침해 흔적(IOC) 대조만으로는 공격자가 그 흔적을 바꾸는 순간 따라잡을 수 없습니다. 그때 행위 기반의 IOA가 도움이 됩니다. 그 의미와 활용법을 살펴봅니다(공격 절차는 다루지 않습니다).
IOC vs IOA: 결과의 흔적 vs 진행 중인 행위
IOC(Indicator of Compromise) = 결과의 흔적
- 사후 증거: 해시, IP, 도메인
- 알려진 악성과 기계적으로 대조 가능, 빠름
- 하지만 공격자가 쉽게 바꿈
- 본질적으로 사후 대응적
IOA(Indicator of Attack) = 진행 중인 행위
- 기법의 흐름: 권한 상승 → 측면 이동 → 탈취
- 실시간에 더 가깝게 잡아냄
- 바꾸기 어려움(공격의 본질이므로)
- 도입이 무거움, 메커니즘 이해가 필요
왜 행위는 바꾸기 어려운가
공격자에게 파일 해시나 IP는 일회용입니다. 하지만 "어떻게 공격하느냐"의 흐름은 목표(권한 획득, 확산, 탈취)에 묶여 있어 쉽게 바꿀 수 없습니다.
소규모 팀도 활용하는 법
전용 EDR(엔드포인트 행위를 모니터링하는 제품)이 없어도, 핵심은 '평소와 다른 행위'를 지켜보는 것입니다.
자신의 '평소'를 알기
행위 이상을 지켜보기
적중 시 격리하고 조사
IOC 대조와 함께 유지
공격 단계별 IOA 예
IOA는 무엇을 지켜볼지 정해야 작동합니다. 단계별로 묶을 때는 MITRE ATT&CK(공격자의 기법을 단계별로 정리한 공개 지식 베이스)을 쓰면 쉽습니다.
| 단계 | 행위의 예 | 볼 곳 |
|---|---|---|
| 초기 접근 | 연속 로그인 실패 후 성공, 평소와 다른 국가·시간대의 로그인 | 로그인 로그(Windows 이벤트 4625·4624, 클라우드 로그인 로그) |
| 권한 상승 | 거의 쓰지 않는 계정이 관리자 그룹에 추가됨 | Windows 이벤트 4732, 클라우드 권한 변경 로그 |
| 지속성 확보 | 새 계정, 예약 작업, 서비스 생성 | 이벤트 4720·4698·4697 |
| 흔적 은폐 | 감사 로그 삭제 | 이벤트 1102 |
| 외부와의 통신 | 같은 대상과의 정기적인 통신(C2), 이상한 시각의 대량 전송 | 프록시·DNS·방화벽 로그, 시간대별 트래픽 양 |
모두 정상적인 관리 작업 중에도 일어날 수 있습니다. Microsoft의 감시 대상 이벤트 목록도 중간·낮은 중요도의 이벤트는 예상치 못하게 발생하거나 평소 기준선보다 크게 많을 때 조사하라고 설명합니다. IOA는 하나의 값이 아니라 평소와의 차이와 행동이 이어지는 방식으로 판단합니다.
실제 사례: 흔적으로 알아챘나, 행위로 알아챘나
이 사이트에서 다룬 공개 사례에서는 알아챈 계기가 사례마다 달랐습니다.
| 사례 | 알아챈 계기 | 유형 |
|---|---|---|
| Codecov(2021년) | 배포된 스크립트의 해시가 공식 값과 일치하지 않았음 | IOC(흔적 대조) |
| Hugging Face(2026년) | 회사 발표에 따르면 보안 텔레메트리에 대한 이상 탐지 파이프라인이 신호를 포착 | IOA(행위 이상) |
Hugging Face 사례에서는 두 회사 모두 침입자가 사람의 지시 없이 움직인 AI 에이전트였다고 보고합니다. 이런 행위자는 사람이 할 수 없는 방식으로 움직입니다. 쉬지 않고, 멈추지 않고, 같은 동작을 병렬로 실행합니다. 새로운 공격일수록, 그리고 해시나 IP 같은 알려진 흔적이 적을수록 행위로 알아채는 의미가 커집니다.
자신의 환경에서 확인하는 방법
전용 제품 없이도 OS나 클라우드가 기본으로 남기는 기록부터 시작할 수 있습니다.
- Windows: 이벤트 뷰어에서 'Windows 로그 → 보안'을 열고 위 표의 이벤트 ID로 필터링합니다. PowerShell에서는
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50으로 최근 로그인 실패를 볼 수 있습니다(관리자 권한으로 실행) - 아무것도 기록되지 않는다면: Windows가 기본으로 남기는 감사 이벤트는 버전과 설정에 따라 다릅니다. 그룹 정책의 '고급 감사 정책 구성'에서 필요한 이벤트가 기록되도록 확인합니다
- Linux 서버:
last로 로그인 이력을,journalctl -u ssh(배포판에 따라sshd) 또는/var/log/auth.log로 인증 성공·실패를 볼 수 있습니다 - 클라우드와 SaaS: 관리 콘솔의 감사 로그와 로그인 로그에서 평소와 다른 국가·시간대의 로그인, 권한 변경을 찾습니다
- 기준선 남기기: 평일과 주말의 평소 로그인 수와 트래픽 양을 적어 둡니다. 기준선이 없으면 '평소와 다르다'가 무엇인지 알 수 없습니다
이 사이트의 관점: 탐지와 예방은 다르므로 둘 다 유지한다
IOA는 '행위로 알아채기'라는 강력한 발상이지만, 이 사이트는 '알아채기'에만 기대지 말 것을 권장합니다. 탐지(IOA/IOC)는 사고가 시작된 이후의 이야기이고, 첫 번째 목표는 시작과 확산을 허용하지 않는 설계입니다. 최소 권한, 신속한 패치(CVE 모니터링), 피싱 저항 MFA, 평문 비밀 금지가 그것입니다. 완벽한 예방은 없으므로, 예방(막기)과 탐지(IOA/IOC로 알아채기)가 둘 다 필요합니다. 행위 기반 IOA는 흔적 대조보다 한 발 일찍 이상을 드러낸다는 점에서 가치가 있습니다.
출처(1차 자료)
- MITRE, "ATT&CK Enterprise Tactics" — attack.mitre.org(공격 단계의 분류)
- IETF RFC 9424, "Indicators of Compromise (IoCs) and Their Role in Attack Defence"(2023년 8월) — rfc-editor.org(TTP는 흔적보다 바꾸기 어렵다)
- Microsoft Learn, "Appendix L: Events to Monitor" — learn.microsoft.com(이벤트 ID, 평소 기준선과 비교한 조사)
- Codecov와 Hugging Face의 출처는 각 사례 기사에 실려 있습니다
다음으로 읽기
- 용어집: IOC(Indicator of Compromise)란 · C2란 · EDR이란 · CVE란
- 사례: Hugging Face 침입(2026년) · Codecov 침해(2021년)
- 피드: 위협 피드