• 한국정보통신학회논문지
• /
• 제20권6호
• /
• pp.1129-1135
• /
• 2016

2011년 NH농협 전산망마비 사건, 2013년 3.20 사이버테러 및 2015년 12월의 한국수력원자력 원전 중요자료 유출사건이 있었다. 이러한 사이버테러는 해외(북한)에서 조직적이고 장기간의 걸친 고도화된 APT공격(Advanced Persistent Threat Attack)을 감행하여 발생한 사이버테러 사건이다. 하지만, 이러한 APT공격을 방어하기 위한 탁월한 방안은 아직 마련되지 못했다. APT공격은 현재의 관제 방식으로는 방어하기가 힘들다. 본 논문에서는 빅데이터 분석을 통해 APT공격을 예측할 수 있는 방안을 연구한다. 본 연구는 대한민국 3계층 보안관제 체계 중, 정보공유분석센터(ISAC)를 기준으로 하여 빅데이터 분석, APT공격 및 취약점 분석에 대해서 연구와 조사를 한다. 그리고 외부의 블랙리스트 IP 및 DNS Log를 이용한 APT공격 예측 방안의 설계 방법, 그리고 전조현상 분석 방법 및 APT공격에 대한 대응방안에 대해 연구한다.

• 정보보호학회논문지
• /
• 제32권4호
• /
• pp.673-689
• /
• 2022

본 연구에서는 APT 공격을 탐지하고 대응하기 위한 과정의 하나로 APT 공격을 스코어링하는 방안을 제안한다. 먼저, 사이버 공격을 스코어링하는 과정에서 비일관적인 전문가의 주관적인 판단 요소를 고려한 기존의 연구와는 달리, MITRE ATT&CK^Ⓡ의 공격기술을 구성하는 여러 구성요소 중 정량화할 수 있는 요소들을 식별하고 이를 정량화하는 방안을 제시한다. 또한, 정량화된 요소들을 이용하여 단위 공격기술의 스코어를 도출하고, 나아가 여러 공격 기술로 구성된 전체 APT 공격의 스코어를 산출하는 방안을 제안한다. 제안한 스코어링 방법을 APT 공격 사례 보고서에 적용하여 APT 공격을 포함한 다양한 사이버 공격의 위협 수준 및 시급성을 판단하기 위한 정량화 가능성을 제시한다. 본 연구를 이용하여 APT 공격을 탐지하는 과정에서 실제 공격 여부를 판단하고, 공격의 우선순위를 산정함으로써 더욱 시급하고 중요한 사이버 공격에 대응할 수 있을 것이다.

• 중소기업융합학회논문지
• /
• 제5권1호
• /
• pp.25-30
• /
• 2015

APT공격은 해커가 다양한 보안 위협을 만들어 특정 기업이나 조직의 네트워크에 지속적으로 가하는 공격을 뜻한다. 지능형 지속 공격이라 한다. 특정 조직 내부 직원의 PC를 장악한 뒤 그 PC를 통해 내부 서버나 데이터베이스에 접근한 뒤 기밀정보 등을 빼오거나 파괴한다. APT의 공격 방법은 제로데이와 루트킷 이렇게 크게 두 가지 공격이 있다. APT의 공격 과정은 침투, 검색, 수집, 유출 단계 4단계로 구분된다. 과정을 통하여 APT에 어떻게 대응할 수 있는지 두 가지 방안으로 정의하였다. 기술을 통한 악성코드 공격자의 공격 소요 시간을 지연시키는 방안과 공격에 대한 탐지 및 제거 할 수 있는 방안으로 나누어서 설명하였다.

• 중소기업융합학회논문지
• /
• 제5권4호
• /
• pp.37-42
• /
• 2015

ICT의 발달로 인해 다양한 공격들이 발달되고 있고, 활발해 지고 있다. 최근에 악성코드를 이용한 APT공격들이 빈번하게 발생하고 있다. 지능형 지속 위협은 해커가 다양한 보안 위협을 만들어 특정 기업이나 조직의 네트워크에 지속적으로 공격하는 것을 의미한다. 악성코드나 취약점을 이용하여 기업이나 기관의 조직 내부 직원의 PC를 장악한 후 그 PC를 통해 내부에서 서버나 데이터베이스에 접근한 뒤 기밀정보 등을 빼오거나 파괴한다. 본 논문에서는 APT 공격과정을 통하여 APT 공격에 어떻게 대응할 수 있는 지 방안을 제시하였다. 악성코드 공격자의 공격소요 시간을 지연시키는 방안을 모색하고, APT 공격에 대한 탐지 및 제거 할 수 있는 방안을 제시하였다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2013년도 춘계학술대회
• /
• pp.234-237
• /
• 2013

전 세계적인 국가기관 및 기업들은 지능적이고 지속적이며 공격을 통하여 심각한 손해를 입고 있다. 그중 3월 20일 한국에서 발생한 전산대란을 통해 심각한 문제로 떠오르고 있어 앞으로의 대책이 시급한 상황에 놓여 있다. 이에 본 논문에서는 과거 APT공격과 최근 2년간 발생한 APT공격 사례를 살펴본다. 특히 한국에서 발생한 전산 대란을 초점으로 앞으로 발생할 수 있는 APT공격의 대응전략에 대하여 살펴본다.

• 정보보호학회논문지
• /
• 제25권5호
• /
• pp.1027-1041
• /
• 2015

최근, Verizon(2010), 농협(2011), SK컴즈(2011), 그리고 3.20 사이버 테러(2013)와 같이 소중한 정보가 누출되고 자산에 피해가 발생한 후에야 보안 공격을 인지하는 APT (Advanced Persistent Threat) 공격 사례가 증가하고 있다. 이러한 APT 공격을 해결하고자 이상 행위 탐지 기술 관련 연구가 일부 진행되고 있으나, 대부분 알려진 악성 코드의 시그너쳐 기반으로 명백한 이상 행위를 탐지하는데 초점을 맞추고 있어서, 장기간 잠복하며 제로데이 취약점을 이용하고, 새로운 또는 변형된 악성 코드를 일관되게 사용하는 APT 공격에는 취약하여, 미탐율이 굉장히 높은 문제들을 겪고 있다. APT 공격을 탐지하기 위해서는 다양한 소스로부터 장기간에 걸쳐 대규모 데이터를 수집, 처리 및 분석하는 기술과, 데이터를 수집 즉시 실시간 분석하는 기술, 그리고 개별 공격들 간의 상관(correlation) 분석 기술이 동시에 요구되나, 기존 보안 시스템들은 이러한 복잡한 분석 능력이나 컴퓨팅 파워, 신속성 등이 부족하다. 본 논문에서는 기존 시스템들의 실시간 처리 및 분석 한계를 극복하기 위해, 패스트 데이터 기반 실시간 비정상 행위 탐지 시스템을 제안한다.

• 산업융합연구
• /
• 제16권2호
• /
• pp.25-31
• /
• 2018

APT공격은 특정 목표를 두고, 지속적으로 공격하는 신종 해킹기법으로 해커가 다양한 보안위협을 악용해 특정 기업이나 조직의 네트워크에 지속해서 공격하는 것을 APT 공격이라고 한다. 특정 조직 내부 직원의 PC를 장악한 후, 내부 서버나 데이터베이스에 접근하여 개인정보 유출 사고나 중요자료 유출과 같이 기업이나 기관 내 중요 자산 탈취에 성공할 때까지 공격하는 것이 특징이다. 또한, APT 공격은 한순간에 공격이 이루어지지 않고 있으며, 수년에 거쳐 이루어지므로 해킹 감지가 어렵다. 본 논문에서는 지속적인 APT 공격에 대해 고찰하고, 대응방안을 제시하여 각 조직에 근무하는 경영진부터 일반 직원까지 보안 필요성을 인식하고 교육하고 보안 관리체계를 구축을 목표로 한다. 또한, 보안 업데이트, 최신 백신을 설치하여 악성코드 침투를 예방하는 방법을 제시하여 기업이나 조직은 항상 해킹당할 수 있다는 인식을 심어주어 조직 내에 근무하는 사람들은 악성 코드가 침투할 수 있는 취약점을 설명하고, APT공격에 대응할 수 있는 환경을 제시한다.

• 정보보호학회논문지
• /
• 제32권3호
• /
• pp.527-545
• /
• 2022

본 연구에서는 조직화된 공격 주체가 수행하는 APT 공격을 효과적으로 탐지하기 위하여, 공격체인을 구성하여 공격을 탐지하는 시스템을 구축하였다. 공격체인 기반 APT 공격 탐지 시스템은 다양한 호스트 및 네트워크 모니터링 도구에서 생성하는 이벤트를 수집하고 저장하는 '이벤트 수집 및 저장부', 이벤트로부터 MITRE ATT&CK^®에 정의된 공격기술 수준의 단위공격을 탐지하는 '단위공격 탐지부', 단위공격으로 생성된 이벤트로부터 Provenance Graph 기반의 인과관계 분석을 수행하여 공격체인을 구성하는 '공격체인 구성부'로 구성하였다. 시스템을 검증하기 위하여 테스트베드를 구축하고 MITRE ATT&CK Evaluation 프로그램에서 제공하는 모의공격 시나리오를 수행하였다. 실험 결과 모의공격 시나리오에 대해 공격체인이 효과적으로 구성되는 것을 확인하였다. 본 연구에서 구현한 시스템을 이용하면, 공격을 단편적인 부분으로 이해하기보다 공격의 진행 흐름 관점에서 이해하고 대응할 수 있을 것이다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제13권5호
• /
• pp.2610-2628
• /
• 2019

Advanced persistent threats (APTs) are constant attacks of specific targets by hackers using intelligent methods. All current internal infrastructures are constantly subject to APT attacks created by external and unknown malware. Therefore, information security officers require a framework that can assess whether information security systems are capable of detecting and blocking APT attacks. Furthermore, an on-line evaluation of information security systems is required to cope with various malicious code attacks. A regular evaluation of the information security system is thus essential. In this paper, we propose a dynamic updated evaluation framework to improve the detection rate of internal information systems for malware that is unknown to most (over 60 %) existing static information security system evaluation methodologies using non-updated unknown malware.

• Journal of Information Processing Systems
• /
• 제15권4호
• /
• pp.865-889
• /
• 2019

The need for cyber resilience is increasingly important in our technology-dependent society where computing devices and data have been, and will continue to be, the target of cyber-attackers, particularly advanced persistent threat (APT) and nation-state/sponsored actors. APT and nation-state/sponsored actors tend to be more sophisticated, having access to significantly more resources and time to facilitate their attacks, which in most cases are not financially driven (unlike typical cyber-criminals). For example, such threat actors often utilize a broad range of attack vectors, cyber and/or physical, and constantly evolve their attack tactics. Thus, having up-to-date and detailed information of APT's tactics, techniques, and procedures (TTPs) facilitates the design of effective defense strategies as the focus of this paper. Specifically, we posit the importance of taxonomies in categorizing cyber-attacks. Note, however, that existing information about APT attack campaigns is fragmented across practitioner, government (including intelligence/classified), and academic publications, and existing taxonomies generally have a narrow scope (e.g., to a limited number of APT campaigns). Therefore, in this paper, we leverage the Cyber Kill Chain (CKC) model to "decompose" any complex attack and identify the relevant characteristics of such attacks. We then comprehensively analyze more than 40 APT campaigns disclosed before 2018 to build our taxonomy. Such taxonomy can facilitate incident response and cyber threat hunting by aiding in understanding of the potential attacks to organizations as well as which attacks may surface. In addition, the taxonomy can allow national security and intelligence agencies and businesses to share their analysis of ongoing, sensitive APT campaigns without the need to disclose detailed information about the campaigns. It can also notify future security policies and mitigation strategy formulation.