침해지표 (Indicator of Compromise)
쉽게 풀면
침해지표는 범죄 현장에 남은 지문이나 발자국과 같습니다. 시스템이 공격을 받으면 특정 파일이 생기거나, 낯선 주소로 접속하거나, 비정상적인 흔적이 남습니다. 이런 흔적들을 미리 목록으로 만들어두면, 다른 시스템에서 같은 흔적이 발견되었을 때 "이곳도 공격받았을 가능성이 있다"고 빠르게 알아챌 수 있습니다. 즉 침해지표는 과거 사건에서 얻은 단서를 다음 방어에 재사용하는 도구입니다.
왜 중요한가
침해지표는 침해사고 대응과 위협 탐지를 자동화하는 데 필요한 가장 구체적이고 실용적인 데이터입니다. 조직 간에 침해지표를 공유하면 한 곳에서 발견된 공격 정보를 다른 조직도 빠르게 방어에 활용할 수 있어, 정보보안학과 산업 전반에서 협력적 방어의 기반으로 다루어집니다.
논문에서는 이렇게 쓰입니다
기존에 알려진 침해지표를 실제 탐지 성능 검증에 활용한 연구 사례입니다.
분석 결과에서 새로운 침해지표를 생성해내는 연구 예문입니다.
조금 더 깊게 보면
침해지표는 파일 해시값, 악성 IP·도메인, 레지스트리 변경 흔적, 특정 파일 경로 등 다양한 형태로 존재하며, 이를 표준화된 형식으로 교환하기 위해 STIX와 같은 포맷이 활용되기도 합니다. 다만 IP나 도메인 기반 지표는 공격자가 인프라를 자주 바꾸면 금방 무효화되는 한계가 있어, 행위 기반 지표와 함께 활용하는 연구도 이루어지고 있습니다.
주의할 점
침해지표는 이미 알려진 공격의 흔적을 기반으로 하므로, 전혀 새로운 방식의 공격은 기존 지표만으로 탐지하기 어렵습니다. 지표의 신뢰도와 최신성을 지속적으로 검증하지 않으면 오탐이나 무의미한 경고가 늘어날 수 있습니다.