기업 보안팀이 위협을 사전에 찾아내는 활동(위협 헌팅)에서 가장 큰 걸림돌은 로그 데이터의 품질과 양 부족이라는 조사 결과가 나왔습니다. 특히 클라우드 환경과 계정·인증 관련 로그의 공백이 심각해, 정상적인 관리자처럼 행동하는 공격자를 잡아내기가 어렵습니다. 공격자들은 랜섬웨어 조직과 국가 지원 해커 모두 회사 내부 도구를 그대로 사용하는 '정상 위장' 기법을 주로 쓰고 있어, 행동 기반 탐지가 필수입니다. 체계적인 헌팅 방법론을 따르는 팀은 37%에 불과하고, 성과를 측정하는 팀도 40%로 줄어 팀 역량의 가시성이 낮아지고 있습니다. 예산 확보와 효과 입증을 위해 헌팅 결과의 측정과 기록이 중요하다는 점이 강조됩니다.
SANS 2026 위협 헌팅 설문에 따르면, 보안 전문가 절반이 데이터 품질·수량 부족을 위협 헌팅의 최대 장애물로 꼽았다. 클라우드 인프라와 아이덴티티 텔레메트리 로그의 공백이 가장 빈번하게 지적됐다.
로그 공백은 정상 도구를 사용해 위장하는 공격자(네이션스테이트, 조직범죄, 랜섬웨어 그룹)를 탐지하지 못하게 한다. 체계적 방법론 채택률(37%)과 성과 측정률(40%)이 모두 하락해 헌팅 프로그램의 실효성이 불투명해지고 있다.
클라우드 전환 가속에 비해 로그 수집 범위가 따라가지 못하고, 인력 부족으로 인해 즉흥적(ad hoc) 헌팅이 늘어났다. 성과 측정 중단이 개선 기회를 놓치게 만드는 악순환으로 이어진다.
PEAK, TaHiTI 같은 공개 프레임워크를 도입해 반복 가능한 헌팅 구조를 갖추고, 증거 보존 기간과 로그 무결성 리스크를 점검해야 한다. 헌팅 결과를 공식 지표로 측정해 경영진 보고와 예산 확보에 활용해야 한다.
클라우드 및 아이덴티티 로그 수집 현황을 즉시 점검하고, 알려진 악성 IP·해시 기반 탐지에서 행동 기반 탐지로 전환을 검토해야 한다. 헌팅 성과를 측정하지 않으면 예산 회의에서 팀의 가치를 입증하기 어렵다.
본문
SANS 2026 위협 헌팅 설문에 따르면, 보안 전문가 절반이 데이터 품질 또는 수량 부족을 효과적인 위협 헌팅의 최대 장애물로 꼽았다. 플레이북(대응 절차서)을 갖춘 팀들은 로그를 자신들의 한계선으로 묘사하며, 클라우드 로깅과 아이덴티티 텔레메트리(계정·인증 관련 원격 수집 데이터)의 공백이 가장 자주 거론됐다.
로그 공백은 응답자들이 가장 자주 마주치는 공격자, 즉 정상적인 활동으로 위장하는 공격자를 상대할 때 특히 치명적이다. 이들을 잡아내려면 이상해 보이는 행동을 포착해야 하고, 그러려면 '정상 상태'가 어떤 모습인지 명확한 그림이 필요하다. 그런데 불완전하거나 일관성 없는 로그로 그 그림을 그리면, 헌팅은 노이즈(불필요한 경보)만 잡고 실제 침입은 놓치게 된다.
SANS 강사 Taz Wake는 공격자들이 흔적을 지우려 한다는 점을 지켜봐 왔으며, 그로 인해 수집 공백의 비용이 더 커진다고 말한다. Wake는 설문 해설에서 "방어자는 증거 보존 기간, 로그 무결성 리스크, 그리고 대규모 데이터 수집의 어려움을 고려해야 한다"고 썼다.
공격자는 이제 관리자처럼 행동한다
대부분의 응답자는 국가 지원 행위자들이 '정상 도구를 악용해 은신하는 기법(Living off the Land)'을 사용한다고 답했다. 이 기법은 조직범죄 목록에서도 1위를 차지했고, 랜섬웨어 조직에서도 2위에 가까운 순위를 기록했다.
알려진 악성 해시나 IP 주소 중심의 헌팅으로는 IT 부서와 동일한 도구를 사용하는 공격자를 잡을 수 없다. 헌팅은 행동을 표적으로 삼아야 한다. 예를 들어 정상 도구가 하면 안 될 동작을 하거나, 데이터가 비정상적인 경로로 유출되는 경우 등이다. 이러한 각각의 탐지 항목은 팀이 보유하지 못할 수도 있는 텔레메트리에 의존한다.
클라우드 시스템에서 이 공백이 가장 넓다. 응답자의 3분의 1이 클라우드 인프라를 헌팅하기 가장 어려운 환경으로 꼽았으며, 이는 다른 모든 환경을 앞지른 수치다. 지난해보다 소폭 개선됐을 뿐인데, 기업들은 계속해서 더 많은 시스템을 클라우드로 옮기고 있다.
헌팅이 즉흥 대응으로 회귀하고 있다
현재 공식적으로 정의된 헌팅 방법론을 따르는 프로그램은 37%에 불과하다. 즉흥적(ad hoc) 헌팅이 이제 더 일반적이 됐다. 설문 저자 Josh Lemon은 인력 부족을 주요 원인으로 지목한다. 인력이 부족한 팀은 그 주에 여유가 있는 분석가가 처리할 수 있는 헌팅만 진행한다.
한 분석가의 머릿속에만 존재하는 헌팅은 그 분석가가 떠나면 회사도 잃게 된다. PEAK, TaHiTI 같은 공개 프레임워크는 처음부터 다시 시작하지 않고도 팀에게 반복 가능한 구조를 제공한다.
성과를 측정하는 팀이 줄고 있다
헌팅 효과를 공식적으로 측정하는 프로그램은 40%에 불과하며, 2024년의 64%에서 하락했다. 보고된 성과도 줄었다. 지난 한 해 동안 헌팅이 보안을 50% 이상 개선했다고 답한 비율은 11%에 그쳤는데, 2022년의 47%와 비교된다.
두 수치는 연관이 있을 수 있다. 설문만으로는 헌팅 성과가 실제로 줄었는지, 응답자들이 더 엄격한 기준으로 스스로를 평가하는지, 아니면 측정을 중단한 팀이 결과를 알아채지 못하는지 알 수 없다. Lemon은 마지막 가능성에 무게를 둔다: "찾지 않으면 덜 발견하게 된다."
이 수치들에서 한 가지만 가져간다면, 이것이다: 불확실성 자체가 리스크다. 헌팅에서 무엇을 찾았는지 보여줄 수 없는 팀은 예산 회의에 가져갈 것이 없다.
AI는 아직 해결책이 아니다
응답자의 3분의 1이 헌팅 도구에 AI 또는 머신러닝을 추가하는 것을 계획된 개선 사항으로 꼽았으며, 이는 2025년의 48%에서 감소한 수치다. 이 하락은 팀들이 계획에서 실제 도입으로 넘어간 것일 수도 있고, 도구가 일상적으로 실제로 무엇을 제공하는지 더 냉정하게 살펴본 결과일 수도 있다. 설문으로는 어느 쪽인지 알 수 없다. 초기 주관식 답변에서는 분석가가 최종 판단을 내리는 에이전틱(agentic) 헌팅 프레임워크가 언급됐다.
