흩어진 위협 신호에서 공격 흐름까지, 연결이 바꾸는 대응 우선순위

외부에 노출된 서버에서 신규 취약점이 발견됩니다. 다크웹에서는 임직원 계정 정보가 유출된 정황이 포착되고, 위협 인텔리전스에서는 해당 취약점을 악용하는 공격자 활동이 확인됩니다. 각각만 보면 취약점, 계정 유출, 위협 행위자라는 서로 다른 신호입니다. 하지만 세 가지가 같은 조직과 자산을 가리키고 있다면 이야기는 달라집니다.

보안팀이 확인해야 할 정보는 이미 다양합니다. 문제는 위협을 발견하는 것만으로 어떤 위험이 더 시급한지까지 알 수 없다는 데 있습니다. 여러 채널에서 포착된 단서를 서로 연결해 조직을 향한 공격 가능성을 읽어내지 못하면, 관제 화면에는 많은 경보가 쌓여도 무엇부터 대응해야 할지는 여전히 불분명할 수 있습니다.

ASM·DRP·TI를 따로 보면 공격 흐름도 끊긴다

공격표면관리(ASM)는 조직이 외부에 노출한 자산과 취약 지점을 찾습니다. 디지털 리스크 보호(DRP)는 다크웹, 텔레그램, 소셜미디어 등에서 발생하는 계정 유출, 브랜드 사칭, 랜섬웨어와 같은 위험을 살핍니다. 위협 인텔리전스(TI)는 공격 인프라와 침해지표(IoC), 위협 행위자, 취약점, 공격 캠페인과 전술·기법을 분석합니다.

각 영역에서 얻는 정보는 모두 필요하지만 실제 공격은 이러한 구분에 맞춰 움직이지 않습니다.

외부에 노출된 자산에서 취약점이 발견됐다는 사실만으로는 하나의 조치 대상이 추가된 것에 가깝습니다. 그러나 해당 시스템에 접근할 수 있는 계정이 외부에 유출됐고, 같은 취약점을 실제 공격에 이용하는 행위자의 활동까지 포착됐다면 위험의 의미는 달라집니다. 따로 존재하던 세 가지 정보가 하나의 침투 가능성을 설명하는 단서가 되기 때문입니다.

문제는 이 정보들이 서로 다른 도구와 업무 과정에서 각각 처리될 때 발생합니다. 공격표면 담당자는 취약 자산을, DRP 담당자는 계정 노출을, 위협 인텔리전스 분석가는 공격자 활동을 확인하더라도 각각의 분석이 그 지점에서 끝난다면 이들이 동일한 공격 경로를 구성하는지 판단하기 어렵습니다.

대응 순서를 정하는 기준도 같은 맥락에서 볼 필요가 있습니다. NIST는 기업 패치 관리를 패치의 식별, 우선순위화, 확보, 설치와 검증을 포함하는 과정으로 정의하고, 조직 차원의 전략을 통해 위험을 줄이는 방향으로 운영할 것을 권고합니다. CISA 역시 실제 공격에서 악용된 취약점을 관리하는 Known Exploited Vulnerabilities(KEV) Catalog를 취약점 관리 우선순위 체계의 입력값으로 활용하도록 권고합니다.

결국 취약점의 기술적 심각도나 개별 신호의 등급만 보는 것으로는 부족합니다. 현재 조직의 어떤 자산과 맞닿아 있는지, 실제 악용 정황이 있는지, 다른 외부 위협 정보와 어떤 관계를 이루는지까지 연결해야 대응의 무게도 달라질 수 있습니다.

흩어진 신호를 연결하면 경보가 공격 맥락으로 바뀐다

따라서 외부 위협 관제에서 필요한 것은 ASM, DRP, TI의 결과를 한 화면에 모으는 것에 그치지 않습니다. 서로 다른 영역에서 발견된 정보 사이의 관계를 분석해 공격자가 실제로 이용할 수 있는 경로와 시나리오로 재구성해야 합니다.

예를 들어 노출된 자산에 어떤 취약점이 존재하는지, 관련 계정이 외부에서 유통되고 있는지, 해당 취약점을 이용하는 공격 도구나 캠페인이 확인되는지를 함께 살펴볼 수 있습니다. 여기에 공격 인프라와 위협 행위자 활동까지 맞물리면 개별 이벤트만으로는 드러나지 않았던 조직과의 연관성과 실제 악용 가능성을 구체적으로 판단할 수 있습니다.

분석의 질문도 달라집니다. “무엇이 탐지됐는가”에서 끝나는 것이 아니라 “이 정보들이 함께 나타난다면 우리 조직에 어떤 공격 경로가 형성될 수 있는가”를 확인하는 것입니다.

S2W의 사이버 위협 인텔리전스 플랫폼, QUAXAR는 이러한 분석 방식을 Signal Stitching으로 구현합니다. ASM, DRP, TI에서 확보한 외부 노출 자산, 유출 계정, 공격 인프라, 취약점, 위협 행위자 활동 등의 연관관계를 분석해 개별 이벤트만으로는 확인하기 어려운 공격 흐름과 악용 가능 경로를 파악합니다. QUAXAR에서는 이를 개별 솔루션의 결과를 단순 통합하는 것이 아니라, 멀티도메인 데이터를 연결해 고위험 공격 시나리오를 분석하는 과정으로 정의하고 있습니다.

이렇게 재구성된 맥락은 다시 무엇을 먼저 볼 것인지 결정하는 근거가 됩니다. QUAXAR는 S2W의 통합분석실 TALON의 전문 분석 데이터와 실제 악용 사례, 공격 코드 존재 여부, 공격자 활동, 조직 영향도를 함께 고려해 위험도를 평가하고, 공격으로 이어질 가능성이 높은 항목을 우선 확인할 수 있도록 지원합니다. 수집과 탐지 이후 연계 분석과 위험도 판단을 거쳐 대응으로 이어지는 Collect → Detect → Correlate → Prioritize → Act의 흐름이 만들어지는 것입니다.

위협을 더 많이 찾아내는 것만으로 대응의 판단이 쉬워지지는 않습니다. 중요한 것은 여러 곳에서 포착된 단서가 서로 어떤 관계를 이루는지 파악하고, 그 안에서 실제 조직을 향하고 있는 위험을 가려내는 일입니다.

흩어진 정보를 개별 경보로 소비하는 데서 그치지 않고 하나의 공격 맥락으로 재구성해 대응의 순서를 좁혀가는 것. QUAXAR가 지향하는 통합 사이버 위협 인텔리전스의 핵심도 여기에 있습니다.