랜섬웨어 탐지를 위한 사이버 위협 헌팅 방법론 : IoC 및 MITRE ATT&CK TTPs 기반으로 = Cyber Threat Hunting Methodology for Ransomware Detection

국문 초록 (Abstract)

사이버 위협은 날이 갈수록 정교하게 발전되고 있고, 방화벽 등의 정보보호 시스템을 우회하여 공격에 성공하여 내부에 잠재되어 정보를 유출하거나 시스템을 마비시킨다.
따라서 이러한 위협에 대비하기 위한 방어 수단 또한 발전해가고 있는데 그 중 하나가 바로 사이버 위협 헌팅(Cyber Threat Hunting)이다. 사이버 위협 헌팅은 이미 공격을 당했다고 가정한 상태에서 내부에 도사리고 있는 위협을 능동적으로 탐지하는 과정이다.
하지만 이러한 사이버 위협 헌팅을 수행하는 많은 기관에서는 아직 사이버 위협 헌팅 수행 방법론이 정립이 필요하다는 평가가 많다.
따라서 본 논문에서는 위협 헌팅 방법론을 발전시키기 위해, 가장 심각한 피해를 입히고 있는 랜섬웨어를 IoC 및 TTPs를 기반으로 분석하여 이에 대응하는 위협 헌팅 방법론을 제안하였다.
첫 번째로, 취약점 활용 위협 헌팅 방법을 제시한다. 랜섬웨어는 초기 접근을 위해 취약점을 활용하고 있었다. 두 번째, 명령어 인터프리터 탐지를 제시한다. 세 번째, 보안 시스템 우회를 탐지한다. 또한, 내부 이동 및 자료 유출을 탐지한다. 이 랜섬웨어 위협 헌팅 방법론은 위협 헌팅 대상과 목표 선정을 명확히 하여 효율성과 적시성을 향상시켜 고도화되는 랜섬웨어 공격을 보다 신속히 대응할 수 있다.

목차 (Table of Contents)

• Ⅰ. 서론..............................................................................................1
• Ⅱ. 사이버 위협 헌팅 정의 및 기법 분석...........................................3
• 2.1 사이버 위협 헌팅(Cyber Threat Hunting)............................................3
• 2.2 구조화된 위협 헌팅(Structured Threat Hunting).................................4
• 2.2.1 IoA 기반 위협 헌팅..........................................................................4
• 2.2.2 TTPs 기반 위협 헌팅.........................................................................5
• 2.3 비구조화된 위협 헌팅(UnStructured Threat Hunting).........................6
• 2.3.1 IoC 기반 위협 헌팅.............................................................................6
• Ⅲ. 랜섬웨어 IoC 및 TTPs 분석........................................................7
• 3.1 랜섬웨어 최근 동향...............................................................................7
• 3.2 BlackCat 랜섬웨어...............................................................................7
• 3.2.1 BlackCat 랜섬웨어 IoC 수집..............................................................8
• 3.2.2 BlackCat 랜섬웨어 TTPs 분석...........................................................9
• 3.3 LockBit 랜섬웨어...............................................................................11
• 3.2.1 LockBit 랜섬웨어 IoC 수집............................................................11
• 3.2.2 LockBit 랜섬웨어 TTPs 분석..........................................................13
• 3.4 BlackByte 랜섬웨어.............................................................................16
• 3.4.1 BlackByte 랜섬웨어 IoC 수집..........................................................16
• 3.2.2 BlackByte 랜섬웨어 TTPs 분석......................................................19
• 3.5 최근 랜섬웨어 IoC 및 TTPs 분석 결과..............................................21
• Ⅳ. 랜섬웨어 탐지를 위한 위협 헌팅 방법론 제안...........................23
• 4.1 공개 취약점(CVE)을 활용한 위협 헌팅..............................................23
• 4.1.1 Apache Log4j(CVE-2021-44228) 취약점 개요............................23
• 4.1.2 Apache Log4j(CVE-2021-44228) 취약점 동작 과정....................24
• 4.1.3 Apache Log4j(CVE-2021-44228) 취약점 탐지............................24
• 4.2 명령어 인터프리터 탐지.......................................................................25
• 4.2.1 PowerShell 실행 탐지......................................................................25
• 4.2.2 Windows Command Shell(CMD) 탐지.............................................26
• 4.3 정보보호 시스템 우회 탐지................................................................27
• 4.4 내부 이동 탐지......................................................................29
• 4.5 자료 유출 탐지....................................................................................29
• Ⅴ. 결론............................................................................................31
• 참고문헌............................................................................................32
• Abstract............................................................................................34