[논문]MITRE ATT&CK을 이용한 APT 공격 스코어링 방법 연구

조성영; 박용우; 이건호; 최창희; 신찬호; 이경식

doi:10.13089/jkiisc.2022.32.4.673

[국내논문] MITRE ATT&CK을 이용한 APT 공격 스코어링 방법 연구
An APT Attack Scoring Method Using MITRE ATT&CK 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.32 no.4, 2022년, pp.673 - 689

조성영 (국방과학연구소) , 박용우 (국방과학연구소) , 이건호 (국방과학연구소) , 최창희 (국방과학연구소) , 신찬호 (국방과학연구소) , 이경식 (국방과학연구소)

초록
AI-Helper

본 연구에서는 APT 공격을 탐지하고 대응하기 위한 과정의 하나로 APT 공격을 스코어링하는 방안을 제안한다. 먼저, 사이버 공격을 스코어링하는 과정에서 비일관적인 전문가의 주관적인 판단 요소를 고려한 기존의 연구와는 달리, MITRE ATT&CK^Ⓡ의 공격기술을 구성하는 여러 구성요소 중 정량화할 수 있는 요소들을 식별하고 이를 정량화하는 방안을 제시한다. 또한, 정량화된 요소들을 이용하여 단위 공격기술의 스코어를 도출하고, 나아가 여러 공격 기술로 구성된 전체 APT 공격의 스코어를 산출하는 방안을 제안한다. 제안한 스코어링 방법을 APT 공격 사례 보고서에 적용하여 APT 공격을 포함한 다양한 사이버 공격의 위협 수준 및 시급성을 판단하기 위한 정량화 가능성을 제시한다. 본 연구를 이용하여 APT 공격을 탐지하는 과정에서 실제 공격 여부를 판단하고, 공격의 우선순위를 산정함으로써 더욱 시급하고 중요한 사이버 공격에 대응할 수 있을 것이다.

Abstract ▼ AI-Helper

We propose an APT attack scoring method as a part of the process for detecting and responding to APT attacks. First, unlike previous work that considered inconsistent and subjective factors determined by cyber security experts in the process of scoring cyber attacks, we identify quantifiable factors from components of MITRE ATT&CKⓇ techniques and propose a method of quantifying each identified factor. Then, we propose a method of calculating the score of the unit attack technique from the quantified factors, and the score of the entire APT attack composed of one or more multiple attack techniques. We present the possibility of quantification to determine the threat level and urgency of cyber attacks by applying the proposed scoring method to the APT attack reports, which contains the hundreds of APT attack cases occurred worldwide. Using our work, it will be possible to determine whether actual cyber attacks have occurred in the process of detecting APT attacks, and respond to more urgent and important cyber attacks by estimating the priority of APT attacks.

주제어

표/그림 (22)

표 Table 1. Conversion table from qualitative level to quantitative value[1]
표 Table 2. Comparison of related work
표 Table 3. Tactics in MITRE ATT&CK[6], and number of (sub-)techniques in each tactic
표 Table 4. Properties of ATT&CK techniques[6]
표 Table 5. Quantifiable factors applicable to each tactic
표 Table 6. Quantification of required permissions and permission effective
표 Table 7. Defensive mechanisms enumerated in 'Defense Bypassed' field
표 Table 9. Number of (sub-)techniques mapped to CAPEC attack patterns, and number of (sub-)techniques containing CAPEC quantifiable factors by ATT&CK tactic
표 Table 8. Properties of CAPEC attack patterns[8]
표 Table 10. Quantification of CAPEC typical severity
표 Table 11. Top 10 most populated procedure examples of (sub-)techniques
표 Table 12. Histogram of the number of (sub-)techniques according to the number of procedure examples
표 Table 14. Quantifiable factors to score individual ATT&CK (sub-)technique
표 Table 13. Statistics of the number of procedure examples
표 Table 15. Priority and corresponding weight of tactics
표 Table 16. Statistics of score for individual (sub-)technique by tactics
표 Table 17. Top 20 ATT&CK (sub-)techniques with high threat score
표 Table 18. Top 20 ATT&CK (sub-)techniques with low threat score
표 Table 19. Statistics of threat score and number of techniques for APT threat reports
표 Table 20. Histogram of (left) the entire threat score and (right) the number of (sub-)techniques tagged by rcATT[13] for APT reports in CCC[11]
표 Table 21. Top 20 ATP operations with high threat score
표 Table 22. Average threat score of some threat groups associated with countries

AI 본문요약
AI-Helper

문제 정의

둘째, 공격기술에서 스코어링을 산출하는 요소 중 값이 존재하지 않아 0점이 부여된 요소는 이를 제외하고 공격기술에 대한 스코어를 산정함으로써 0점이 부여되지 않는 요소를 가진 다른 공격기술과의 형평성을 맞추고자 하였다. 특히 요구 권한, CAPEC 심각도와 같은 요소에서 많이 발견되었는데, 이는 실제로 0점이 아닌 데이터 누락으로 인한 null 값(또는 missing value)이며, 이에 대해 데이터 사이언스, 머신러닝, 딥러닝 등 다양한 데이터 활용 분야에서 사용되는 null 값 처리 방법을 적용하여 보완할 여지가 있다고 판단된다.
본 연구에서는 APT 공격을 스코어링하는 방법을 제안한다. 다른 연구들과는 달리 주관적인 요소를 포함하지 않고 ATT&CK 프레임워크가 포함하는 정보를 전적으로 활용하는 스코어링 방법을 제안한다.
본 연구에서는 APT 공격을 탐지하고 대응하기 위한 과정으로 APT 공격을 스코어링하는 방법을 제안하였다. 이를 위하여 공격기술에 대한 사실상 표준 모델인 MITRE ATT&CK 프레임워크를 이용하였다.

제안 방법

3장에서는 MITRE ATT&CK 프레임워크를 살펴보고, 공격기술의 구성요소 중 정량화할 수 있는 요소를 식별하고 이를 이용하여 공격을 스코어링하는 방법을 제안한다
ATT&CK 공격기술의 구성요소 중 정량화할 수 있는 9가지의 요소들, 즉 전술, 플랫폼, 요구 권한, 획득 권한, 데이터 소스, 원격 지원, 방어 우회, 연관된 CAPEC 공격패턴의 일반적 심각도, 절차 사례 수를 식별하였다
정량화 요소들과 공격기술이 속한 전술에 대한 가중치를 이용하여 각 공격기술의 스코어를 산출하였다. 나아가, 여러 공격기술로 구성된 전체 APT 공격의 스코어를 산출하는 방안을 제안하였다. 제안한 스코어링 방법을 APT 공격 사례들을 분석한 APT 공격 보고서에 적용함으로써, APT 공격을 포함한 다양한 사이버 공격의 위협 수준 및 시급성을 판단하기 위한 정량화 가능성을 제시하였다.
다른 연구들과는 달리 주관적인 요소를 포함하지 않고 ATT&CK 프레임워크가 포함하는 정보를 전적으로 활용하는 스코어링 방법을 제안한다
먼저 ATT&CK에 정의된 공격기술을 구성하고 있는 여러 요소 중 정량화 가능한 요소를 식별하고, 해당 요소들을 분석하여 요소별 스코어링 방안을 도출하였다
먼저 ATT&CK의 각 공격기술을 스코어링하고, 이를 이용하여 여러 공격기술로 구성된 전체 APT 공격을 스코어링한다.
먼저, APT 공격 사례 보고서는 작성자인 조직 또는 개인의 관심 성향에 따라 (1) APT 공격 과정 전체를 포함하거나, (2) APT 공격 과정에서 사용된 악성코드를 분석한 결과를 제시하거나, 또는 (3) 특정 APT 공격 사례가 아닌 특정 공격 그룹이 수행한 것으로 추정된 여러 APT 공격 사례를 종합하여 분석한 결과를 제시한다. 따라서 내용에 따라 포함될 수 있는 ATT&CK 공격기술의 범위와 항목이 달라질 수 있으며, 이에 따른 스코어 산출 결과가 APT 공격 사례 보고서에서 다루는 APT 공격을 숫자 그대로 받아들이기엔 어려움이 있다.
절차 사례는 모든 공격기술이 공격 그룹, 악성코드 및 정상적인 목적의 도구를 포함한 소프트웨어에 의해 사용된 사례들을 모아 놓은 것이며, ATT&CK에서는 위협 분석 보고서, 블로그 게시글 등 공개된 위협 인텔리전스를 분석하여 공격기술마다 정리하였다
먼저 ATT&CK에 정의된 공격기술을 구성하고 있는 여러 요소 중 정량화 가능한 요소를 식별하고, 해당 요소들을 분석하여 요소별 스코어링 방안을 도출하였다. 정량화 요소들과 공격기술이 속한 전술에 대한 가중치를 이용하여 각 공격기술의 스코어를 산출하였다. 나아가, 여러 공격기술로 구성된 전체 APT 공격의 스코어를 산출하는 방안을 제안하였다.
나아가, 여러 공격기술로 구성된 전체 APT 공격의 스코어를 산출하는 방안을 제안하였다. 제안한 스코어링 방법을 APT 공격 사례들을 분석한 APT 공격 보고서에 적용함으로써, APT 공격을 포함한 다양한 사이버 공격의 위협 수준 및 시급성을 판단하기 위한 정량화 가능성을 제시하였다.

이론/모형

이를 위하여 공격기술에 대한 사실상 표준 모델인 MITRE ATT&CK 프레임워크를 이용하였다

성능/효과

에서 확인할 수 있듯이, 1보다 낮은 스코어를 가지는 공격 기술이 존재하므로, 전체 공격에 대한 스코어를 산출할 때 단위 공격기술의 스코어를 곱하게 되면 해당 공격기술이 추가될 때 공격기술이 더 사용되었음에도 전체 스코어가 낮아지게 된다. 둘째, 전체 공격에 대한 스코어를 산출할 때 단위 공격기술의 스코어를 곱하게 되면 중간 정도의 스코어(2점 내외)를 가지는 공격기술을 다수 사용한 전체 공격의 스코어가, 매우 높은 스코어(4점 이상)를 가지는 공격기술을 소수 사용했을 때보다 스코어보다 높게 나오는 현상이 발생한다.
은 식 (7)에 따른 공격 스코어를 산출하였을 때 가장 높은 공격 스코어를 갖는 상위 20개의 공격기술을 나열한 것이다. 전술별로는 유출(6개), 영향(4개), 내부 확산(4개), 수집(3개), 자격증명 접근(2개), 권한 상승(1개)의 분포를 보이며, APT 공격의 후반 단계에서 수행되는 공격기술에 대해 높은 스코어가 부여됨을 확인할 수 있다.

참고문헌 (15)

S. M. Milajerdi, R. Gjomemo, B. Eshete, R. Sekar and V. N. Venkatakrishnan, "HOLMES: Real-time APT detection through correlation of suspicious information flows," 2019 IEEE Symposium on Security and Privacy, pp. 1137-1152, May 2019
Wajih Ul Hassan, Adam Bates and Daniel Marino, "Tactical provenance analysis of endpoint detection and response systems," 2020 IEEE Symposium on Security and Privacy, pp.1172-1189, May 2020
Eric M. Hutchins, Michael J. Cloppert and Rohan M. Amin, "Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains," Leading Issues in Information Warfare & Security Research, vol. 1, no. 1, pp. 80, 2011
Sangsoo Kim, Shinwoo Shim, Seonyeong Lim and Seongmo Koo, "A Threat Prioritization Method Using User Behavior Data for Cyber Threat Hunting," The Journal of Korean Institute of Information Sciences, vol. 46, no. 11, pp.1853-1861, Nov. 2021

상세보기
Seokho Kim, Incheol Shin and Jaeki Jeong, "Personality Traits and Response Styles," The Journal of Survey Research, vol. 12, no. 5, pp.51-76, Jul. 2011
Blake E. Strom et al., "MITRE ATT& CK: Design and Philosophy," Technical Report, Mar. 2020 (available at https://attack.mitre.org/docs/ATTACK_Design_and_Philosophy_March_2020.pdf)
MITRE ATT&CK, https://attack.mitre.org/, accessed on Apr. 2022
MITRE CAPEC, https://capec.mitre.org/, accessed on Apr. 2022
SigmaHQ, Sigma, https://github.com/SigmaHQ/ sigma, accessed on April 2022
NSA/CSS Technical Cyber Threat Framework v2, https://nsa.gov/portal/75/documents/what-we-do/cybersecurity/professional-resources/ctr-nsa-css-technical-cyber-threat-framework.pdf, accessed on Apr. 2022
APT & CyberCriminal Campaign Collections, https://github.com/CyberMonitor/APT_CyberCriminal_Campagin_Collections, accessed on Apr. 2022
vlegoy, rcATT, https://github.com/vlegoy/rcATT, accessed on Apr. 2022
Valentine Solange Marin Legoy, "Retrieving ATT&CK tactics and techniques in cyber threat reports," MS thesis, University of Twente, 2019
MITRE ATT&CK, Groups, https://attack.mitre.org/groups/, accessed on Apr. 2022
Sungyoung Cho, Yongwoo Park and Kyeongsik Lee, "Implementation of an APT attack detection system through ATT&CK-based attack chain reconstruction," Journal of The Korea Institute of Information Security and Cryptology, vol. 32, no. 3, pp. 527-545, Jun. 2022

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증