지능형 지속위협 (Advanced Persistent Threat)

한 줄 정의: 지능형 지속위협(APT)은 특정 대상을 노려 장기간에 걸쳐 은밀하게 침투를 유지하며 정보를 탈취하거나 시스템을 조작하는 조직적인 공격 형태입니다.

쉽게 풀면

APT는 도둑이 하루 만에 물건을 훔쳐 달아나는 것이 아니라, 몇 달간 집안에 몰래 숨어 지내며 필요한 정보를 조금씩 빼가는 상황에 비유할 수 있습니다. 일회성 공격과 달리 목표를 명확히 정하고, 탐지를 피하기 위해 매우 조심스럽게 행동합니다. 공격자는 충분한 자원과 시간을 투입해 특정 조직이나 개인을 지속적으로 노립니다. 그래서 발견하기까지 오랜 시간이 걸리는 경우가 많습니다.

왜 중요한가

APT는 국가 기반시설, 대기업, 정부기관 등을 대상으로 한 고도화된 공격의 대표적 형태로, 피해 규모와 파급력이 크기 때문에 정보보안학에서 핵심 연구 대상입니다. 일반적인 악성코드 탐지 기법으로는 잡아내기 어려운 은닉성과 지속성을 가지므로, 이를 탐지하고 대응하기 위한 새로운 방법론 개발이 활발히 이루어지고 있습니다.

핵심 정리

APT는 특정 기술의 이름이 아니라 공격의 성격을 가리키는 말입니다. 이름의 세 낱말이 각각 성격을 나타냅니다.

지능형(Advanced): 폭넓은 정보 수집 수단과 여러 방법을 조합해 쓸 수 있는 역량
지속(Persistent): 기회를 엿본 일회성 이득이 아니라 정해진 목표를 꾸준히 추구하며 장기간 접근을 유지하려 함
위협(Threat): 능력과 의도를 함께 갖추고 조직적으로 움직이는 행위자

대개 국가나 국가 지원 집단이 연루된 것으로 설명되지만, 대규모 표적 침입을 하는 비국가 집단을 가리킬 때도 있습니다. 연구 동향은 Chen 외(2014)의 개관과 Alshamrani 외(2019)의 서베이(기법·대응·과제·연구 기회)에서 볼 수 있고, 피해를 줄이는 관리 측면은 Brewer(2014)가 다룹니다.

예시로 보기

연구 논문은 APT를 보통 단계가 이어지는 하나의 캠페인으로 모델링합니다. 단계마다 방어 쪽에서 무엇을 관측할 수 있는지를 연구하는데, Alshamrani 외(2019)는 한두 단계만 탐지하는 연구는 많지만 정찰부터 흔적 정리까지 전체를 하나로 탐지하는 연구는 드물다고 지적합니다. 단계의 이름과 개수는 모델마다 다릅니다.

이 페이지의 위협 인텔리전스, 침해지표, 침해사고 대응은 모두 이런 단계 모델 위에서 쓰이는 개념입니다. (이 사전은 개념 설명만 다루며 구체적인 공격 방법은 다루지 않습니다.)

자주 하는 오해

“APT는 특정 악성코드의 종류다.” 악성코드의 종류가 아니라 공격 캠페인의 성격입니다. 여러 도구가 쓰일 수 있습니다.
“표적형 공격이면 모두 APT다.” 표적이 정해져 있다는 것만으로는 부족하고, 장기간 은밀하게 유지된다는 지속성이 핵심입니다.
“고급 기술이 있어야 APT다.” ‘Advanced’가 모든 기법이 새롭다는 뜻은 아닙니다. 널리 알려진 기법도 목적에 맞게 조합해 쓸 수 있습니다.
“한 번 막으면 끝이다.” 지속성이 특징이므로 탐지와 대응도 일회성 차단이 아니라 장기 관점에서 설계합니다.

논문에서는 이렇게 쓰입니다

실제 논문에서

이 용어를 직접 쓴 국내 논문 문장을 아직 수집하지 못했습니다. 수집되는 대로 출처와 함께 싣겠습니다.

예시 문장

아래는 용어의 쓰임을 보여 주려고 만든 예시로, 실제 논문에서 가져온 문장이 아닙니다.

"본 논문은 APT 공격의 단계별 특징을 분석하여 킬체인 모델 기반의 탐지 프레임워크를 제안한다."

APT 공격이 진행되는 여러 단계를 모델링하여 조기에 탐지하려는 연구 사례입니다.

"장기간 수집된 네트워크 로그에서 APT 그룹의 행위 패턴을 식별하기 위해 이상 탐지 기법을 적용하였다."

장기간의 로그 데이터를 분석해 은밀한 APT 활동의 흔적을 찾아내는 방법을 다룬 예문입니다.

조금 더 깊게 보면

APT 공격은 일반적으로 정찰, 초기 침투, 권한 상승, 내부 이동, 정보 탈취의 단계를 거치는 것으로 알려져 있으며, 이를 킬체인(Kill Chain) 모델로 정리하기도 합니다. 특정 APT 그룹은 자신들만의 도구와 기법(TTP, Tactics·Techniques·Procedures)을 반복 사용하는 경향이 있어, 이를 분석해 공격 주체를 추정하는 연구도 이루어집니다. 공격자는 침투 이후 정상 관리 도구(파워셸 등)를 그대로 활용해 흔적을 최소화하는 '자생형 공격(living off the land)' 기법을 자주 사용하는데, 이는 악성 실행 파일을 새로 심지 않아 기존 시그니처 기반 탐지를 우회하기 쉽다는 특징이 있습니다.

주의할 점

APT라는 용어가 특정 악성코드 종류를 가리키는 것은 아니며, 공격의 지속성과 목표 지향성을 강조하는 개념임을 유의해야 합니다. 또한 모든 장기 침투 사례가 국가 배후의 고도화된 공격이라고 단정할 수는 없습니다.

헷갈리기 쉬운 용어

용어	무엇인가	APT와의 관계
봇넷	악성코드에 감염된 기기들의 네트워크	APT 캠페인에서 쓰일 수 있는 도구 중 하나일 수 있음
침해지표(IoC)	침해의 흔적이 되는 관측 가능한 단서	APT를 탐지·추적할 때 쓰는 증거
위협 인텔리전스	위협 행위자와 그 활동에 관한 분석 정보	APT 집단의 활동 양상을 이해하는 데 활용
침해사고 대응	침해가 발생했을 때의 대응 절차	APT 발견 이후의 대응 단계

참고 문헌

Chen, P., Desmet, L., & Huygens, C. (2014). A study on advanced persistent threats. Lecture Notes in Computer Science, 63–72.
Alshamrani, A., Myneni, S., Chowdhary, A., & Huang, D. (2019). A survey on advanced persistent threats: Techniques, solutions, challenges, and research opportunities. IEEE Communications Surveys & Tutorials, 21(2), 1851–1877.
Brewer, R. (2014). Advanced persistent threats: Minimising the damage. Network Security, 2014(4), 5–9.

표의 기준값은 위 문헌에 근거한 관례이며, 분야·학술지마다 다른 기준을 쓸 수 있습니다.