고대 중국 군사 전략서 『손자병법』에는 "적을 알고 나를 알면 백전백승을 두려워할 필요가 없다"는 유명한 구절이 있습니다. 수천 년 전의 이 격언은 오늘날 데이터 보안 전문가와 해커 간의 대결을 설명하는 데에도 여전히 유효합니다. 방어 체계를 효과적으로 구축하려면 먼저 해커가 어떤 방식으로 움직이는지 이해해야 하며, 그 핵심 열쇠가 바로 '사이버 킬 체인(Cyber Kill Chain)'입니다. 기본기를 모른 채 아무리 많은 사이버 보안 자격증을 취득해도 소용이 없듯이, 이 개념은 시스템 방어를 진지하게 고민하는 사람에게 중요한 이정표가 될 것입니다. 지금부터 자세히 살펴보겠습니다.
사이버 킬 체인이란 무엇인가?
사이버 킬 체인은 사이버 공격의 초기 계획 단계부터 공격이 종료되는 시점까지를 순서대로 나열한 단계 목록으로 정의할 수 있습니다. 즉, 사이버 킬 체인은 해킹 전략의 전체적인 그림을 한눈에 보여주는 프레임워크라고 할 수 있습니다. 이 개념은 록히드 마틴(Lockheed Martin)이 제시한 모델과 유사하며, 해당 모델 역시 표적화된 공격의 각 단계를 체계적으로 설명하고 있습니다.
사이버 보안 전문가가 침입자가 네트워크에 침투하여 취약점을 악용하는 과정을 세부적으로 분석할 수 있다면, 그 지식을 조직의 네트워크 방어에도 활용할 수 있습니다.
사이버 킬 체인의 7단계
사이버 킬 체인은 총 7개의 단계로 구성되어 있으며, 각 단계마다 고유한 특징과 의미를 지니고 있습니다. 이 체인은 전형적인 절도 범죄의 진행 과정과 매우 흡사합니다. 공격자는 실제 침입을 시도하기 전에 먼저 시스템을 면밀히 살피고, 실제 '털기' 직전까지 여러 단계를 거치게 됩니다. 그럼 각 단계를 하나씩 살펴보겠습니다.
1. 정찰(Reconnaissance)
공격의 첫 번째 단계는 표적을 선정하고 후보군을 좁히는 것입니다. 이는 전적으로 공격자의 동기에 따라 달라지며, 피해자는 조직, 커뮤니티, 심지어 개인일 수도 있습니다. 공격자 입장에서 표적이 되는 이유는 그들이 공격자에게 가치 있는 정보를 보유하고 있기 때문입니다. 공격자는 우선 피해자에 대해 최대한 많은 정보를 수집한 뒤, 네트워크를 침해하는 데 악용할 수 있는 취약점을 찾습니다. 대형 조직은 다층적인 보안 체계와 전문 인력을 갖추고 있어 이 과정에 상당한 시간이 걸릴 수 있지만, 공격자가 표적에 대해 더 많이 알수록 위협은 그만큼 커집니다.
2. 무장화(Weaponization)
두 번째 단계에서 공격자는 자신의 목적에 맞는 정교한 기법을 활용해 악성코드를 재설계합니다. 공격자의 동기에 따라, 이 악성코드는 조직의 보안 담당자조차 알지 못하는 미공개 취약점(제로데이 취약점)을 악용하여 피해자 네트워크의 방어선을 돌파합니다. 또한 고도화된 은닉 기법을 통해 표준 보안 프로토콜에 의해 탐지될 가능성을 최소화합니다.
3. 전달(Delivery)
이 시점이 되면 공격자는 피해자에 대해 충분히 파악한 상태이며, 이제 악성 코드를 전달하기만 하면 됩니다. 가장 널리 사용되는 세 가지 전달 경로는 이메일 첨부파일, 피해자를 유인하는 악성 웹사이트, 그리고 이동식 저장 장치입니다. 악성 페이로드를 전송하고 전달하는 것이 다음 작업이지만, 이러한 시도에는 대가가 따르며 공격자 역시 디지털 지문을 남기게 됩니다. 따라서 피해자의 보안 시스템이 충분히 효율적이라면 네트워크의 비정상적인 행위를 감지하고 필요한 조치를 취할 수 있습니다. 주기적인 백업과 추가 보안 계층 구축은 분명 큰 도움이 됩니다.
4. 악용(Exploitation)
이 단계에서 공격자는 네트워크나 시스템의 취약점을 본격적으로 악용합니다. 이 단계에서 공격을 차단하려면 조직의 요구에 맞게 맞춤화된 방어 역량이 반드시 필요합니다. 공격자가 약점에 접근하는 순간, 피해자의 작업 환경 아래에 스스로를 숨기는 스크립트 코드를 통해 취약점 악용을 시작합니다.
5. 설치(Installation)
이 단계에서는 피해자 시스템에 원격 접속용 백도어(backdoor)가 설치됩니다. 이를 통해 공격자는 호스트 환경 내부에 지속적인 발판을 확보하게 됩니다. '호스트 기반 침입 방지 시스템(HIPS)'을 배포하는 것이 어느 정도 도움이 될 수 있습니다. 방어자는 단순히 악성코드에 대응하는 것을 넘어 그 동기와 목적을 정확히 이해하는 것이 중요하며, 데이터 유출을 막으려면 반드시 이 단계 이전에 필요한 조치를 취해야 합니다.
6. 명령 및 통제(Command and Control)
방어자가 개입할 수 있는 마지막 골든타임은 명령 및 통제(C2) 채널을 차단하는 것입니다. 이 채널을 끊으면 공격자는 더 이상 명령을 내릴 수 없으므로, 방어자는 피해 확산을 예방할 수 있습니다. 악성코드는 드물게 자동화되어 있으며 대부분 수동으로 조작된다는 점을 잊지 말아야 합니다. 일반적인 침입자는 탐지되지 않은 상태에서 데이터를 수집하기 위해 여러 워크스테이션에 대한 통제권을 확보하려 합니다. 따라서 이에 대응할 수 있는 적절한 보안 도구를 갖추어야 합니다.
7. 목표 실행(Actions on Objectives)
공격자가 시스템에 대한 접근 권한을 오래 유지할수록 그 결과는 감당하기 힘들 수 있다는 점을 결코 잊지 말아야 합니다. 피해 당사자는 위협을 신속하게 탐지해야 하며, 장기적인 관점에서 도움이 되는 보안 도구와 전문 인력을 적극적으로 운영해야 합니다. 데이터 보안에 필수적인 요소에서 뒤처지지 않도록 항상 확인하십시오. 한번 방심하면 아무도 도와줄 수 없습니다.
다만, 모든 공격자가 이 체인을 그대로 따른다고 생각한다면 큰 오산입니다. 모든 공격은 고유하며, 성공을 위해 사이버 킬 체인의 단계를 추가하거나 생략할 수 있습니다. 사이버 보안 전문가들은 오히려 모든 공격자가 이 체인을 따르기를 바란다고 말합니다. 그래야 방어 측이 스스로를 보호할 수 있는 더 많은 시간과 기회를 얻을 수 있기 때문입니다. 또한 최신 동향을 놓치지 않기 위해 사이버 보안 뉴스를 꾸준히 확인해야 한다고 강조합니다.
사이버 킬 체인을 역이용하는 방어 전략
흔히 데이터 보안 전문가들은 공격의 정교함에 위축되곤 하지만, 오히려 공격의 각 단계에 집중해야 합니다. 그렇게 하면 어떤 공격도 순식간에 이루어지는 것이 아니라 상당한 시간이 걸린다는 사실을 깨달을 수 있습니다. 우리가 충분히 경계하고 있다면 공격이 시작되기도 전에 차단할 수 있습니다.
항상 기억하십시오. 사이버 공격을 단발성 '사건'이 아니라 연속적인 '과정'으로 인식해야만 비로소 이를 식별하고 차단할 수 있습니다. 여러분은 어떻게 생각하시나요? 아래 댓글로 의견을 남겨주세요!