[웨비나 Recap]

적을 알면 먼저 막습니다 — 위협 인텔리전스, 도입 후 무엇이 달라지나

현재 위협 환경 — AI가 바꾼 것과 바꾸지 않은 것

• Fal.con 2026(라스베이거스 Mandalay Bay, 참가자 1만 명+·4,000개 조직·71개국·500개+ 세션)에서 "AI 에이전트는 이미 방어 대상"이라는 올해의 메시지가 제시되었습니다.
• 위협 인텔리전스는 국내 도입 역사가 약 5년으로, 과거 장비에 딸려오는 부가 서비스에서 독립적 핵심 역량으로 인식이 전환되고 있습니다.
• 발표에서는 AI를 지키는 축과 AI로 지키는 축으로 나뉘며 Falcon Guardian(AIDR), Agentic Identity Provider, CrowdStrike SafeMind, 에이전틱 SOC 등이 신규 공개되었습니다.
• George Kurtz CEO와 Michael Sentonas President는 공격자가 추론 속도(inference speed)로 움직이면서 브레이크아웃 타임이 0에 수렴해 "더 이상 기다릴 시간이 없다"고 강조했습니다.

세션 1. 다온기술 — Fal.con 2026 현장 리캡

• 기존 Pyramid of Pain(국가 행위자→사이버 범죄 조직→커머디티 공격) 계층이 AI로 붕괴되어, 모든 공격자가 국가급 역량을 갖는 AGENT STATE 개념이 등장했습니다.
• 가드레일을 제거한 Abliterated 모델·오픈 웨이트 모델이 확산되면서, 전문 코딩 없이 평문 언어 자체가 무기가 되는 공격 환경이 현실화되었습니다.
• Adam Meyers는 에이전틱 적대자가 처음으로 사람보다 많은 탐지를 유발했다는 실측 데이터를 제시했으며, VAULT PANDA(중국)·REVENANT SPIDER(eCrime) 등 사례가 공유되었습니다.
• AI가 바꾼 것은 속도(브레이크아웃 타임 0, 취약점 공개 24시간 내 무기화)이지만, 공격자 자체(TTP, 이름 붙은 공격자)는 그대로 유지된다는 점이 핵심 전환 메시지입니다.
• 공격자가 기존 소스코드를 재활용하는 데 AI를 쓸 뿐이므로, 공격자를 파악하는 위협 인텔리전스가 들어오기 전 시간을 만드는 유일한 수단이라는 결론으로 이어집니다.

세션 2. 다온기술 — Falcon Threat Intelligence, 도입 후 무엇이 달라지나

• CrowdStrike는 악성코드가 아닌 '공격자'를 추적하며, 현재 295개 그룹·2025년 신규 24개·악성 활동 클러스터 150개를 PANDA·CHOLLIMA·KITTEN·BEAR·SPIDER 등 작명 규칙으로 관리합니다.
• 인텔리전스 규모는 연간 1,000건+ IR, 주당 7조+ 텔레메트리 이벤트, 일일 350만+ 악성코드 샘플, 5,000만+ InfoStealer 로그, 하루 203+ 고도화 침입 차단으로 뒷받침됩니다.
• 운영자가 실제 활용할 팁은 보고서 활용, IOC 활용, 의심 파일 자동 분석 파이프라인, 다크웹 모니터링의 4가지로 정리됩니다.
• 위협 인텔리전스는 정답이 정해진 운영 방식이 없어 고객사마다 다크웹·보고서 등 초점이 다르며, 여러 기능을 함께 활용할 때 효과가 극대화됩니다.

TIP 01·02 — 보고서와 IOC 활용

• Adversary Intelligence는 공격자 프로필·주간 요약·취약점 인텔리전스를 제공하며, 산업/지역별 표적·초기 침투 경로·TTP(MITRE ATT&CK 매핑)·실제 악용 여부로 방어 순서를 설계할 수 있습니다.
• 취약점 인텔리전스는 PoC 코드와 무기화 여부를 기준으로 제공해, 단순 CVSS 점수가 아닌 실제 위험도 기반 패치 우선순위를 가능하게 합니다.
• 이미 SIEM에 쌓인 방화벽·프록시·DNS·메일·WAF·VPN·EDR 로그에 인텔리전스를 겹쳐 dst_ip↔malicious IP, dns_query↔C2 domain 등을 매칭합니다.
• 단순 매칭을 넘어 "누가 왜 쓰는 인프라인지" 컨텍스트가 함께 제공되며, confidence(신뢰도) 값으로 오탐을 관리합니다.
• 과거 90일 소급 검색, 실시간 매칭 탐지룰, Falcon IOC 기반 차단 정책 전사 배포가 기대효과입니다.

TIP 03 — 의심 파일 자동 분석 파이프라인

• QuickScan Pro는 정적·ML 기반으로 파일을 실행하지 않고 수 초 내 판정해 대량 처리·1차 선별에 적합합니다.
• Falcon Sandbox는 격리 환경 동적 분석으로 행위 관찰, MITRE ATT&CK 매핑, 상세 리포트를 제공합니다.
• 업로드 경로 감시 → 검사 대기 폴더 복사 → QuickScan Pro 전수 검사(월 1,000건) → Sandbox 선별 제출(월 100건) → 자동 조치의 5단계 파이프라인이 제시됩니다.
• 원본 격리, 해시 IOC 등록, 케이스 생성, 담당자 알림은 RTR(Real Time Response)과 Fusion SOAR로 자동 오케스트레이션됩니다.

TIP 04 — 다크웹 모니터링

• 계정 유출은 InfoStealer 감염 → 로그 유통 → Access Broker 선별 → malware-free·hands-on-keyboard 침입 → 암호화·DLS 협박의 5단계로 진행됩니다.
• 다크웹은 내부 로그로 보이지 않는 유출 자격증명(Exposed Credentials), 사칭 도메인(Typosquatting), 기업 데이터 유출(Leak Site), 위협 행위자 언급(Mentions)을 커버합니다.
• 수집 소스는 dedicated_leak_site·criminal_marketplace·forum·chat_medium·social_media·website 6종이며, 무게 중심이 포럼에서 텔레그램으로 이동했고 한국어 변형 키워드 모니터링이 중요합니다.
• 유즈케이스로 계정 유출 모니터링(Falcon Identity Protection 교차 확인으로 계정 활성 여부·비밀번호 재사용까지 검증), 사칭·피싱 도메인 선제 차단, 랜섬웨어 침해·공급망 노출 포착이 시연됩니다.
• 유출 사실만 통보하는 서비스와 달리 Falcon 내에서 대응(비밀번호 초기화·MFA·전사 차단)까지 연결되는 점이 차별점입니다.

WHAT'S NEXT & 라이선스 가이드

• Fal.con 2026에서는 Recon 모니터링 위에서 동작하는 Threat Intelligence Agent가 공개되어, "가장 큰 위협은?" 질의에 STARDUST CHOLLIMA 식별과 탐지 권고·헌팅 쿼리·패치 우선순위를 에이전틱하게 제시합니다.
• 다크웹 모니터링부터 지속 감시·대응까지 에이전트가 자동 수행하는 방향으로 운영 패러다임이 진화하고 있습니다.
• 라이선스는 Tier 01 Adversary Intelligence(시작점 권장, 다크웹 전 기능 포함), Tier 02 Premium(심층 연구·탐지 자산 추가), Tier 03 Counter Adversary Operations Elite(전담 분석가 매니지드)로 구분됩니다.
• "도메인 하나만 등록해 보면 지금 밖에 무엇이 나가 있는지 바로 확인할 수 있다"는 즉시 실행 가능한 행동 유도 메시지로 마무리됩니다.

문의처

• 다온기술 사이버보안사업부
• 홈페이지: https://www.daont.co.kr/contectus (daont.co.kr)
• 전화: (031) 696-4870 / 010-7133-7846
• 이메일: [email protected] / [email protected]