MITRE ATT&CK를 보안 훈련에 활용한다는 말은 공격 절차를 자세히 재현한다는 뜻이 아닙니다. ATT&CK의 전술과 기법을 방어자가 관찰하고, 판단하고, 보고하고, 복구하는 훈련 목표로 바꾸는 일입니다. 좋은 훈련 시나리오는 “어떤 기법을 썼다”보다 “방어팀이 무엇을 보고 어떤 결정을 했는가”를 남깁니다.
ATT&CK는 실제 관찰에 기반한 공격자 전술과 기법 지식 기반입니다. 전술은 공격자의 목적을 설명하고, 기법은 그 목적을 달성하기 위한 행동을 설명합니다. 이 구조를 방어 관점으로 바꾸면 훈련 목표, 증거원, 참여자 역할, 종료 기준, AAR 개선 항목을 체계적으로 설계할 수 있습니다.
훈련 목표를 먼저 좁힌다
보안 훈련에서 가장 흔한 실패는 목표가 너무 넓은 것입니다. 여러 전술과 기법을 한 번에 넣으면 참여자는 무엇을 연습해야 하는지 놓치기 쉽습니다. 훈련 설계자는 먼저 하나의 목표를 정해야 합니다.
훈련 목표는 다음처럼 구체적으로 쓰는 편이 좋습니다.
| 나쁜 목표 | 좋은 목표 |
|---|---|
| ATT&CK 기반 훈련 | 계정 침해 의심 상황에서 인증 로그를 보고 초기 판단을 수행한다 |
| 랜섬웨어 대응 훈련 | 파일 암호화 의심 이벤트 발생 후 영향 범위를 확인하고 격리 결정을 내린다 |
| 탐지 훈련 | 특정 업무 서버에서 비정상 권한 사용 경보를 분석하고 보고한다 |
목표가 좁아야 증거원, 역할, 평가 기준도 정할 수 있습니다. 훈련은 많은 기법을 보여주는 자리가 아니라 실제 대응 능력을 확인하는 자리입니다.
ATT&CK 전술과 기법을 선택한다
목표가 정해지면 관련 ATT&CK 전술을 1개에서 2개 정도로 제한합니다. 전술은 공격자의 목적이므로 훈련의 큰 방향을 잡는 데 도움이 됩니다. 그다음 우리 환경에서 관찰 가능한 기법을 소수만 고릅니다.
기법 선택 기준은 다음과 같습니다.
- 우리 조직의 시스템에서 실제로 관련 있는가?
- 훈련 환경에서 안전하게 모사할 수 있는가?
- 로그와 알림으로 관찰할 수 있는가?
- 분석가가 판단할 만한 증거가 남는가?
- 훈련 후 개선할 통제나 절차가 있는가?
이 기준을 통과하지 못한 기법은 훈련에 넣지 않는 편이 좋습니다. 멋있어 보이는 기법보다 방어팀이 실제로 배우고 개선할 수 있는 기법이 중요합니다.
증거원을 설계한다
ATT&CK 기반 훈련에서 증거원은 핵심입니다. 방어자가 볼 수 없는 행동은 훈련 평가로 쓰기 어렵습니다. 따라서 시나리오에는 어떤 로그와 알림을 볼 것인지가 들어가야 합니다.
증거원은 다음처럼 나눌 수 있습니다.
| 증거원 | 확인할 내용 |
|---|---|
| 인증 로그 | 로그인 실패, 위치 변화, 권한 상승, 세션 이상 |
| 엔드포인트 로그 | 프로세스 실행, 파일 변경, 스크립트 실행, 격리 필요성 |
| 네트워크 로그 | 비정상 연결, 외부 통신, 내부 이동 흔적 |
| IAM 로그 | 권한 변경, 토큰 발급, 역할 전환 |
| 애플리케이션 로그 | 업무 기능 오남용, 비정상 요청, 오류 패턴 |
| 사용자 신고 | 의심 메일, 계정 이상, 화면 변화 |
훈련 설계자는 “어떤 이벤트가 발생한다”보다 “참여자가 어떤 증거를 보고 어떤 결정을 내려야 한다”를 적어야 합니다.
역할과 의사결정 지점을 만든다
보안 훈련은 개인 기술 테스트가 아닙니다. 실제 사고 대응은 SOC 분석가, 사고 지휘자, 시스템 운영자, 보안 관리자, 현업 담당자가 함께 움직입니다. 시나리오에도 역할과 의사결정 지점이 있어야 합니다.
| 역할 | 훈련 중 확인할 행동 |
|---|---|
| SOC 분석가 | 경보 확인, 증거 수집, 초기 분류 |
| 사고 지휘자 | 영향 범위 판단, 우선순위 결정, 보고 지시 |
| 시스템 운영자 | 계정 잠금, 호스트 격리, 복구 조치 |
| 보안 관리자 | 위험 수용, 대외 보고, 후속 조치 승인 |
| 현업 담당자 | 업무 영향 확인, 사용자 커뮤니케이션 |
의사결정 지점은 명확해야 합니다. 예를 들어 “언제 계정을 잠글 것인가”, “언제 호스트를 격리할 것인가”, “언제 경영진 보고로 올릴 것인가”, “어떤 조건에서 훈련을 종료할 것인가”를 미리 정합니다.
D3FEND를 방어 행동 분류에 활용한다
D3FEND는 방어 기술과 방어 대책을 구조적으로 생각하는 데 도움이 됩니다. ATT&CK로 공격자 행동을 잡았다면, D3FEND 관점으로 방어 행동을 분류할 수 있습니다.
훈련 설계에서는 다음처럼 사용할 수 있습니다.
- 예방: 설정 강화, 권한 제한, 차단 정책
- 탐지: 로그 수집, 탐지 규칙, 이상 행위 분석
- 분석: 증거 수집, 상관분석, 원인 파악
- 대응: 계정 잠금, 세션 폐기, 격리, 차단
- 복구: 설정 원복, 패치, 백업 복구, 재발 방지
중요한 것은 D3FEND를 정답 목록처럼 쓰지 않는 것입니다. 우리 조직의 실제 도구와 절차가 어떤 방어 행동을 지원하는지 확인하는 분류 기준으로 쓰는 편이 좋습니다.
시나리오 설계표 예시
아래 표는 ATT&CK 기반 훈련 시나리오를 설계할 때 사용할 수 있는 기본 구조입니다.
| 설계 항목 | 작성 내용 |
|---|---|
| 훈련 목표 | 무엇을 연습할 것인가 |
| 업무 범위 | 어떤 시스템과 사용자 흐름을 대상으로 하는가 |
| ATT&CK 전술 | 어떤 공격자 목적을 가정하는가 |
| ATT&CK 기법 | 어떤 행동을 관찰할 것인가 |
| 증거원 | 어떤 로그, 알림, 신고를 볼 것인가 |
| 참여 역할 | 누가 분석, 판단, 조치, 보고를 맡는가 |
| 주입 이벤트 | 훈련 중 어떤 상황 단서를 제공할 것인가 |
| 종료 기준 | 어떤 조건이면 훈련을 끝낼 것인가 |
| 평가 기준 | 무엇을 잘했고 무엇이 지연됐는가 |
| 개선 항목 | 로그, 탐지 규칙, 권한, 절차 중 무엇을 고칠 것인가 |
이 표는 공격 방법을 설명하기 위한 것이 아닙니다. 방어 훈련에서 관찰, 판단, 조치, 개선을 빠뜨리지 않기 위한 설계 도구입니다.
간단한 예로 “의심 계정 활동 대응” 훈련을 설계한다면, 목표는 계정 이상 징후를 보고 초기 분류와 격리 판단을 하는 것입니다. 이때 참가자는 인증 로그와 엔드포인트 알림을 보고 정상 업무인지 의심 활동인지 구분해야 합니다. 시스템 운영자는 계정 잠금이나 세션 종료가 업무에 미치는 영향을 확인하고, 사고 지휘자는 보고 수준과 추가 조사 범위를 결정합니다.
평가 기준은 “정답을 맞혔는가”만으로 두지 않습니다. 첫 경보 확인까지 걸린 시간, 증거를 모으는 순서, 역할 간 전달 내용, 격리 판단의 근거, 복구 후 재발 방지 항목까지 봐야 합니다. 이 기준이 있어야 훈련이 단순 퀴즈가 아니라 실제 사고 대응 역량 점검이 됩니다.
AAR까지 포함해야 훈련이 끝난다
훈련은 종료 선언으로 끝나지 않습니다. AAR, 즉 사후 검토를 통해 무엇이 관찰되었고 어떤 판단이 있었으며 무엇을 개선해야 하는지 남겨야 합니다.
AAR에는 다음 항목을 포함하는 것이 좋습니다.
- 처음 경보나 신고를 인지한 시각
- 분석가가 확인한 증거
- 판단이 지연된 이유
- 역할 간 커뮤니케이션 문제
- 누락된 로그나 부족한 대시보드
- 오탐 또는 누락 가능성
- 실제 절차와 문서의 차이
- 다음 훈련 전 개선할 항목
좋은 AAR은 잘못한 사람을 찾는 문서가 아닙니다. 다음 사고나 다음 훈련에서 더 빨리 판단하고 더 안전하게 조치하기 위한 개선 기록입니다.
AI 시스템이 포함되면 ATLAS를 함께 본다
훈련 대상에 AI 서비스, 모델 운영, RAG, 프롬프트 기반 자동화가 포함된다면 MITRE ATLAS도 함께 볼 수 있습니다. ATLAS는 AI 시스템에 대한 적대적 위협을 정리한 지식 기반입니다.
AI 시스템이 포함된 훈련에서는 기존 계정, 네트워크, 엔드포인트 로그뿐 아니라 다음 항목도 봐야 합니다.
- 프롬프트 입력과 정책 위반 기록
- 검색 문서나 데이터 소스 변경 이력
- 모델 출력 검증 결과
- 모델 또는 프롬프트 변경 승인 기록
- 사용자가 AI 결과를 오해하거나 과신한 사례
다만 ATLAS를 추가한다고 해서 기본 보안 훈련이 사라지는 것은 아닙니다. AI 시스템도 계정, 권한, 네트워크, 로그, 변경 관리 위에서 운영됩니다. ATLAS는 그 위에 AI 특수 위험을 더하는 기준으로 보는 편이 좋습니다.
결론
MITRE ATT&CK로 보안 훈련 시나리오를 설계할 때 핵심은 공격 기법을 많이 나열하는 것이 아닙니다. 전술과 기법을 방어자가 관찰할 증거, 맡을 역할, 내려야 할 판단, 실행할 조치, 남길 개선 과제로 바꾸는 것입니다.
훈련 목표를 좁히고, 관련 기법을 소수로 제한하고, 증거원을 명확히 정하고, 역할과 의사결정 지점을 설계해야 합니다. D3FEND는 방어 행동 분류에, ATLAS는 AI 시스템이 포함된 훈련의 특수 위험 확인에 활용할 수 있습니다.
좋은 훈련 시나리오는 “무엇을 공격했는가”보다 “방어자가 무엇을 보고 어떻게 판단했는가”를 설명합니다. 그 기록이 AAR과 개선 과제로 이어질 때 ATT&CK 기반 훈련은 실제 운영 능력을 높이는 도구가 됩니다.
더 확인할 자료
아래 자료는 ATT&CK 기반 보안 훈련 시나리오를 설계할 때 참고할 만한 공식 자료입니다.