ATT&CK 기법 이름을 그대로 쓰지 않는다
ATT&CK 기법은 출발점입니다. 예를 들어 어떤 기법이 우리 환경에 관련 있다고 하더라도, 그 기법 이름만 적어서는 방어자가 할 일을 알 수 없습니다.
방어 행동으로 바꾸려면 다음 질문을 붙여야 합니다.
| 질문 | 의미 |
|---|---|
| 우리 환경에서 이 행동이 가능한가? | 운영체제, 계정 구조, 네트워크, 클라우드 환경과 연결합니다. |
| 어떤 증거가 남는가? | 이벤트 로그, 네트워크 로그, EDR, IAM 로그, 애플리케이션 로그를 봅니다. |
| 어떤 예방 통제가 있는가? | 권한 제한, 설정 강화, 차단 정책, 분리 구조를 봅니다. |
| 어떻게 탐지할 수 있는가? | 단일 이벤트, 연속 행동, 비정상 패턴, 상관분석 기준을 봅니다. |
| 의심되면 누가 무엇을 하는가? | 분석 담당자, 조치 담당자, 보고 경로, 복구 절차를 정합니다. |
이 질문을 붙여야 ATT&CK 기법이 실제 운영 과제로 바뀝니다.
D3FEND를 방어 대책 분류에 활용한다
D3FEND는 방어 행동을 더 체계적으로 분류할 때 유용합니다. 단순히 “탐지한다”라고 쓰는 대신, 어떤 방어 대책이 가능한지 나눠 볼 수 있습니다.
예를 들어 한 공격 기법에 대해 다음처럼 나눌 수 있습니다.
| 방어 관점 | 확인할 내용 |
|---|---|
| 예방 | 설정 강화, 권한 축소, 실행 제한, 네트워크 분리 |
| 탐지 | 로그 수집, 이벤트 상관분석, 이상 행위 탐지 |
| 대응 | 계정 잠금, 호스트 격리, 토큰 폐기, 악성 파일 제거 |
| 복구 | 백업 복구, 설정 원복, 패치, 재발 방지 조치 |
| 검증 | 탐지 테스트, 훈련, 오탐·누락 분석, 개선 기록 |
이렇게 나누면 “통제가 있다”는 말보다 더 운영 가능한 결과가 나옵니다. 방어 행동은 존재 여부보다 작동 증거가 중요합니다. 예를 들어 EDR이 설치되어 있다는 사실보다, 해당 행동을 탐지할 로그가 실제로 들어오고 분석가가 확인할 수 있는지가 더 중요합니다.
매핑 표를 만드는 방법
실무에서는 기법별로 다음 항목을 표로 정리하면 좋습니다.
| 항목 | 작성 내용 |
|---|---|
| ATT&CK 기법 | 기법 ID와 이름 |
| 우리 환경 관련성 | 관련 시스템, 계정, 네트워크, 클라우드 범위 |
| 관찰 가능한 증거 | 필요한 로그, 이벤트 ID, 필드, 센서 |
| 탐지 아이디어 | 어떤 조합이나 패턴을 볼 것인지 |
| D3FEND 관점 | 예방, 탐지, 대응, 복구 중 어떤 방어 행동인지 |
| 대응 절차 | 의심 시 분석가와 운영자가 할 일 |
| 검증 방법 | 테스트, 훈련, 룰 검토, 오탐 분석 |
| 남은 과제 | 로그 부족, 권한 문제, 도구 미연동, 담당자 미정 |
이 표의 목적은 완벽한 매핑 문서를 만드는 것이 아닙니다. 보안팀이 “우리가 이 공격 행동을 실제로 볼 수 있는가”를 확인하게 만드는 것입니다.
예시: 기법을 운영 행동으로 바꾸는 흐름
예를 들어 특정 공격 행동이 계정 오남용과 관련 있다고 가정해 보겠습니다. 이때 바로 탐지 규칙을 쓰기보다 다음 순서로 정리합니다.
1. 해당 행동이 우리 환경에서 발생할 수 있는지 확인합니다.
2. 어떤 계정과 시스템에서 증거가 남는지 봅니다.
3. 인증 로그, 권한 변경 로그, 엔드포인트 로그가 충분한지 확인합니다.
4. 정상 운영과 다른 행동 패턴을 정의합니다.
5. 탐지 규칙을 만들고 오탐 가능성을 검토합니다.
6. 의심 이벤트가 뜨면 분석가가 확인할 절차를 적습니다.
7. 계정 잠금, 세션 폐기, 권한 회수 같은 대응 절차를 연결합니다.
8. 훈련이나 샘플 데이터로 탐지와 대응이 실제 작동하는지 확인합니다.
이 흐름은 공격 방법을 설명하기 위한 것이 아닙니다. 공격자 행동 이름을 방어자가 확인할 증거와 행동으로 바꾸기 위한 절차입니다.
흔한 실수
첫 번째 실수는 ATT&CK 기법을 너무 많이 고르는 것입니다. 모든 기법을 한 번에 매핑하려 하면 깊이가 얕아집니다. 중요한 업무 시스템 하나를 고르고 관련성 높은 기법 몇 개부터 시작하는 편이 낫습니다.
두 번째 실수는 로그가 있는지 확인하지 않고 탐지 아이디어를 쓰는 것입니다. 탐지 아이디어는 로그와 필드가 있어야 작동합니다. 로그가 없으면 먼저 수집 설계가 과제입니다.
세 번째 실수는 예방 통제와 탐지를 혼동하는 것입니다. 설정을 막는 통제와 행동을 발견하는 탐지는 다릅니다. 둘 다 필요하지만 운영 담당자와 검증 방식이 다를 수 있습니다.
네 번째 실수는 대응 절차를 비워 두는 것입니다. 경보가 떠도 누가 확인하고, 어느 기준에서 격리하고, 어떤 보고 경로를 쓰는지 없으면 방어 행동으로 이어지지 않습니다.
보안 훈련에 연결하는 방법
이 매핑은 보안 훈련에도 사용할 수 있습니다. 훈련에서는 “공격 기법을 재현했다”보다 “방어팀이 어떤 증거를 보고 어떤 판단을 했는가”가 더 중요합니다.
훈련 시나리오에는 다음 항목을 넣을 수 있습니다.
- 관찰해야 할 로그와 대시보드
- 분석가가 확인해야 할 질문
- 대응 담당자가 수행할 조치
- 오탐과 누락을 구분하는 기준
- 훈련 후 개선할 탐지 규칙과 절차
이렇게 하면 ATT&CK와 D3FEND가 단순 표가 아니라 훈련 평가 기준으로 연결됩니다.
예를 들어 훈련 종료 후에는 “탐지 성공”만 기록하지 말고 어떤 로그가 충분했고 어떤 로그가 부족했는지, 분석가가 어느 단계에서 판단을 지연했는지, 대응 권한이 명확했는지까지 남겨야 합니다. 방어 매핑의 최종 결과는 탐지 규칙 하나가 아니라 다음 훈련과 실제 사고 대응에서 다시 사용할 수 있는 개선 목록입니다.
팀 단위로 운영한다면 매핑표에 담당 역할을 함께 붙이는 것이 좋습니다. 탐지 엔지니어는 로그와 규칙을 보고, SOC 분석가는 경보 해석 절차를 보고, 시스템 운영자는 격리와 복구 권한을 확인합니다. 같은 기법을 보더라도 역할마다 필요한 행동이 다르기 때문에, 매핑 결과는 담당자별 실행 항목으로 나뉘어야 합니다.
AI 시스템이 포함될 때 ATLAS를 함께 본다
일반 IT 시스템이 아니라 AI 시스템이 포함된 환경이라면 MITRE ATLAS도 참고할 수 있습니다. ATLAS는 AI 시스템을 대상으로 한 공격자 전술과 기법을 정리합니다. AI 모델, 데이터, 프롬프트, 배포 파이프라인, 평가 체계가 공격 표면이 될 수 있기 때문입니다.
다만 ATLAS를 추가한다고 해서 기본 보안 매핑이 사라지는 것은 아닙니다. 계정, 네트워크, 엔드포인트, 로그, 권한 관리는 여전히 중요합니다. AI 시스템에서는 여기에 데이터 오염, 모델 악용, 프롬프트 기반 오남용, 모델 출력 검증 같은 항목을 추가로 봅니다.
결론
공격 기법을 방어 행동으로 연결하려면 ATT&CK 기법 이름에서 멈추면 안 됩니다. 우리 환경에서 가능한 행동인지 확인하고, 관찰 가능한 증거를 찾고, D3FEND 관점으로 예방·탐지·대응·복구 대책을 나누고, 담당자와 검증 주기를 정해야 합니다.
실무 가치는 표를 많이 채우는 데서 나오지 않습니다. 특정 공격 행동을 우리 조직이 실제로 볼 수 있는지, 경보가 났을 때 누가 무엇을 하는지, 훈련 후 어떤 통제를 개선할지까지 연결될 때 생깁니다.
보안 프레임워크는 이름을 외우기 위한 자료가 아닙니다. 공격자 행동을 방어자의 관찰 증거와 운영 행동으로 바꾸는 데 사용할 때 의미가 있습니다.
더 확인할 자료
아래 자료는 공격 기법과 방어 행동을 매핑할 때 참고할 만한 공식 자료입니다.