사이버 보안 기술이 적들을 따라잡을 때가 되었습니다. 성공적인 다단계 공격을 많이 보았으므로 이제 우리 환경의 모든 보안 도구에서 보고 있는 신호의 상관 관계를 재평가해야 합니다. 상관 관계는 도움이 되지만 항상 완전한 그림을 그리는 것은 아닙니다. 탐지 및 대응의 다음 단계는 무엇입니까?
이를 이해하려면 보안 팀이 일상적인 작업을 구성하는 데 도움이 되는 현재 프레임워크를 살펴볼 필요가 있습니다. Lockheed Martin Kill Chain은 맬웨어의 확산이 주요 전술이었을 때 매우 인기 있는 프레임워크였습니다. 공격자가 페이로드를 배포하기 위해 거치는 다양한 단계를 설명하는 데 매우 능숙했습니다. 다음은 MITRE ATT&CK 프레임워크였습니다. 이것은 지난 몇 년 동안 공격자들에게 인기를 얻은 전술과 기술을 설명하는 보다 포괄적이기 때문에 오늘날 많은 전문가들이 활용하고 있습니다.
이러한 크고 정교한 프레임워크의 문제는 로그 소스의 모든 신호를 예측하고 상호 연관시키는 수동 규칙을 작성하는 것이 매우 어렵다는 것입니다. 수집 및 보관되는 로그의 양이 급증하고 있습니다. 이것은 가장 작은 파트너에게도 큰 데이터 문제가 되었습니다. 이 문제를 해결하기 위해 무엇을 할 수 있습니까?
보안 플랫폼과 프레임워크의 통합이 핵심입니다. 오늘날 많은 플랫폼이 위협 인텔리전스의 일부로 MITRE에 대한 링크를 제공하지만 일반적으로 사후에 제공됩니다. 우리가 해야 할 일은 실시간으로 프레임워크에서 경고를 구성하고 표시하는 것입니다. 공격자는 목표를 달성하기 위해 프레임워크의 여러 단계에서 성공해야 합니다. 우리는 단계 중 하나를 성공적으로 중지하기만 하면 됩니다. 단계가 빠를수록 정리할 부분이 줄어듭니다. 이를 수행하는 데 필요한 몇 가지 핵심 프로세스가 있습니다.
우선 표준화되고 풍부한 데이터 세트가 필요합니다. 분석가가 사후에 신호의 위험성을 판단하는 방식은 더 이상 바람직하지 않습니다. 솔루션은 모든 정보를 위협 인텔리전스 플랫폼과 비교하고, 레코드가 생성되기 전에 해당 정보를 데이터 세트에 추가하여 풍부하게 만들어야 합니다. 데이터가 표준 형식으로 변환되면 AI/ML 구성 요소가 환경 내 여러 위협 벡터의 신호를 상호 연관시킬 수 있습니다. 경고는 MITRE 공격 프레임워크의 단계에 직접적으로 대응하는 킬 체인에 따라 구성됩니다. 분석가는 경고를 확인했을 때 우선순위를 어떻게 정해야 할지 고민할 필요가 없습니다.
파트너사 입장에서 하루에 수백 건의 알림을 정리하고 관리하는 것은 시간과 자원을 많이 소모하는 작업입니다. 따라서 솔루션에는 머신러닝(ML) 기능이 추가되어 있어야 합니다. 이 기능은 다단계 공격을 사건으로 분류하고 각 사건에 위험 점수를 부여하여 상관관계를 더욱 심층적으로 분석할 수 있도록 해야 합니다. 이는 단순한 알림 상관관계 분석을 넘어선 추가적인 ML 계층입니다. 이러한 기능을 통해 처리 시간을 크게 단축할 수 있습니다. SOC 분석가들은 분석을 위해 경고를 그룹화하는 데 시간을 소비합니다. 이상적으로는 솔루션이 분석가들에게 사건에서 경고를 추가하거나 삭제하고 위협 점수를 조정할 수 있는 기능을 제공해야 합니다.
Stellar Cyber는 최초로 다음과 같은 서비스를 제공합니다. XDR머신러닝 기반의 인시던트 알림 관리와 함께 킬체인에 집중합니다. 지금이야말로 머신러닝 자동화를 활용하여 공격을 탐지하고 차단해야 할 때입니다. 더 자세한 정보를 원하시면 brain@stellarcyber.ai로 문의해 주세요.
