미국 사이버보안 기관 CISA가 '사이버 미끼(디셉션)' 기술을 활용해 침입자를 탐지하는 방법에 관한 실무 가이드를 발표했습니다. 이 기술은 공격자가 건드릴 경우 즉시 경보가 울리는 가짜 계정·파일·시스템을 환경 곳곳에 심어두는 방식으로, 합법적인 자격증명을 도용하거나 정상 도구를 악용하는 공격자를 탐지하는 데 효과적입니다. CISA는 이미 보유한 보안 도구(EDR, IAM 등)와 무료 오픈소스 솔루션만으로도 구현 가능하다고 강조하며, 예산이 부족한 조직도 적용할 수 있다고 밝혔습니다. 가이드는 MITRE ATT&CK와 MITRE Engage 프레임워크를 기반으로 어디에 미끼를 배치할지 우선순위를 정하는 방법도 안내합니다. 미끼 자체가 공격자의 실제 시스템 침투 경로가 되지 않도록 설계에 주의해야 한다는 점도 강조됩니다.
CISA가 사이버 미끼(허니팟·허니토큰·트립와이어 등)를 이용한 위협 탐지·대응 가이드 'Using Cyber Decoys to Strengthen Detection and Response'를 발표했다.
합법적 자격증명 도용이나 LOTL(정상 도구 악용) 공격처럼 기존 보안 도구로 탐지하기 어려운 침입자를 조기에 식별하고, 공격자의 활동을 지연·방해할 수 있다.
많은 조직이 정상 행위와 구분되지 않는 공격 기법에 대한 탐지 역량이 부족하다는 문제 인식에서 가이드가 작성됐다.
CISA는 조직이 기존 EDR·IAM·DLP 도구와 오픈소스 솔루션을 재활용해 가짜 관리자 계정, 미끼 파일, 허니팟 시스템 등을 배포하고 모니터링하도록 권고한다.
미끼 배치 전 MITRE ATT&CK로 탐지 공백 영역을 파악하고, 미끼 설계 문서는 반드시 운영 환경 외부에 보관해야 한다. 미끼가 실제 시스템으로 가는 경로가 되지 않도록 격리 설계가 필수다.
본문
사이버 디셉션(기만) 기술은 오랫동안 자원이 풍부한 보안팀의 전유물이었지만, CISA가 최근 발표한 가이드 "Using Cyber Decoys to Strengthen Detection and Response"는 그 현실을 바꾸려는 시도입니다.
미끼를 쓰는 이유, 그리고 지금인 이유
CISA가 해결하려는 핵심 문제는, 많은 조직이 합법적인 자격증명·기본 내장 관리 도구·LOTL(living-off-the-land, 정상 시스템 도구를 악용하는 공격 기법)을 사용하는 공격자를 탐지하지 못한다는 점입니다.
CISA의 새 가이드는 이렇게 주장합니다. 침입자가 결국 발판을 마련하게 된다는 사실을 인정하고 나면, 가장 현명한 대응은 환경 곳곳에 트립와이어(tripwire, 접근 시 경보가 울리는 장치)·허니토큰·가짜 자격증명을 심어두는 것입니다. 정상적인 사용자라면 절대 건드리지 않을 것들이기 때문에, 누군가 이에 접근하는 순간 바로 경보가 울립니다.
가짜 시스템·서비스·계정·파일·자격증명을 설치하면 환경 내에서 활동하는 공격자를 탐지하고 침해 정보를 수집·분석할 수 있을 뿐만 아니라, "공격자에게 비용을 부과하고, 작전을 방해하며, 공격 행위의 가치를 낮출" 수 있다고 CISA는 설명합니다.
저비용, 아키텍처 변경 불필요
자원이 부족한 팀에 가장 중요한 메시지는 미끼 기술이 대규모 아키텍처 변경이나 신규 예산을 필요로 하지 않는다는 점입니다.
CISA는 조직이 이미 보유한 도구, 즉 EDR 플랫폼·ID 및 접근 관리(IAM) 시스템·데이터 유출 방지(DLP) 도구를 재활용해 추가 구매 없이 미끼를 배포하고 모니터링하도록 명시적으로 안내합니다.
예산이 제한된 조직에는 토큰 생성·배포·알림용 오픈소스 솔루션도 좋은 선택지라고 CISA는 말합니다. 반면 예산과 전문 개발자·보안 엔지니어를 보유한 조직은 상용 솔루션이나 자체 환경에 맞게 커스텀 개발한 허니토큰을 활용할 수도 있습니다.
어디서부터 시작할까
가이드 문서는 활용 가능한 다양한 미끼를 설명합니다. 허니토큰(파일·레코드·비밀·자격증명)과 허니팟(시스템·서비스)이 미끼 본체이고, 브레드크럼(저장된 연결 정보, 설정 파일 내 참조, 문서 내 언급 등)은 공격자를 미끼로 유인하며, 트립와이어는 접촉·상호작용 시 경보를 울리도록 설정된 모든 미끼를 통칭합니다.
CISA는 전술을 MITRE Engage의 세 가지 목표에 따라 구성합니다. Expose(공격자 탐지), Affect(비용 부과 및 방해), Elicit(안전하게 관찰해 정보 수집).
이제 막 시작하는 팀을 위해 가이드는 구체적인 예시를 제시합니다. 아무도 사용해서는 안 되는 가짜 관리자 전용 자격증명 심기, 임원 데스크톱에 미끼 폴더 배치, 모니터링 공유 폴더에 "Project_Metrics.xlsx" 같은 허니토큰 배포, 또는 일반 사용자가 사용할 일이 없는 워크스테이션에서의 PowerShell 실행 시 경보 설정 등입니다.
공격자를 통제된 환경으로 유인하는 'Elicit' 목표는 격리된 인프라, 성숙한 로깅, 그리고 운영상·법적 리스크를 관리할 수 있는 숙련 인력을 필요로 하므로, 이후 단계로 설정되어 있습니다.
세부 사항 챙기기
효과적인 트립와이어는 위협 정보에 기반해야 하고, 정상 행동과 명확히 구분되어야 하며, 기존 모니터링으로 기술적으로 탐지 가능해야 하고, 명확한 대응 절차와 연계되어야 한다고 CISA는 강조합니다.
문서는 또한 MITRE ATT&CK를 적극 활용해 팀이 취약점, 기존 탐지 항목, 예상 공격 기법을 매핑하고, 탐지 공백이 가장 넓은 곳에 미끼를 배치하도록 안내합니다.
중간 규모의 상하수도 기관이 ATT&CK와 Engage를 함께 사용해 자산 우선순위를 정하고 미끼 작전을 설계한 뒤, 위협 에뮬레이션·레드팀·퍼플팀을 통해 이를 검증·개선하는 시나리오도 단계별로 소개됩니다.
마지막으로, CISA는 미끼가 공격자의 실제 시스템 또는 권한으로 가는 경로가 되지 않도록 신중하게 설계해야 한다고 강조합니다. 또한 미끼 위치를 명시한 문서는 네트워크가 침해되더라도 노출되지 않도록 운영 환경 외부에 보관해야 합니다.
"CISA는 주요 기반시설 조직들이 이 가이드를 검토하고 사이버 미끼 전략을 실행에 옮기기를 권장합니다." — CISA 사이버보안 담당 대행 수석 부국장 Chris Butera.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
