일치 이벤트와 판정의 차이
위협 인텔리전스 피드(Threat Intelligence Feed)는 보안 업체와 공개 커뮤니티가 수집한 악성 IP 주소, 도메인, 파일 해시 같은 침해지표 목록을 정기적으로 배포하는 데이터 스트림입니다. 이 피드를 NDR에 연동하면 알려진 지표와 통과 트래픽을 자동으로 비교합니다.
비교 결과에는 지표와 트래픽이 맞아떨어졌다는 일치 이벤트만 기록됩니다. 로그와 경보가 발생 상태만 보여주는 것과 같습니다. 그 세션에서 실제로 무엇이 오갔는지, 정상 업무 통신이 지표와 우연히 일치한 것인지는 일치 이벤트만으로 판별할 수 없습니다. 피드를 추가해도 이 한계는 해결되지 않습니다. 목록이 길어질수록 근거를 확인하지 못한 경보가 누적되고, 분석가의 시간이 경보 검증에 소모됩니다.
위협 인텔리전스 피드 운영의 세 요건
침해지표(IOC, Indicator of Compromise)는 공격이 임박했거나 진행 중이거나 이미 침해가 발생했음을 나타내는 기술적 흔적(artifact)입니다. 이 범위는 미국 국립표준기술연구소(NIST)의 용어 정의를 따르며, 국제인터넷표준화기구(IETF)의 RFC 9424는 여기에 공격자의 전술과 기법, 사용 도구와 인프라까지 관측 대상으로 포함합니다. 피드를 운영 자산으로 다루려면 다음 세 요건을 충족해야 합니다.
- 판정: 지표와 일치한 트래픽이 실제 악성인지 확정할 수 있어야 합니다. 요약 정보만으로 판정하면 정상 트래픽이 오탐으로 보고되고 위장된 악성 행위가 미탐으로 통과하는 두 오류가 동시에 발생합니다.
- 품질 평가: 어떤 피드가 운영 환경에서 유효한지 측정할 수 있어야 합니다. 전 세계 공격 지표를 수집하는 피드에는 해당 조직의 산업과 지역에 해당하지 않는 지표가 다수 혼재되어 있고, 반대로 특정 산업을 겨냥한 지표가 글로벌 피드에 늦게 반영되는 경우도 있습니다.
- 폐기: 유효성을 잃은 지표를 식별해 목록에서 제거할 수 있어야 합니다. 수개월 전 등록된 IP 주소가 현재는 정상 서비스로 이전되었는데도 만료 처리 없이 남아 있으면, 그 지표는 탐지 대신 오탐을 생성합니다.
세 요건 모두 피드 목록 자체로는 충족되지 않습니다. 목록은 지표의 존재를 알려 줄 뿐 그 지표가 운영 환경에서 어떻게 동작하는지는 기록하지 않기 때문입니다.
교차 확인의 실측 한계
세 요건을 목록 내에서 해결하려는 일반적인 방법이 교차 확인입니다. 여러 피드에 함께 등장한 지표를 신뢰하고 한 곳에만 있는 지표는 낮게 평가하는 방식이 여기에 해당합니다. 규칙 자체는 합리적이지만, 실제 피드를 대량으로 비교한 연구들은 이 규칙을 적용할 대상 자체가 거의 없다는 결과를 보고합니다.
상용과 공개 피드를 함께 수집해 같은 지표가 몇 개 피드에 등장하는지 측정한 연구에 따르면, 스캔 유형 지표는 73%, 무차별 대입(brute force) 유형은 88%가 단 하나의 피드에만 존재했고, 봇넷과 취약점 공격, 악성코드, 스팸 유형에서는 그 비율이 97%를 넘었습니다(USENIX Security 2019 기준). 같은 연구에서 이 4개 유형은 피드를 둘씩 짝지어 비교했을 때 짝의 4분의 3 이상이 교집합 1% 미만이었습니다. 어느 두 피드를 골라도 담고 있는 지표가 사실상 겹치지 않는다는 뜻입니다.
피드 품질 평가 연구도 138만여 건의 지표 가운데 둘 이상의 피드에 함께 등재된 것이 6.2%뿐이었다고 보고합니다(ACNS 2020 기준). 같은 연구는 악성 활동 시작 이후 피드 등재까지 평균 21일이 걸렸다는 측정치도 함께 제시합니다.
두 결과를 종합하면 교차 확인의 역할이 정해집니다. 여러 피드에서 함께 확인된 지표는 신뢰도가 높지만, 그 비중이 낮아 1차 검증 수단으로는 적합하지 않습니다. 등재 지연이 21일 수준이면 목록의 최신성을 목록 내에서 보증하기 어렵습니다. 세 요건의 입력은 목록 이외의 데이터, 즉 해당 지표와 일치한 트래픽의 실제 통신 내용에서 확보됩니다.
첫째 요건, 판정: 원본 기준 정오탐 판정 절차
일치 이벤트가 발생하면 원본까지 확인하는 순서로 진행됩니다. 경보마다 처리가 달라지지 않으므로 오탐과 미탐이 최종 판정 단계에서 함께 식별됩니다. 5단계 구성은 [그림 1]과 같으며, 자동화 구간과 분석가 판정 구간으로 나뉩니다.
[그림 1]의 자동화 구간, 즉 일치 이벤트를 확인하고 로그와 메타데이터로 의심 구간을 축소하는 단계까지가 자동으로 처리됩니다. 이후 단계는 분석가가 수행합니다. 해당 세션의 원본 패킷을 조회해 실제 통신 내용을 확인하고, 페이로드에서 악성 행위가 나타나면 위협으로, 정상 업무 통신으로 판명되면 오탐으로 판정합니다. 위협으로 확정된 건만 차단과 증적 보존으로 전달합니다.
원본 트랜잭션/세션이 보존되어 있을 때 이 단계가 확정적 증거(definitive evidence)에 근거한 판정이 됩니다. 판정 요건을 충족하려면 목록의 품질보다 원본을 얼마나 보존했는지를 먼저 확인해야 합니다.
판정 이력이 축적되면 판정 결과 외에 피드별 오탐 생성률과 지표 유형별 유효기간도 운영 환경의 수치로 산출할 수 있습니다. 앞의 수치는 품질 평가 요건이, 뒤의 수치는 폐기 요건이 입력으로 사용합니다.
둘째 요건, 품질 평가: 운영 환경에서 재는 다섯 축
피드 품질은 다섯 축으로 나눠 평가합니다. 업계에 확립된 단일 표준 프레임워크는 없으며, 학계에서는 적시성과 민감도, 독창성, 영향의 4개 차원으로 측정하는 방식(ACNS 2020)이나 8개 지표로 나누는 방식(FeedMeter, ICISSP 2024)을 제시합니다. [표 1]의 다섯 축은 그 논의를 운영 관점에서 재구성한 것입니다.
다섯 축은 측정에 사용하는 데이터가 서로 다릅니다. 정오탐 판정 이력을 입력으로 삼는 축은 정확도뿐이고, 나머지 네 축은 지표 수신 시각과 보유 탐지 이력, 피드 간 중복률, 지표에 동반된 부가 정보에서 각각 산출합니다. 한 축만 보면 피드의 한 면만 드러나므로 다섯 축을 함께 평가합니다.
품질과 별개로 연동 형식도 함께 확인합니다. STIX(Structured Threat Information Expression) 2.1과 TAXII(Trusted Automated Exchange of Intelligence Information) 2.1은 2021년 OASIS 표준으로 공표된 현행 규격이며, 지원 형식을 확인하지 않으면 품질이 높은 피드도 운영 파이프라인에 연동할 수 없습니다.
같은 이력에서 적용 우선순위도 결정합니다. 모든 지표를 같은 등급으로 적용하면 경보량이 판정 역량을 초과합니다. 조직의 산업과 보유 자산에 관련된 지표를 우선 적용하고, 공격 전술과 기법에 연결되어 탐지 이후 분석에서 활용도가 높은 지표의 순위를 상향하며, 생성과 갱신 시점이 오래된 지표는 하향합니다. 여러 피드에서 함께 확인된 지표에 가점을 부여하는 것은 유효하지만, 해당 지표가 적으므로 순위의 주된 기준으로 삼지는 않습니다.
적용 범위는 단계적으로 확대하며, 신뢰도가 확인되지 않은 지표는 차단 정책에 즉시 반영하지 않습니다. 탐지와 모니터링 전용으로 먼저 적용해 실제 일치 이력을 축적하고, 원본을 확인해 정오탐을 판정한 뒤 차단 정책으로 전환합니다. 품질 평가 요건도 판정 이력이라는 같은 입력에서 충족됩니다.
셋째 요건, 폐기: 지표 유형별 유효기간과 노후화 기준
유형별 검토 주기와 폐기 판단 신호를 함께 정해 둡니다. 공격자가 인프라를 교체하거나 도메인이 재활용되면 같은 값이 정상 자원에 해당하게 되고, 유효성을 잃은 지표를 유지하면 오탐이 증가하고 비교 부하도 커집니다. 검토 주기는 지표 유형마다 다르게 잡습니다. 지표에 점수를 매겨 시간이 지날수록 값을 낮추는 감쇠 모형도, 피드 제공자가 자체로 정해 둔 유효기간 정책도 IP 주소는 짧게, 파일 해시는 길게 둡니다.
다만 해시의 유효기간이 길다는 것을 해시로 오래 탐지할 수 있다는 뜻으로 읽으면 안 됩니다. 그 해시가 가리키는 파일이 악성이라는 판정은 오래 유효하지만, 탐지 수단으로서의 효용은 오히려 가장 낮습니다. RFC 9424는 공격자가 코드를 다시 컴파일하거나 파일 내용을 일부 변경하는 것만으로 해시 기반 탐지를 무력화할 수 있다고 지적하며, 해시를 가장 취약한 지표로 분류합니다. 판정의 유효성과 탐지 효용을 구분하지 않으면 폐기 주기가 부정확하게 산정됩니다. 유형별 정리는 [표 2]와 같습니다.
[표 2]의 검토 주기를 일수로 확정할 때 외부 값을 그대로 적용하기는 어렵습니다. 자주 인용되는 수치는 산출 근거가 서로 다릅니다. 감쇠 모형을 제안한 MISP 측 논문의 IP 주소 7일, 해시 60일은 모형 설명을 위한 예시값이고 논문 자체가 데이터셋 분석으로 재조정할 값이라고 명시합니다(CIRCL 2018 기준).
MISP의 기본 침입탐지 모델은 도메인과 IP 주소, URL에 같은 유효기간 120일을 적용합니다. 논문이 든 예시값과 도구에 기본으로 설정된 값은 성격이 다르고, 유형별 표준 일수도 확립되어 있지 않습니다. 기준값은 자체 판정 이력에서 산출해야 합니다.
산출한 기준값에는 2가지 정책을 병행해 적용합니다. 시간 기반 만료는 설계가 단순하지만 유효한 지표를 조기에 삭제할 위험이 있습니다. 감쇠 기반 폐기는 신규 관측이 있으면 점수를 원래 값으로 되돌려 이 위험을 줄입니다. MISP의 감쇠 모델이 유효기간과 감쇠 속도, 임계값을 파라미터로 두고 이 방식으로 동작합니다. 시간 기반 만료를 1차 조건, 감쇠 점수를 2차 조건으로 결합합니다.
폐기 전에는 폐기 예정 지표로 과거 트래픽을 먼저 조회하는 단계를 둡니다. 소급 재검사는 추가 확보한 지표로 저장된 과거 패킷과 세션을 다시 분석하는 절차이며, 원본이 보존 기간 내에 남아 있어야 가능합니다. 조회 결과 일치 이력이 남아 있으면 폐기하지 않고 보관으로 전환합니다. 일치 이력이 있는 지표를 삭제하면 사후 조사의 참조 근거도 함께 삭제됩니다.
원본 보존의 효용은 폐기 판단 외에도 적용됩니다. PCAP(Packet Capture) 단위 원본이 남아 있으면 취약점이 사후에 공개된 경우에도 공개 이전 침해 여부를 판별할 수 있습니다. 폐기 요건은 목록의 만료일이 아닌 원본 조회 결과가 충족합니다.
자율보안운영의 근거: 목록과 원본을 연결하는 입력 구조
세 요건은 어느 것도 피드가 배포하는 지표 목록으로는 충족되지 않습니다. 판정은 원본 확인에서, 품질 평가는 그 판정 이력에서, 폐기 판단은 과거 트래픽 조회에서 산출됩니다. 출처는 셋 다 다르지만 모두 원본 트래픽을 근거로 삼습니다. 세 요건을 함께 충족하려면 지표가 일치한 시점의 원본 트랜잭션/세션이 판정 시점에도, 이후의 조회 시점에도 보존되어 있어야 합니다.
이 구조가 갖춰져야 판정 자동화가 근거 위에서 이루어집니다. 공격 실행이 자동화될수록 분석가가 지표를 개별 확인하고 판정하는 주기로는 대응 속도를 맞추기 어렵고, 탐지에서 분석, 판단, 대응으로 이어지는 Closed-Loop 자동화, 즉 자율보안운영(Autonomous Security Operations)이 필요해집니다. 일치 이벤트만으로는 그 판단이 확정되지 않습니다.
피드 운영의 과제는 양질의 목록 확보에서 목록과 원본을 연결하는 구조 확보로 전환됩니다. 자율보안운영에서 앞서가는 조건은 대응 속도보다 입력 데이터의 완전성입니다.
자주 묻는 질문
피드를 여러 개 도입하면 탐지 범위가 넓어지지 않나요?
지표 수는 늘지만 판정 역량이 함께 늘지 않으면 확인하지 못한 경보만 누적됩니다. 피드를 추가하기 전에 현재 피드의 정오탐 판정 이력을 확보해 [표 1]의 다섯 축으로 평가하고, 기존 피드와 중복되지 않는 범위인지 확인하는 순서를 권장합니다.
폐기한 지표를 나중에 다시 확인해야 하는 상황은 어떻게 대비하나요?
지표는 폐기하더라도 그 지표로 판정한 이력과 일치 이력은 별도로 보관합니다. 원본 트래픽이 보존 기간 내에 남아 있으면 새 지표로 과거 구간을 다시 조회할 수 있으므로, 폐기 정책과 원본 보존 기간을 함께 설계해야 합니다.
