[논문 리뷰] Advanced Persistent Threat: Detection and Defence

Muhammad Bilal Khan|arXiv (Cornell University)|2020. 04. 22.

Network Security and Intrusion Detection참고 문헌 12인용 수 6

한 줄 요약

이 논문은 고도화된 지속적 위협(APT) 탐지 및 방어 전략에 대한 종합적인 분석을 제공하며, 기존 연구와 실무적 통찰을 융합하여 탐지 기법과 방어 조치를 평가한다. 대규모 조직, 특히 정부 기관을 대상으로 고급 보안 접근 방식을 강조하며, APT 위험을 개선된 탐지 및 능동적 방어 메커니즘을 통해 완화하기 위한 실천 가능한 권고 사항으로 마무리한다.

ABSTRACT

The critical assessment presented within this paper explores existing research pertaining to the Advanced Persistent Threat (APT) branch of cyber security, applying the knowledge extracted from this research to discuss, evaluate and opinionate upon the areas of discussion as well as involving personal experiences and knowledge within this field. The synthesis of current literature delves into detection capabilities and techniques as well as defensive solutions for organisations with respect to APTs. Higher-tier detection and defensive strategies bear greater importance with larger organisations; especially government departments or organisations whose work impacts the public on a large scale. Successful APT attacks can result in the exfiltration of sensitive data, network down time and the infection of machines which allow for remote access from Command-and-control (C2) servers. This paper presents a well-rounded analysis of the Advanced Persistent Threat problem and provides well-reasoned conclusions of how to mitigate the security risk.

연구 동기 및 목표

• 고도화된 지속적 위협(APT) 탐지 및 방어 기법에 대한 현재 연구를 평가하기 위해.
• 기존 APT 탐지 능력과 방어 솔루션의 격차를 식별하기 위해.
• 특히 위험도가 높은 APT 위협에 노출된 조직—특히 정부 기관—를 위해 실천 가능한, 근거 기반의 권고 사항을 제공하기 위해.
• 학술 연구를 실제 경험과 융합하여 APT 완화 전략을 강화하기 위해.
• 대규모 영향을 미치는 환경에서 層위의 능동적 방어 시스템의 중요성을 강조하기 위해.

제안 방법

• 학술 논문 및 기술 보고서에서 확보한 APT 탐지 및 방어에 관한 체계적 문헌 합성.
• 이상 탐지, 행동 분석, 네트워크 트래픽 모니터링과 같은 탐지 기법 평가.
• 침입 탐지 시스템(IDS), 보안 정보 및 이벤트 관리(SIEM), 엔드포인트 탐지 및 대응(EDR) 도구와 같은 방어 솔루션 평가.
• 이론적 탐지 모델의 검증 및 맥락화를 위해 실제 운영 경험의 적용.
• 핵심 인프라나 민감한 데이터를 보유한 조직에 적합한 고급 방어 전략 우선순위 설정.
• 다양한 APT 완화 기법의 탐지 정확도, 반응 시간, 확장성 비교를 위한 구조화된 프레임워크 사용.

실험 결과

연구 질문

• RQ1 복잡한 기업 환경에서 APT를 식별하는 데 가장 효과적인 탐지 기법은 무엇인가?
• RQ2 현재의 방어 솔루션은 정부 기관과 대규모 조직을 대상으로 하는 APT를 어떻게 완화하는가?
• RQ3 실제 구현 환경에서 기존 APT 탐지 모델의 한계는 무엇인가?
• RQ4 은밀하고 장기적인 성격을 띤 APT 캠페인을 대비해 탐지 및 방어 전략은 어떻게 향상시킬 수 있는가?
• RQ5 운영 경험은 이론적 APT 탐지 및 방어 프레임워크를 정교화하는 데 어떤 역할을 하는가?

주요 결과

• APT 침해가 초래하는 영향이 크므로, 대규모 조직—특히 정부 부서—에서는 고급 수준의 탐지 및 방어 메커니즘이 필수적이다.
• APT 공격는 일반적으로 명령 및 제어(C2) 서버를 통한 원격 지속 접근, 데이터 유출, 네트워크 장애를 초래한다.
• 행동 분석 및 이상 탐지와 같은 현재의 탐지 기법은 유망하지만, 생산 환경에서의 임의의 경고를 줄이기 위해 캘리브레이션이 필요하다.
• SIEM, EDR 및 위협 지능을 통합한 보안 솔루션은 탐지 정확도와 반응 시간을 향상시킨다.
• 은밀한 APT 캠페인을 완화하기 위해 위협 사냥과 지속적인 모니터링을 포함한 능동적 방어 전략이 필수적이다.
• 학술 연구와 실무 경험의 융합은 더 견고하고 운영 가능성이 높은 APT 완화 프레임워크를 도출한다.