위협 인텔리전스(Threat Intelligence)란 무엇일까요?

위협 인텔리전스란?

위협 인텔리전스(Threat Intelligence, CTI)는 누가 우리를 노리고, 어떤 수법을 쓰며, 무엇을 남기는지에 관한 정보를 모아 판단과 행동으로 이어질 수 있게 다듬은 것입니다. 이름 그대로 군사·정보 분야의 '정보(intelligence)' 개념을 보안에 들여온 것으로, 목표는 공격을 당하기 전에 먼저 알기입니다.

가장 중요한 구분은 데이터·정보·인텔리전스의 차이입니다. 악성 IP 100만 개 목록은 데이터이고, 그것을 정리해 "최근 이 대역에서 공격이 늘었다"고 정리하면 정보이며, "우리 업종을 노리는 조직이 이 대역을 거쳐 탈취 계정으로 들어오니 해당 계정의 인증을 강화하라"까지 오면 인텔리전스입니다.

그래서 판단으로 이어지지 않는 자료 더미는 인텔리전스가 아닙니다. 실무에서 "피드는 샀는데 쓰지 않는다"는 말이 나오는 이유가 여기 있습니다. 우리 환경의 맥락이 붙지 않은 지표는 경보만 늘리고 아무 결정도 바꾸지 못합니다.

데이터가 인텔리전스가 되기까지 — 수명주기 6단계

위협 인텔리전스는 한 번 만들고 끝나는 산출물이 아니라 계속 도는 순환입니다. 국제적으로 통용되는 절차가 다음 여섯 단계입니다.Wiz

여섯 단계 중 실무에서 가장 자주 생략되는 것이 1번(기획·지시)과 6번(피드백)입니다. "무엇을 알아야 하는가"를 정하지 않고 수집부터 시작하면 쓰지 않는 데이터만 쌓이고, 피드백이 없으면 매달 같은 보고서가 아무도 읽지 않은 채 반복됩니다.

위협 인텔리전스의 4가지 유형

같은 위협 정보라도 보는 사람과 쓰이는 시간대가 다릅니다. 그래서 네 가지로 나눠 관리합니다.

현장에서 '위협 인텔리전스를 도입했다'고 할 때 대개 전술적·기술적 유형을 뜻합니다. 지표를 받아 장비에 자동으로 넣는 형태라 효과가 빨리 보이기 때문입니다. 반면 예산과 정책을 바꾸는 것은 전략적 유형이고, 이쪽이 비어 있으면 보안 투자가 매년 같은 논리로 반복됩니다.

IoC와 TTP — 지표와 수법

위협 인텔리전스가 다루는 대상은 크게 두 층입니다.

• IoC(침해지표, Indicator of Compromise) — 악성 IP·도메인·URL, 파일 해시, 악성 메일 발신 주소처럼 침해가 있었음을 가리키는 구체적 흔적입니다. 그대로 차단 목록에 넣을 수 있어 즉시 효과가 납니다.
• TTP(전술·기법·절차, Tactics·Techniques·Procedures) — 공격자가 어떻게 일하는지에 대한 설명입니다. "피싱 메일로 계정을 얻고, 정상 관리 도구로 내부를 돌아다니며, 백업을 지운 뒤 암호화한다" 같은 행동 양식이며, MITRE ATT&CK 같은 체계로 정리합니다.

둘의 수명이 크게 다릅니다. IoC는 금방 썩습니다. 공격자는 IP와 도메인을 수시로 바꾸기 때문에 어제의 차단 목록이 오늘은 무의미할 수 있습니다. 반면 수법은 잘 바뀌지 않습니다. 그래서 성숙한 조직은 지표를 쌓는 데서 멈추지 않고, TTP 기반 탐지 룰로 옮겨 갑니다. "이 IP를 막는다"보다 "정상 관리 도구가 갑자기 다른 PC에 원격 실행을 시도하면 잡는다"가 오래 버티는 방어입니다.

어디서 얻고, 어디에 쓰나

주요 출처

• 공개 출처(OSINT) — 보안업체 리포트, 취약점 공시, 커뮤니티, 뉴스 등 누구나 볼 수 있는 정보입니다.
• 다크웹·폐쇄 채널 — 유출 계정 거래, 랜섬웨어 조직의 공개 협박 게시물 등 침해 정황을 조기에 알려 주는 신호입니다.
• 상용 위협 피드 — 보안 기업이 수집·검증해 제공하는 지표와 리포트로, 장비 연동이 전제된 형태가 많습니다.
• 정부·업종 공유 — 국내에서는 KISA 등 기관과 업종별 협의체를 통한 침해 정보 공유가 중요한 축입니다.
• 내부 데이터 — 우리 조직이 겪은 사고 기록, 차단 로그, 접근·반출 이력입니다. 가장 정확한 인텔리전스는 내부에서 나옵니다.

주요 활용

• 차단·탐지 자동화 — 지표를 방화벽·IPS·EDR·SIEM에 넣어 걸러냅니다.
• 조치 우선순위 — 수많은 취약점 중 실제로 악용되고 있는 것부터 패치합니다.
• 위협 헌팅 — 알려진 수법을 가설로 삼아 우리 로그에서 흔적을 먼저 찾습니다.
• 사고 대응 — 침해 발생 시 공격 조직과 다음 행동을 추정해 대응 순서를 정합니다.
• 경영 보고 — 우리 업종을 겨눈 위협 동향으로 투자와 정책의 근거를 만듭니다.

실무 체크 포인트 — 위협 인텔리전스 운영

피드를 많이 사는 것과 인텔리전스를 잘 쓰는 것은 전혀 다른 일입니다.

위협 인텔리전스는 대부분 바깥을 보는 눈입니다. 누가 우리를 노리는지, 어떤 수법이 유행하는지 알려 주지만, 이미 권한을 가진 내부 사용자가 문서를 들고 나가는 일은 그 시야에 잡히지 않습니다. 반대로 이런 내부 행위 기록은 인텔리전스의 원천이 되기도 합니다. 오피스키퍼는 문서 접근·반출 이력을 남기고 정보유출방지로 반출 자체를 통제해, 밖에서 오는 위협을 보는 것과 안에서 나가는 정보를 막는 것을 나란히 세웁니다.

자주 묻는 질문