허니팟
포스팅 뷰13
허니팟(Honeypot)이란 무엇일까요?
- 정의 — 공격자를 유인해 행동을 관찰하기 위해 일부러 취약하거나 매력적으로 보이게 만든 가짜 시스템·데이터입니다.
- 핵심 — 보안 업체 Sophos가 AWS에 설치한 허니팟 실험에서는 인터넷에 연결한 지 단 52초 만에 첫 공격이 들어왔고, 서버 1대당 시간당 평균 757회의 공격 시도가 기록됐습니다.
- 현실 — 2025년 10월 SK쉴더스는 다크웹에 가짜 유출 데이터를 올려둔 자체 허니팟으로 해커를 속인 사실을 공개했고, 글로벌 디셉션 기술 시장은 2034년까지 73억 달러 규모로 성장할 전망입니다.
허니팟이란 공격자를 실제 자산 대신 미끼로 유인해 그 행동을 관찰·기록함으로써 침해를 조기에 탐지하고 위협 정보를 수집하기 위해 의도적으로 설치한 가짜 시스템, 서버, 데이터, 계정을 말합니다.
허니팟이란?
허니팟(Honeypot)은 미국 표준기술연구소(NIST)의 정의를 빌리면 "잠재적 해커와 침입자에게 매력적으로 보이도록 설계된 시스템 또는 시스템 자원"입니다. 실제로는 운영 중인 서비스와 관계없는 미끼이지만, 공격자의 눈에는 취약하거나 가치 있는 진짜 자산처럼 보이도록 꾸며집니다. 공격자가 이 미끼에 접근하면 방어자는 그 모든 명령, 도구, 접속 경로를 조용히 기록할 수 있습니다.ITWorld
최초의 실전 허니팟은 1986년으로 거슬러 올라갑니다. 천문학자 클리포드 스톨(Clifford Stoll)은 랩 서버의 사소한 회계 오차를 추적하다 GNU 이맥스의 취약점을 이용한 침입자를 발견했고, 가짜 군사 기밀 파일을 미끼로 깔아 공격자를 붙잡아 두었습니다. 이 '샤워헤드 작전(Operation Showerhead)'은 결국 KGB에 정보를 팔던 독일 해커의 검거로 이어졌습니다. 오늘날의 허니팟은 자동화된 봇과 스캐너, 랜섬웨어 조직, 국가 배후 해킹 조직까지 겨냥하는 정교한 디셉션(기만) 전략으로 발전했습니다.
목적은 분명합니다. 공격자가 실제 핵심 자산 대신 미끼에 시간을 쓰게 만들어 체류 시간을 벌고, 그 사이 공격자의 전술·기법·절차(TTP)를 수집해 탐지 규칙과 차단 목록에 반영하는 것입니다. 공격자가 허니팟인 줄 모르고 활동할수록 방어자는 더 많은 정보를 얻습니다.
허니팟은 이렇게 작동합니다
유형과 상관없이 허니팟의 운영 흐름은 대체로 다음 네 단계를 거칩니다.
- 미끼 설치 — 실제 자산과 닮은 가짜 서버, 서비스, 파일, 계정을 격리된 환경에 배치합니다.
- 공격자 유인 — 자동화된 스캐너·봇이나 침입자가 취약해 보이는 미끼를 발견하고 접근을 시도합니다.
- 행위 기록 — 공격자가 입력한 명령, 사용한 도구, 접근 경로, 시도한 자격 증명을 로그로 남김없이 수집합니다.
- 위협 인텔리전스화 — 수집한 전술·기법·절차(TTP)를 분석해 탐지 규칙, 차단 목록, 실제 방어 체계 개선에 반영합니다.
허니팟 vs 허니토큰 vs 디셉션 기술
허니팟과 자주 섞여 쓰이는 용어로 허니토큰과 디셉션 기술이 있습니다. 세 개념은 '공격자를 속인다'는 점은 같지만 범위와 운영 방식에서 분명한 차이가 있습니다.
| 구분 | 허니팟 | 허니토큰 | 디셉션 기술 |
|---|---|---|---|
| 범위 | 시스템·환경 전체를 미끼로 구성 | 파일·자격 증명 같은 개별 객체 하나 | 허니팟·허니토큰·가짜 네트워크 경로를 통합 운영 |
| 오탐 가능성 | 공개 노출형은 트래픽이 많아 경보도 잦음 | 정상적으로 접근할 이유가 없어 오탐이 거의 없음 | 중앙 플랫폼의 상관분석으로 오탐을 추가로 걸러냄 |
| 운영 특징 | 저·고 상호작용으로 구분, 수준에 따라 운영 부담 상이 | 접근 즉시 경보가 발생하며 운영 부담이 작음 | 머신러닝 기반으로 유인물을 상황에 맞게 자동 변형 |
| 대표 예시 | SSH·웹 서버처럼 보이는 미끼 시스템 | 가짜 API 키, 가짜 DB 레코드, 가짜 로그인 자격 증명 | 허니팟·허니토큰을 포함한 통합 디셉션 플랫폼(상용 솔루션) |
허니팟은 1990년대 후반 등장한 허니드(Honeyd)처럼 네트워크 에뮬레이션으로 자동화된 스캐닝·웜을 탐지하는 데는 강했지만, 에뮬레이션임을 공격자가 눈치채거나 내부 위협 탐지에는 취약하다는 한계가 있었습니다. 이런 한계를 보완하며 발전한 것이 머신러닝 기반으로 유인물을 자동 생성하고 사고 대응까지 연계하는 현대적 디셉션 기술입니다.보안뉴스
실제 사례로 보는 허니팟 — SK쉴더스에서 FBI까지
SK쉴더스의 다크웹 허니팟(2025년 10월) — 다크웹에 '블랙쉬란택(Blackshrantac)'이라는 해커 그룹이 SK쉴더스에서 24GB 데이터를 탈취했다며 기술 정보·네트워크 정보·내부 인사 자료로 보이는 이미지 40여 개를 샘플로 공개해 업계에 우려가 번졌습니다. 그러나 SK쉴더스는 해당 사이트가 내부망과 연결되지 않은 인터넷망에 설치해 둔 자사 허니팟이며, 공개된 샘플은 모두 가상으로 만든 파일이라고 밝혔습니다. 실제 내부 데이터는 전혀 유출되지 않았고, 해커는 함정 데이터를 진짜 탈취물로 오인해 스스로 공개한 셈입니다.보안뉴스
FBI의 'ANOM' 작전(Operation Trojan Shield) — 해외에서 가장 널리 알려진 허니팟형 함정 수사입니다. FBI와 호주연방경찰은 암호화 메신저 서비스 'ANOM'을 직접 만들어 범죄 조직에 유통시켰고, 조직원들은 이를 안전한 통신 수단으로 믿고 범죄를 모의했습니다. 수년간 메시지를 들여다본 끝에 2021년 전 세계에서 800명 이상이 검거됐고 막대한 마약·현금·무기가 압수됐습니다.HackRead
Sophos의 SSH 허니팟 실험 — 보안 업체 Sophos는 비밀번호 기반 SSH 인증을 쓰는 허니팟 서버 10대를 AWS 데이터센터(캘리포니아·오하이오·브라질 상파울루)에 설치해 30일간 관찰했습니다. 공격자들은 자동화 도구로 인터넷에 연결된 서버를 찾아낸 뒤 root, admin 같은 계정과 기본값·약한 비밀번호로 무차별 대입을 시도했고, 침해된 허니팟은 다른 장치를 공격하는 프록시로도 악용됐습니다.Chipscs
| 지표 | 수치 |
|---|---|
| Sophos 허니팟 실험 — 상파울루 서버 첫 공격까지 걸린 시간 | 약 52초 |
| 같은 실험 — 30일간 10대 허니팟에 대한 총 로그인 시도 | 540만 회 |
| 같은 실험 — 서버 1대당 시간당 평균 공격 시도 | 757회 |
| FBI 'ANOM' 작전(Trojan Shield) 전 세계 검거 인원 | 800명 이상 |
| 글로벌 디셉션 기술 시장 규모(2025년 → 2034년 전망) | 27억 달러 → 73억 달러(연평균 11.43%↑) |
국내에서도 허니팟·디셉션 수요는 꾸준히 늘고 있습니다. 보안 스타트업 에이엠씨랩은 내부망 침투 이후 공격자가 인근 시스템으로 옮겨 다니는 '횡적 이동(Lateral Movement)'을 막는 경량 솔루션 '허니비(HoneyBee)'로 금융·통신·제조업 PoC를 진행하고 있으며, 무겁고 운영 부담이 컸던 기존 디셉션 솔루션의 대안으로 주목받고 있습니다.보안뉴스
허니팟 운영, 이것만은 확인하세요
허니팟은 공격자가 '이미 침입을 시도한 이후'를 관찰하는 탐지 기술입니다. 그보다 앞서 내부 문서와 민감정보 자체가 외부로 반출되지 않도록 막는 예방 통제가 함께 갖춰져야 합니다. 오피스키퍼는 정보유출방지(DLP)와 문서중앙화로 권한 밖의 문서 열람·다운로드·외부 전송을 원천 차단해, 허니팟이 공격을 탐지하기 이전 단계에서부터 실제 데이터 유출을 막는 데 도움을 줍니다.
자주 묻는 질문
Q. 허니팟을 설치하면 해킹을 예방할 수 있나요?
A. 아니요. 허니팟은 공격을 막는 예방 수단이 아니라, 공격자를 미끼로 유인해 행동을 관찰하고 조기에 탐지하는 역할을 합니다. 실제 침해를 막으려면 방화벽, DLP, 패치 관리 같은 예방 통제와 함께 운영해야 합니다.
Q. 허니팟을 설치하는 게 오히려 더 위험하지 않나요?
A. 적절히 격리하면 위험은 낮지만 0은 아닙니다. 특히 고-상호작용 허니팟은 공격자가 권한을 탈취해 다른 시스템 공격의 발판으로 삼을 수 있어, 내부망과 완전히 분리하고 모니터링 체계를 갖추는 것이 필수입니다.
Q. 허니팟과 허니토큰 중 어떤 것을 먼저 도입해야 하나요?
A. 자격 증명이나 특정 파일 유출처럼 좁은 범위를 빠르게 탐지하고 싶다면 운영 부담이 적은 허니토큰이 적합합니다. 네트워크 전반의 공격 패턴과 내부 이동 경로까지 폭넓게 관찰하려면 허니팟(또는 허니넷)이 더 맞습니다. 많은 조직이 둘을 함께 배치합니다.
Q. 중소기업도 허니팟을 운영할 수 있나요?
A. 가능합니다. 오픈소스 저-상호작용 허니팟은 상대적으로 설치·운영이 간단해 자동화된 스캔·봇 탐지 정도는 소규모 조직도 도입할 수 있습니다. 다만 수집한 로그를 실제로 분석하고 대응할 인력이나 외부 관제 서비스가 뒷받침돼야 효과가 있습니다.
Q. 허니팟으로 수집한 공격자 정보를 법적으로 활용할 수 있나요?
A. 탐지·방어 목적의 수동적 관찰은 일반적으로 문제되지 않지만, 공격자의 시스템에 역으로 침투하는 '역해킹'은 국가별로 위법일 수 있습니다. FBI의 ANOM 작전처럼 수사기관이 주도하는 적극적 함정수사는 별도의 법적 근거와 절차를 거칩니다. 기업이 자체적으로 운영할 때는 관찰·기록에 그치는 것이 안전합니다.
허니팟이 공격을 탐지하기 전, 오피스키퍼가 문서 유출 자체를 막아 드립니다.
제품소개서 신청하기