사이버 보안에서 드웰 타임(Dwell Time)이란?
사이버 보안 분야에서 드웰 타임(dwell time)은 공격자가 조직의 네트워크에 최초로 침입한 시점부터 해당 조직이 공격 사실을 인지하기까지 걸리는 기간을 의미합니다. 이 기간이 길어질수록 공격자는 데이터 유출, 추가 감염, 권한 상승 등 더 큰 피해를 남길 수 있습니다. 따라서 드웰 타임은 조직의 보안 성숙도를 가늠하는 핵심 지표로 활용되며, 역사적으로 침입자가 얼마나 쉽게 발각되는지를 보여주는 척도로 여겨져 왔습니다.
드웰 타임 통계: 공격자는 얼마나 오래 발각되지 않는가?
보안 업체 맨디언트(Mandiant)의 2017년 보고서에 따르면 기업 환경에서 위협의 평균 드웰 타임은 99일이었으며, 2018년 5월에는 101일로 소폭 증가했습니다. 특히 수년간 은닉해 온 위협을 조직이 전혀 인지하지 못한 사례도 많은 것으로 확인되었습니다.
파이어아이(FireEye)의 보고서에 따르면 해외 지역의 평균 드웰 타임은 146일이지만, EMEA(유럽·중동·아프리카) 지역에서는 무려 469일에 달합니다.
다만 긍정적인 변화도 나타나고 있습니다. 전 세계 중앙값 기준 드웰 타임은 2011년 약 1년 이상(416일)에서 2020년에는 한 달 이내(24일)로 크게 단축되었습니다. 이는 위협 탐지 기술과 모니터링 체계가 발전하고 있다는 신호로 해석할 수 있습니다.
침해 사고 탐지 및 대응에 걸리는 시간
IBM의 2020년 데이터 보고서에 따르면 기업이 침해 사실을 식별하는 데 평균 약 197~228일, 이를 통제하는 데 추가로 약 69~80일이 소요되었습니다. 탐지와 통제, 그리고 통보까지 전 과정에는 280일(약 9개월)이 걸린 것으로 집계되었으며, 공격 발견 후 완전히 해결하기까지 평균 206일이 더 지연되었습니다.
영국 보안 업체 소포스(Sophos)에 따르면 공격자의 활동이 발견되기까지 목표 네트워크 침투에 11일이 걸릴 수도 있으며, 안타깝게도 악성코드 유입의 상당수는 랜섬웨어 공격에서 비롯됩니다.
이렇게 긴 대응 과정은 매년 수백만 달러의 손실로 이어집니다. 반면 침해 발생 후 30일 이내에 피해를 통제한 기업은 그렇지 못한 기업보다 100만 달러 이상의 비용을 절감한 것으로 나타났습니다.
랜섬웨어 공격 증가와 복구 비용
보안 업체 소닉월(SonicWall)의 2021년 보고서에 따르면 랜섬웨어 공격은 2019년부터 2020년 사이 62% 증가했으며, 북미 지역에서만 158% 급증했습니다. 전문가들은 단순히 온라인 사용자 수 자체가 늘어난 것도 공격 증가의 주요 배경으로 지목합니다.
랜섬웨어 복구 비용 역시 급격히 상승했습니다. 소포스의 보고서에 따르면 랜섬웨어 복구에 드는 평균 비용은 200만 달러 이상으로, 2020년 대비 76만 1천 달러나 증가했습니다. 피해 기업의 복구 소요 시간은 보안 경험 수준에 따라 다르지만 일반적으로 2주에서 4주 정도이며, 복구를 마친 직후 재차 공격을 당하는 사례도 흔합니다.
랜섬웨어에 감염된 경우 가장 빠른 복구 방법은 백업을 통한 시스템 복원입니다. 단, 랜섬웨어에 오염되지 않은 최신 백업본이 확보되어 있어야 하며, 복원 전에 반드시 악성코드를 제거해야 합니다.
NIST가 정의하는 복구(Recovery)
미국 국립표준기술연구소(NIST)에 따르면 복구란 사이버 보안 사고로 부정적 영향을 받은 역량이나 서비스를 복원하고, 복원력 계획을 유지하기 위한 적절한 활동을 개발·실행하는 것을 의미합니다.
위협 헌팅(Threat Hunting): 드웰 타임을 줄이는 핵심 전략
위협 헌팅은 미탐 상태로 남아 있을 수 있는 악성, 의심스럽거나 위험한 활동을 찾아내기 위해 네트워크, 엔드포인트, 데이터셋을 능동적으로 조사하는 활동입니다.
대표적인 위협 헌팅 기법
- 구조화된 헌팅: 공격 전술·기법·절차(TTP)와 공격 지표(IoA)를 기반으로 표적을 식별합니다.
- 비구조화된 헌팅: 특정 트리거(징후)를 계기로 헌팅을 시작합니다.
- 인텔리전스 기반 헌팅: 위협 인텔리전스를 활용해 조사 범위를 좁힙니다.
- 가설 기반 헌팅: 위협 헌팅 라이브러리를 적용해 가설을 세우고 검증합니다.
- 맞춤형 헌팅: 조직 환경에 맞게 헌팅 절차를 설계·운영합니다.
위협 헌팅 도구
머신러닝과 행위 분석에 기반한 분석 도구가 널리 사용됩니다. 이런 도구는 악성코드와 랜섬웨어를 분석하고, 취약점 스캔을 수행하며, 위협 인텔리전스 보고서를 생성해 위협이 확산되기 전에 탐지·식별하도록 지원합니다.
위협 헌팅 시작 방법
- 내부 수행 여부와 외부 아웃소싱 여부를 결정합니다.
- 계획을 세워 철저히 준비합니다.
- 조사할 주제(표적)를 선정합니다.
- 가설을 수립하고 검증합니다.
- 데이터를 수집·정리하고 기록을 남깁니다.
- 자동화를 활용해 반복 작업을 줄입니다.
- 결과를 분석해 다음 단계를 계획합니다.
참고: 다른 분야에서의 드웰 타임 의미
- 검색엔진(SEO): 사용자가 검색 결과 링크를 클릭한 후 해당 페이지에 머무는 시간을 의미합니다.
- 물류·공급망: 트럭과 운전자가 하역 또는 상차 후 다음 화물을 기다리는 대기 시간을 뜻하며, 공급망 전반의 난제로 꼽힙니다.
- 군사: 해외 배치에서 귀환한 장병이 차기 배치 전까지 국내에서 보내는 기간으로, 통상 1:2 비율이 이상적인 것으로 여겨집니다.
- 대중교통: 승강장과 차량 진입구를 같은 높이로 만들고 전문 탑승(all-door boarding) 등을 도입해 정차 시간을 줄이는 노력이 이루어집니다.
- 접근성 기술: 안드로이드 등에서 커서가 일정 시간 멈추면 자동으로 동작하는 드웰 타이밍 기능이 있으며, 운동 장애가 있는 사용자에게 유용합니다.
마무리
드웰 타임은 공격자가 얼마나 오랫동안 발각되지 않은 채 네트워크에 머물렀는지를 보여주는 지표입니다. 통계적으로 드웰 타임은 짧아지는 추세이지만, 여전히 수개월에 달하는 사례가 많습니다. 조직은 위협 헌팅, 지속적인 모니터링, 신속한 백업과 복구 체계를 갖추어 드웰 타임을 최소화하고 피해를 줄이는 것이 중요합니다.