위협 헌팅 (Threat Hunting)
쉽게 풀면
위협 헌팅은 경보가 울리기를 기다리는 대신, 순찰을 돌며 이상한 점이 없는지 스스로 찾아다니는 보안 요원과 같습니다. 방범 시스템(자동 탐지 도구)이 모든 침입을 잡아내지는 못하기 때문에, 사람이 직접 "혹시 여기 이상한 흔적이 있지 않을까"라는 의심을 갖고 로그와 데이터를 뒤져보는 것입니다. 이런 활동은 정해진 규칙에 맞는지 확인하는 것이 아니라, 경험과 직관을 바탕으로 새로운 가설을 세우고 검증하는 과정에 가깝습니다.
왜 중요한가
정보보안학 연구에서는 공격자가 탐지를 우회하는 기법을 계속 발전시키기 때문에, 자동화 탐지만으로는 한계가 있다고 봅니다. 위협 헌팅은 이미 시스템에 잠복해 있을 수 있는 공격자를 조기에 찾아내 피해를 줄이는 능동적 방어 전략으로서 침해사고 대응 연구에서 활발히 다뤄집니다.
논문에서는 이렇게 쓰입니다
공격 기법 분류 체계를 활용해 헌팅 절차를 구조화한 연구를 설명하는 예문입니다.
헌팅 효율을 높이기 위한 자동화 보조 기법을 설명하는 예문입니다.
조금 더 깊게 보면
위협 헌팅은 흔히 가설 수립, 데이터 수집 및 분석, 패턴 발견, 대응 및 개선의 순환 과정을 거칩니다. 위협 인텔리전스, 침해지표, 공격 기법 분류 체계 등을 참고해 가설을 세우는 경우가 많으며, 로그 상관분석이나 엔드포인트 탐지 도구의 데이터를 함께 활용합니다. 헌팅 결과는 이후 자동 탐지 규칙으로 반영되어 탐지 체계를 지속적으로 개선하는 데 쓰이기도 합니다.
주의할 점
위협 헌팅은 숙련된 분석가의 경험에 크게 의존하기 때문에 결과의 일관성이 자동화 탐지보다 떨어질 수 있습니다. 또한 상당한 시간과 인력이 필요해 모든 조직이 동일한 수준으로 수행하기는 어렵습니다.