[MIT] 공격 에물레이션(Adversary Emulation) 개념

개요 

공격 에뮬레이션은 실제 공격자가 사용하는 전술·기술·절차(TTPs)를 기반으로, 조직의 보안 탐지·대응 체계가 제대로 동작하는지 검증하는 활동이다.
즉, TTPs를 문서상의 이론이 아닌 실제 환경에서 재현 가능한 수준으로 구체화하여, 공격 행위가 보안 체계에서 탐지·대응되는지 확인하는 과정이다.

 

cf. TTPs(Tactics, Techniques, Procedures)
TTPs는 공격자의 행위를 설명하는 세 가지 요소를 의미한다. 
Tactics는 공격자가 달성하려는 목적, Techniques는 그 목적을 달성하기 위한 방법, Procedures는 해당 기술을 실제 환경에서 수행하는 구체적인 절차를 의미한다.

본문

공격 에물레이션

보안 체계는 단일 악성 파일만 탐지해서는 충분하지 않다. 실제 공격은 파일 하나가 아니라 로그인, 명령 실행, 내부 탐색, 권한 상승, 원격 접속 같은 여러 행위가 연결된 흐름으로 진행된다.

공격 에뮬레이션은 이 흐름을 재현하여, 조직이 개별 이벤트가 아닌 공격자의 행위 체인을 탐지할 수 있는지 확인한다.

구분파일 기반 탐지행위 체인 기반 탐지

 

구분	파일 기반 탐지(File-based Detection)	행위 체인 기반 탐지 (Behavior Chain-based Detection)
탐지 기준	해시, 시그니처, 악성 문자열	로그인, 명령 실행, 내부 탐색 등 연속 행위
탐지 관점	이 파일이 악성인가	이 흐름이 공격인가
한계	파일 변형, 정상 도구 악용에 취약	로그 수집과 상관분석 체계 필요
공격 에뮬레이션과의 관계	특정 악성 파일 탐지 여부 확인	실제 공격 흐름 탐지 여부 확인

 

침투 테스트 vs 공격 에뮬레이션

구분	침투테스트	공격 에물레이션
목적	취약점 발견 및 침투 가능성 검증	실제 공격자 TTPs에 대한 탐지·대응 검증
초점	어디가 뚫리는가	공격 행위가 탐지되고 대응되는가
기준	시스템·웹·네트워크 취약점	특정 공격자 또는 공격 시나리오
결과	취약점 목록, 침투 경로, 조치 방안	탐지 공백, 로그 수집 여부, 대응 절차 개선점
활용	보안 취약점 제거	보안관제, 탐지룰, 대응 체계 개선

 

 

에뮬레이션 계획(AEP)

에뮬레이션 계획(AEP, Adversary Emulation Plan)은 공격 에뮬레이션을 수행하기 위한 계획서이다. 어떤 공격자를 기준으로 삼을지, 어떤 TTPs를 재현할지, 어떤 순서로 실행할지를 정리한다.

단계	내용
1. 공격자 선정	조직의 산업군, 주요 자산, 위협 환경을 고려해 대상 공격자 또는 시나리오를 선정한다.
2. 위협 정보 수집	공개 보고서, 침해 사례, ATT&CK 정보를 기반으로 공격자의 행위를 수집한다.
3. TTPs 식별	공격자가 사용한 전술, 기술, 절차를 정리한다.
4. ATT&CK 매핑	수집한 TTPs를 ATT&CK 전술·기술에 연결해 공격 흐름을 구조화한다.
5. 계획 작성	실행 순서, 테스트 범위, 기대 로그, 탐지 포인트를 정리한다.

 

 

ATT 기법 추출은 위협 정보에서 확인한 공격자의 행위를 ATT&CK 기법으로 변환하는 과정이다. 공격 사례를 그대로 옮기는 것이 아니라, 행위의 목적, 실행 방식, 결과를 분리해 분석하고 이를 ATT&CK 전술·기술에 연결한다.

구분	분석	내용결과
행위 식별	공격자가 수행한 명령, 도구, 접근 방식을 확인한다.	핵심 행위 도출
의도 분석	해당 행위가 어떤 공격 목적을 가지는지 분석한다.	전술 식별
기법 추출	행위가 ATT&CK의 어떤 기술에 해당하는지 확인한다.	ATT&CK 기법 식별
절차 정리	실제 실행 순서, 조건, 사용 도구를 정리한다.	에뮬레이션 절차 구체화

 

SAFETY AUDIT: RED TEAM

레드팀 안전성은 공격 에뮬레이션 수행 과정에서 실사용 서비스 장애, 데이터 손상, 과도한 권한 행사 등이 발생하지 않도록 사전에 통제 조건을 정의하는 것이다. 공격자 행위를 재현하더라도 실제 운영 환경에 피해를 주는 방식으로 수행해서는 안 된다.

항목	내용
실사용 서비스 금지	운영 중인 핵심 서비스, 고객 데이터, 주요 업무 시스템에는 직접적인 피해가 발생하지 않도록 제한한다.
승인된 범위 준수	대상 시스템, 테스트 시간, 사용 계정, 허용된 기법과 도구를 사전에 정한 범위 안에서만 사용한다.
피해 유발 행위 제한	데이터 삭제, 파일 암호화, 서비스 중단, 과도한 트래픽 발생, 지속성 설치 등은 금지하거나 안전한 방식으로 대체한다.
롤백 계획 수립	테스트로 인해 변경될 수 있는 설정, 계정, 파일, 정책을 원래 상태로 복구할 수 있는 절차를 준비한다.
중단 기준 정의	서비스 장애, 과부하, 예상 외 권한 획득, 민감 데이터 접근 등 위험 징후가 발생하면 즉시 테스트를 중단한다.
실행 기록 관리	실행한 명령, 시간, 대상, 결과 로그를 기록하여 사후 검토와 책임 추적이 가능하도록 한다.

BAS

공격 에뮬레이션은 위협 정보 수집, 공격 기법 추출, ATT&CK 매핑, 시나리오 작성, 실행 검증까지 많은 시간과 자원이 필요한 작업이다. 그러나 모든 조직이 레드팀 인력과 분석 시간을 충분히 투입할 수 있는 것은 아니다. 이 한계를 줄이기 위해 공격 시나리오 실행과 검증 과정을 자동화하고, AI를 활용해 위협 정보 분석과 기법 매핑을 보조하는 방향으로 확장할 수 있다.

 

BAS(Breach and Attack Simulation)는 공격 시나리오를 자동으로 실행하여 보안 장비와 탐지 룰이 정상적으로 동작하는지 반복 검증하는 방식이다. 공격 에뮬레이션이 실제 공격자의 TTPs를 분석하고 재현하는 방법론이라면, BAS는 이를 자동화된 검증 체계로 확장한 형태에 가깝다.

구분	내용
자동 실행	정의된 공격 시나리오를 반복적으로 실행한다.
지속 검증	탐지 룰, EDR 정책, SIEM 상관분석이 계속 동작하는지 확인한다.
AI 활용	위협 보고서에서 공격 행위를 추출하고 ATT&CK 기법으로 매핑하는 과정을 보조한다.
시나리오 확장	기존 AEP를 기반으로 조직 환경에 맞는 변형 시나리오를 구성한다.
운영 효율화	수동 분석과 반복 테스트에 필요한 시간과 자원을 줄인다.

 

참조

1. MITRE ATT&CK - Adversary Emulation Plans
https://attack.mitre.org/resources/adversary-emulation-plans/
2. MITRE Center for Threat-Informed Defense - Adversary Emulation Library
https://ctid.mitre.org/resources/adversary-emulation-library/