Unknown 상세 정보

Unknown 상세 정보에서는 Unknown 탐지 목록에 대한 상세 정보를 확인할 수 있습니다. 알려지지 않은 악성 행위에 대한 탐지 정보가 트리 형태로 시각화되어 표시되며, 의심 행위 다이어그램에서 프로세스, 파일 등의 선택 시 각 객체에 대한 요약 정보가 화면 오른쪽에 표시됩니다. 또한 Unknown으로 탐지된 대상이 MITRE ATT&CK Matrix에 해당될 경우, MITRE ATT&CK Matrix의 ID와 공격 기법(Tatics)이 상세 정보에 표시되어 해당 페이지로 이동할 수 있습니다.

  

Unknown 상세 정보에서 확인할 수 있는 주요 내용은 다음과 같습니다.

참고 참고

의심 행위 로그를 남기지 않는 예외 사항들에 의해 연관 관계 다이어그램 트리가 표현되지 못하는 경우가 있습니다. 대표적인 예외 사항은 다음과 같습니다.
1. 동일한 행위가 20분 내에 재 발생하면, 의심 행위 로그를 남기지 않습니다. 이 경우, 로그가 없어 트리가 끊어져서 표시되거나 트리가 표시되지 않을 수 있습니다.
2. 공유 폴더에서 실행된 의심 행위는 트리에서 시각화를 지원하지 않습니다.
3. USB 중 Mount point가 존재하지 않는 경우, 의심 행위 로그가 남지 않아 트리에서 표시되지 않습니다.
4. V3 의심 행위 백업 파일 교체 시점에 수집되지 않은 로그가 존재할 경우 트리가 끊어져서 표시될 수 있습니다.
5. 프로세스가 Whitelist에 속하거나 디지털 서명이 되어 있는 경우 로그를 남기지 않습니다.
6. 그 외, ASD 엔진에서 정한 예외 조건에 해당하는 경우 로그를 남기지 않습니다.

 

연관 관계 다이어그램

연관 관계 다이어그램에서는 프로세스 실행과 의심 행위 관계를 트리 형태로 시각화하여 표시합니다. 연관 관계 다이어그램 및 상세 목록에서는 주요/연관 행위 및 부가 정보를 다이어그램으로 표시합니다. 랜섬웨어 행위와 유사하거나 다른 프로세스에 인젝션하는 행위를 비롯하여 비정상적인 네트워크 접속 행위, 시스템 설정 변경 행위, 권한 상승 행위, 파일리스(Fileless) 행위 등을 확인할 수 있습니다. 연관 관계 다이어그램에서 시스템, 파일, 프로세스, 레지스트리, 네트워크의 각 항목을 클릭하면 오른쪽 화면에서 상세 정보를 확인할 수 있고, 대응하기 메뉴를 통해 탐지된 에이전트에 대응 명령을 내릴 수 있습니다. 대응하기 메뉴는 에이전트 시스템, 파일, 프로세스 선택에 따라 에이전트에 전달할 수 있는 명령은 달라질 수 있습니다. 연관 관계 다이어그램에서 행위 정보는 화살표로 표시되며 주요 행위는 빨간색, 연관 행위는 검정색, 부가 정보는 회색으로 표시됩니다.  

 

연관 관계 다이어그램 화면 설정

연관 관계 다이어그램 상단 왼쪽에는 탐지 대상의 파일 이름과 해시값이 표시되며, 오른쪽에는 위험도와 관리자 확인 상태가 표시됩니다.

상세 정보

Unknown 탐지 행위에 대한 요약 정보와 전체 행위 정보를 확인할 수 있습니다. 요약에서는 기본 정보와 주요 행위를 확인할 수 있고, 전체 행위 정보에서는 주요 행위를 비롯하여 탐지된 모든 행위에 대한 정보를 확인할 수 있습니다.

요약

기본 정보

탐지 대상에 대한 기본 정보를 표시합니다. 기본 정보에는 탐지 시각, 파일 이름/경로, 해시값(MD5), 파일 크기, 전자 서명, 진단명, 행위 유형, 탐지 에이전트, 타임라인(Timeline), 위협 정보 확인 등의 정보가 표시됩니다. 유입 경로가 확인된 경우,  기본 정보 하위에 탐지 시각과 함께 표시됩니다.

참고 참고

문서 파일 열기는 Windows 10 이상부터 지원합니다.

참고 참고

해시값(MD5)이 없는 경우 VirusTotal, malwares.com는 화면에 표시되지 않습니다.

 
주요 행위

주요 의심 행위를 내부적인 위험도 기준에 따라 Low, Medium, High로 구분하여 표시합니다. Unknown으로 탐지된 행위가 MITRE ATT&CK Matrix에 해당되는 내용일 경우, MITRE ATT&CK Matrix의 ID와 기법(Tactics)이 표시됩니다.

참고 참고

 MITRE ATT&CK Matrix의 ID와 기법(Tactics)은 아래 MITRE ATT&CK Matrix 표를 참고하십시오.

MITRE ATT&CK Matrix의 ID(예: T1090: Connection Proxy)를 클릭하면 MITRE ATT&CK Matrix의 웹 페이지로 이동하여 각 기법(Tactics)에 대한 상세 정보를 확인할 수 있고, 기법(Tactics) 하위에는 탐지 행위와 탐지된 프로세스의 이름과 프로세스 ID(PID)가 표시됩니다.

MITRE ATT&CK Matrix

MITRE ATT&CK Matrix는 MITRE라는 비영리 회사에서 발표한 자료로 ATT&CK(Adversarial Tactics, Techniques, and Common Knowledge)은 사이버 공격자가 침투 이전 혹은 이후의 활동 사례를 분석하여, 공격자의 공격 기법(Tactics)과 침투 기술(Techniques)을 매트릭스(Matrix)화 한 자료입니다.  Unknown으로 탐지한 대상이 MITRE ATT&CK에 해당하는 내용의 경우, 공격 기법(Tatics)을 클릭하여 MITRE ATT&CK 웹 페이지의 상세 내용으로 이동할 수 있습니다. MITRE ATT&CK Matrix에서 정의된 Enterprise Tactics는 다음과 같습니다.

ID

공격 기법(Tatics)

설명

TA0001

초기 접속(Initial Access)

공격자가 네트워크에 접속을 시도합니다.

초기 접속(Initial Access)은 다양한 진입 요소(vector)를 사용하여 네트워크 내에서 초기 거점(Foothold)을 확보하는 기술입니다. 거점을 마련하는 데 사용되는 기법에는 표적 공격인 스피어피싱(Spearphishing) 및 공개 웹 서버의 취약점을 악용하는 수법 등이 있습니다. 초기 접속(Initial Access)을 통해 확보된 거점(Foothold)은 유효한 계정 및 외부 원격 서비스 사용을 통해 지속적인 접속을 허용하게 하거나, 비밀번호 변경 시 제한적으로 사용됩니다.

TA0002

실행(Execution)

공격자가 악성코드를 실행하려고 합니다.

악성 행위 실행(Execution)은 로컬 또는 원격 시스템에서 공격자 제어 코드를 실행하는 기술들로 구성됩니다. 악성 코드를 실행하는 기술은 네트워크 탐색이나 데이터 도용과 같은 광범위한 목표를 달성하기 위한 다른 모든 수법과 짝을 이룹니다. 예를 들어, 공격자는 원격 접속 툴을 사용하여 원격 시스템 검색을 수행하는 PowerShell 스크립트를 실행할 수 있습니다.

TA0003

지속적인 공격(Persistence)

공격자가 거점(foothold)을 유지하려고 합니다.

지속적인 공격(Persistence)은 공격자가 시스템 재 시작 및 변경된 자격 증명, 그리고 기타 접속을 차단할 수 있는 공격을 통해 시스템 접속을 계속 유지할 수 있도록 하는 기법으로 구성됩니다. 지속적인 공격(Persistence)에 사용되는 기술에는 코드 교체, 시작 코드 추가, 하이재킹(Hijacking)과 같이 시스템에 거점을(Foothold) 유지할 수 있도록 하는 접근(Access), 설정 변경, 작업(Action) 등이 있습니다.

TA0004

권한 상승(Privilege Escalation)

공격자가 높은 수준의 권한을 얻으려고 합니다.

권한 상승(Privilege Escalation)은 공격자가 시스템 또는 네트워크 상에서 상위 권한을 획득하기 위한 기법입니다. 공격자는 접근 권한만 획득한 상태로 네트워크에 진입하여 탐색하고, 공격 목표를 달성하기 위해 시스템 취약점 및 환경 구성 오류를 이용하여 상위 권한으로 접근합니다. (예: 시스템/루트 레벨, 로컬 관리자, 관리자와 같은 접근 권한이 있는 사용자 계정 등)

TA0005

보안 우회(Defense Evasion)

공격자가 탐지를 회피하려고 합니다.

보안 우회(Defense evasion)는 침해를 시도하는 동안 탐지를 회피하기 위해 사용하는 기술입니다. 보안 우회를 위해 사용되는 기술에는 보안 소프트웨어 제거 및 비활성화, 데이터나 스크립트 난독화 또는 암호화 등이 포함됩니다.

공격자는 신뢰할 수 있는 프로세스를 악용하여 멀웨어를 숨기거나 가장합니다.

TA0006

계정 탈취(Credential Access)

공격자가 사용자 계정과 비밀번호를 탈취하려고 합니다.

계정 탈취(Credential Access)는 계정 이름이나 비밀번호와 같은 자격 증명 정보를 탈취하는 기술입니다. 자격 증명을 얻는데 사용되는 기술에는 키 로깅(Keylogging) 또는 크리덴셜 덤핑(Credential Dumping)이 있습니다.

TA0007

정찰(Discovery)

공격자가 사용자의 시스템 환경을 파악하려고 합니다.

정찰(Discovery)은 공격자가 시스템과 내부 네트워크에 대한 정보를 얻기 위한 기술입니다. 이러한 기술은 공격자가 공격 방법을 결정하기 전에 환경을 파악하고 방향을 정하도록 도와줍니다. (예: 포트 스캔, 공유 폴더 확인 등)

TA0008

내부망 이동(Lateral Movement)

공격자가 사용자 환경 내에서 이동을 시도합니다.

내부망 이동(Lateral Movement)은 네트워크 상에서 공격자가 원격 시스템을 접속, 제어 하기 위해 사용하는 기술입니다. 공격자가 목적을 수행하려면 공격 목표를 찾기 위해 네트워크를 탐색하고 접근해야 합니다. 공격자는 내부망 이동을 위해 자신의 원격 접속툴을 설치하거나 기본 네트워크 및 운영 체제 도구와 함께 자격 증명을 이용할 수 있습니다.

TA0009

수집(Collection)

공격자가 탈취하고자 하는 정보를 수집하려고 합니다.

수집(Collection)은 공격자가 정보나 공격자의 목적을 수행하는데 필요한 소스를 수집하는 기술입니다. 데이터를 수집한 후에는 데이터를 탈취하는 것을 목표로 합니다. 타겟 소스로는 브라우저, 오디오, 비디오 및 이메일 등 다양한 종류가 있고, 수집 방법으로는 스크린샷 캡처나 키보드 입력이 있습니다.

TA0011

명령 및 제어(Command and Control)

공격자가 사용자 시스템을 제어하기 위해 보안이 취약한 시스템으로 통신하려고 합니다.

명령 및 제어(Command and Control)를 통해 공격 대상 네트워크 내에 자신이 제어 할 수 있는 시스템과 통신하기 위해 사용할 수 있는 기술로 구성됩니다. 공격자는 일반적으로 탐지를 피하기 위해 정상 트래픽을 모방합니다. 희생자(victim)의 네트워크 구조와 방어에 따라 공격자가 다양한 수준으로 사용자가 인지하지 못하게 스텔스(stealth)로 명령하고 제어할 수 있는 방법이 있습니다.

TA0010

유출(Exfiltration)

공격자가 데이터를 탈취하려고 합니다.

중요 정보 유출(Exfiltration)은 공격자가 사용자 네트워크에서 데이터를 탈취하기 위해 사용할 수 있는 기술들로 구성됩니다. 데이터를 수집한 후, 공격자는 탐지를 피하기 위해 데이터를 압축하거나 암호화 합니다. 표적 네트워크로부터 데이터를 수집하는 기법에는 일반적으로 C&C 채널 또는 다른 채널을 통해 데이터를 전송하는 것과, 전송 크기에 제한을 두는 것이 있습니다.

TA0040

충격(Impact)

공격자가 사용자 데이터 및 시스템을 조작, 제어, 파괴하려고 합니다.

충격(Impact)은 공격자가 비즈니스 및 운영 프로세스를 조작하여 사용성이나 무결성을 손상시키는데 사용하는 기술로 구성됩니다. 데이터 파괴, 조작, 변조와 같은 수법이 있으며, 공격 대상의 비즈니스 프로세스가 정상적으로 보이지만 공격자의 목적에 맞게 조작되었을 수 있습니다.
  

전체 행위 정보

전체 행위 정보에서는 객체별 탐지 내용에 대한 상세 정보를 표시합니다. 전체 행위 정보옆에 위치하는 을 클릭하면 전체 행위 정보를 행위 발생 순서로 보기, 최근 행위 순서로 보기, 행위 분류별 보기에서 선택하여 볼 수 있습니다.

참고 참고

연관 관계 다이어그램에서 주요 행위에 해당하는 빨간색 화살표를 클릭하면, 전체 행위 정보에서 해당 주요 행위에 대한 프로세스 정보와 대상에 대한 상세 정보가 선택되어 표시됩니다.

참고 참고

구분에 표시되는 행위 객체에 따라 [프로세스 정보]와 [대상]에 표시되는 정보는 달라질 수 있습니다.

  

객체별 상세 정보 및 대응하기

탐지 에이전트 시스템()

연관 관계 다이어그램에서 탐지 에이전트 시스템을 클릭하면 화면 오른쪽에 탐지된 에이전트 시스템에 대한 정보가 표시됩니다. 탐지 시스템의 컴퓨터 이름 옆, 아이콘을 클릭하면 탐지 > 에이전트 상세 정보로 이동하여 탐지된 에이전트 시스템에 대한 상세 정보를 확인할 수 있습니다. 또한 대응하기 메뉴를 통해 탐지된 에이전트 시스템 대응 명령을 내릴 수 있습니다.

참고 참고

YAML 구문 입력 방법은 사용자 정의 Artifact 수집을 참고하십시오.

프로세스()

연관 관계 다이어그램에서 프로세스 아이콘을 클릭하면 화면 오른쪽에 탐지된 프로세스에 대한 정보가 표시됩니다. 탐지된 프로세스에 대한 대응으로 프로세스 종료 명령을 내릴 수 있습니다.

파일()

연관 관계 다이어그램에서 파일 아이콘을 클릭하면 화면 오른쪽에 탐지된 파일에 대한 정보가 표시됩니다. 탐지된 파일에 대한 대응으로 파일 검색과 파일 수집을 명령을 내릴 수 있습니다.

참고 참고

대응하기의 파일 검색과 파일 수집에 대한 명령 진행 상태는 대응 메뉴 하위의 파일 검색, 파일 수집 화면에서 확인할 수 있고, 삭제된 파일은 검역소에서 확인할 수 있습니다.

네트워크()

연관 관계 다이어그램에서 네트워크 아이콘을 클릭하면 화면 오른쪽에 탐지된 네트워크 정보가 표시됩니다. 네트워크 정보에서는 별도의 대응하기가 없습니다.

레지스트리()

연관 관계 다이어그램에서 레지스트리 아이콘을 클릭하면 화면 오른쪽에 탐지된 레지스트리 정보가 표시됩니다. 레지스트리 정보에서는 별도의 대응하기가 없습니다.

     

관련 정보