마이터 어택(MITRE ATT&CK) 매트릭스 읽는 법. 15개 전술과 222개 기법으로 사이버 공격을 분류하는 구조를 한국어로 풀고, APT29·LockBit 사례로 매트릭스를 가로지르는 공격 경로를 그려본다.
2023년 12월, 한 기업의 보안팀에서 이상한 로그를 발견했다.
"PowerShell이 새벽 3시에 실행됐는데... 이거 공격인가요?"
옆 팀원이 물었다. "어떤 종류의 공격이요?"
보안 담당자는 대답하지 못했다. PowerShell 실행이 어떤 공격 단계에 해당하는지, 다음에 무엇이 올지, 어떤 탐지 규칙을 적용해야 하는지 판단할 기준이 없었기 때문이다.
바로 이 문제를 해결하기 위해 만들어진 것이 MITRE ATT&CK 프레임워크다.
"해커들이 실제로 쓰는 공격 기법을 전부 정리해놓은 데이터베이스가 있다면?"
MITRE ATT&CK은 실제 사이버 공격에서 관찰된 공격자의 행동을 체계적으로 분류한 지식 베이스다. MITRE Corporation이 2013년부터 운영하고 있으며, 전 세계 보안 커뮤니티의 기여로 지속적으로 업데이트된다.
ATT&CK은 Adversarial Tactics, Techniques, and Common Knowledge의 약자다. 이름 그대로 적의 전술과 기법, 그리고 공통 지식을 담고 있다.
핵심은 이거다. ATT&CK은 공격자가 무엇을 하는지가 아니라, 어떻게 하는지를 기록한다.
예를 들어보자.
ATT&CK은 후자를 다룬다. 공격의 각 단계를 전술(Tactic), 기법(Technique), 서브 기법(Sub-technique) 으로 나누어 분류한다.
현재 ATT&CK Enterprise 매트릭스(v19.1 기준)에는 15개 전술, 222개 기법, 475개 서브 기법이 등록되어 있다. 기법과 서브 기법을 합치면 총 697개다. 여기에 더해 172개 위협 그룹, 784개 소프트웨어, 52개 캠페인이 문서화되어 있어, 특정 공격 그룹이 어떤 기법을 사용하는지까지 추적할 수 있다.
{
"title": "ATT&CK 전술 진행",
"steps": [
{ "title": "초기 접근" },
{ "title": "실행", "edge": "악성 코드 실행" },
{ "title": "권한 상승", "edge": "더 높은 권한" },
{ "title": "내부 이동", "edge": "다른 시스템으로" },
{ "title": "유출", "edge": "데이터 빼돌리기" },
{ "title": "영향", "edge": "파괴·암호화", "danger": true }
]
}
"우리 팀은 위협을 어떤 기준으로 분류하고 있나요?"
이 질문에 명확히 답할 수 없다면, ATT&CK이 필요하다.
보안 업계에서 가장 큰 문제 중 하나는 같은 공격을 다른 이름으로 부르는 것이다. A 벤더는 "Credential Harvesting"이라 하고, B 벤더는 "Password Theft"라 하고, 보안팀 내부에서는 "비밀번호 탈취"라고 부른다.
ATT&CK은 모든 기법에 고유한 ID를 부여한다. T1003이라고 하면, 전 세계 어떤 보안팀이든 "OS Credential Dumping"을 의미한다는 것을 안다. 벤더, 국가, 언어에 관계없이 소통할 수 있는 공통 언어가 생기는 것이다.
"우리 조직이 가장 경계해야 할 위협은 무엇인가?"
ATT&CK을 활용하면, 우리 산업을 주로 노리는 APT 그룹이 사용하는 기법 목록을 확인할 수 있다. 그리고 그 기법들에 대한 우리 조직의 탐지 역량을 평가할 수 있다. 막연한 불안감 대신 데이터 기반의 우선순위가 생긴다.
레드팀은 ATT&CK 기법을 기반으로 공격 시나리오를 설계하고, 블루팀은 같은 기법에 대한 탐지 규칙을 만든다. 양쪽이 같은 프레임워크를 사용하면, 보안 테스트의 커버리지를 정확히 측정할 수 있다.
"우리는 15개 전술 중 몇 개를 탐지할 수 있는가?" — 이런 질문이 가능해진다.
처음 매트릭스를 열면 표 하나에 수백 개 셀이 빼곡해 막막하다. 하지만 읽는 규칙은 단순하다.
실제 공격 하나는 이 표를 가로지르는 경로로 나타난다. 왼쪽 열에서 기법 하나, 다음 열에서 기법 하나를 골라 이어붙이면 그 공격자의 행동 체인이 된다. 뒤에서 APT29와 LockBit 사례로 이 경로를 직접 그려본다.
어떤 기법이 한국어로 분석돼 있는지는 본 블로그의 ATT&CK 한국어 커버리지 맵에서 전술별로 확인할 수 있다.
"공격자는 시스템을 침투할 때 어떤 순서로 움직이는가?"
ATT&CK은 공격자의 행동을 15개 전술로 분류한다. 전술은 공격자의 목적을 나타낸다. "왜 이 행동을 하는가?"에 대한 답이다.
| 순서 | 설명 |
|---|---|
| 1 | 전술 ID: TA0043 / 전술 (영문): Reconnaissance / 전술 (한글): 정찰 / 공격자의 목적: 공격 대상의 정보를 수집한다 |
| 2 | 전술 ID: TA0042 / 전술 (영문): Resource Development / 전술 (한글): 자원 개발 / 공격자의 목적: 공격에 필요한 인프라와 도구를 준비한다 |
| 3 | 전술 ID: TA0001 / 전술 (영문): Initial Access / 전술 (한글): 초기 접근 / 공격자의 목적: 대상 네트워크에 처음 발을 들인다 |
| 4 | 전술 ID: TA0002 / 전술 (영문): Execution / 전술 (한글): 실행 / 공격자의 목적: 악성 코드를 실행한다 |
| 5 | 전술 ID: TA0003 / 전술 (영문): Persistence / 전술 (한글): 지속성 확보 / 공격자의 목적: 재부팅 후에도 접근을 유지한다 |
| 6 | 전술 ID: TA0004 / 전술 (영문): Privilege Escalation / 전술 (한글): 권한 상승 / 공격자의 목적: 더 높은 권한을 획득한다 |
| 7 | 전술 ID: TA0005 / 전술 (영문): Stealth (구 Defense Evasion) / 전술 (한글): 은닉 / 공격자의 목적: 흔적을 숨겨 보안 솔루션의 탐지를 피한다 |
| 8 | 전술 ID: TA0006 / 전술 (영문): Credential Access / 전술 (한글): 자격 증명 접근 / 공격자의 목적: 계정 정보와 비밀번호를 탈취한다 |
| 9 | 전술 ID: TA0007 / 전술 (영문): Discovery / 전술 (한글): 탐색 / 공격자의 목적: 내부 네트워크 구조를 파악한다 |
| 10 | 전술 ID: TA0008 / 전술 (영문): Lateral Movement / 전술 (한글): 내부 이동 / 공격자의 목적: 다른 시스템으로 이동한다 |
| 11 | 전술 ID: TA0009 / 전술 (영문): Collection / 전술 (한글): 수집 / 공격자의 목적: 유출할 데이터를 모은다 |
| 12 | 전술 ID: TA0011 / 전술 (영문): Command and Control / 전술 (한글): 명령 및 제어 / 공격자의 목적: 침투한 시스템을 원격으로 제어한다 |
| 13 | 전술 ID: TA0010 / 전술 (영문): Exfiltration / 전술 (한글): 유출 / 공격자의 목적: 수집한 데이터를 외부로 빼돌린다 |
| 14 | 전술 ID: TA0040 / 전술 (영문): Impact / 전술 (한글): 영향 / 공격자의 목적: 시스템을 파괴하거나 데이터를 암호화한다 |
| 15 | 전술 ID: TA0112 / 전술 (영문): Defense Impairment / 전술 (한글): 방어 무력화 / 공격자의 목적: EDR 종료·로그 삭제처럼 방어 체계 자체를 약화시킨다 |
중요한 점이 있다. 공격자가 반드시 1번부터 15번까지 순서대로 진행하는 것은 아니다. 어떤 공격자는 정찰 없이 바로 초기 접근을 시도하고, 어떤 공격자는 내부 이동 없이 바로 데이터를 유출한다. 전술은 순서가 아니라 공격자의 목적 카테고리로 이해해야 한다.
"프레임워크가 697개 기법이라는 건 알겠는데, 이걸 실제 공격에 어떻게 적용하는 거지?"
가장 강력한 활용법은 실제 위협 그룹의 공격을 ATT&CK에 매핑하는 것이다. 두 가지 사례로 보자.
2020년 12월, SolarWinds의 네트워크 관리 소프트웨어 Orion의 업데이트에 악성 코드가 삽입된 사실이 밝혀졌다. 미국 재무부, 국토안보부를 포함한 수많은 기관이 영향을 받았다.
이 공격의 배후로 지목된 APT29 (Cozy Bear)는 러시아 대외정보국(SVR)과 연계된 것으로 알려진 위협 그룹이다.
왜 이 공격이 위험했는가?
공격자는 매일 믿고 받던 소프트웨어 업데이트를 오염시켰다. 마치 매일 오던 택배 트럭에 폭탄을 숨긴 것처럼. 이것이 공급망 공격의 본질이다. 신뢰를 무기로 사용한다.
ATT&CK으로 매핑하면 이 공격의 전체 그림이 보인다.
| 전술 | 설명 |
|---|---|
| 초기 접근 | 기법 ID: T1195.002 / 기법명: Supply Chain Compromise / APT29가 한 일: SolarWinds Orion 업데이트에 SUNBURST 백도어 삽입 |
| 실행 | 기법 ID: T1059.001 / 기법명: PowerShell / APT29가 한 일: PowerShell을 사용해 추가 페이로드 실행 |
| 지속성 확보 | 기법 ID: T1078 / 기법명: Valid Accounts / APT29가 한 일: 탈취한 정상 계정으로 지속적 접근 유지 |
| 은닉 | 기법 ID: T1027 / 기법명: Obfuscated Files / APT29가 한 일: 파일 난독화를 통한 탐지 우회 |
| 명령 및 제어 | 기법 ID: T1071.001 / 기법명: Web Protocols / APT29가 한 일: HTTPS를 통한 C2 통신 |
이렇게 매핑하면 "이 공격 그룹은 주로 어떤 기법을 사용하는가"가 명확해진다. 보안팀은 이를 기반으로 탐지 규칙의 우선순위를 정할 수 있다.
LockBit은 RaaS(Ransomware-as-a-Service) 모델로 운영되는 랜섬웨어다. 국가 배후 APT와는 목적이 다르다. APT29가 정보 수집이 목적이라면, LockBit은 금전이 목적이다.
왜 공격자는 LockBit을 선택하는가?
LockBit은 파일 암호화 속도가 빠르고, 초기 접근부터 암호화까지의 과정을 자동화했다. 탐지되기 전에 빠르게 암호화를 완료하는 것이 핵심이기 때문이다.
| 전술 | 설명 |
|---|---|
| 초기 접근 | 기법 ID: T1190 / 기법명: Exploit Public-Facing Application / LockBit이 한 일: 노출된 RDP, VPN 취약점 악용 |
| 실행 | 기법 ID: T1059.001 / 기법명: PowerShell / LockBit이 한 일: PowerShell로 악성 스크립트 실행 |
| 방어 무력화 | 기법 ID: T1562.001 / 기법명: Disable or Modify Tools / LockBit이 한 일: EDR, 백신 프로세스 강제 종료 |
| 내부 이동 | 기법 ID: T1021.001 / 기법명: Remote Desktop Protocol / LockBit이 한 일: RDP를 통한 내부 이동 |
| 수집 | 기법 ID: T1005 / 기법명: Data from Local System / LockBit이 한 일: 로컬 시스템에서 데이터 수집 |
| 영향 | 기법 ID: T1486 / 기법명: Data Encrypted for Impact / LockBit이 한 일: 파일 암호화 후 몸값 요구 |
| 영향 | 기법 ID: T1490 / 기법명: Inhibit System Recovery / LockBit이 한 일: 볼륨 섀도우 복사본 삭제로 복구 방해 |
두 사례를 비교해보면 흥미로운 점이 보인다. APT29와 LockBit 모두 PowerShell을 사용하고 내부 이동을 수행한다. 하지만 최종 목적은 완전히 다르다. 동일한 기법이라도 공격자의 맥락에 따라 의미가 달라지는 것이다.
ATT&CK에 등록된 주요 위협 그룹을 정리하면 다음과 같다.
| 위협 그룹 | 설명 |
|---|---|
| APT29 | ATT&CK ID: G0016 / 배후 추정: 러시아 SVR / 주요 타겟: 정부, 외교 / 대표 기법: 공급망 공격, SAML 토큰 위조 |
| APT28 | ATT&CK ID: G0007 / 배후 추정: 러시아 GRU / 주요 타겟: 정부, 군사, 미디어 / 대표 기법: 스피어피싱, 제로데이 익스플로잇 |
| Lazarus Group | ATT&CK ID: G0032 / 배후 추정: 북한 / 주요 타겟: 금융, 암호화폐, 방산 / 대표 기법: 사회공학, 커스텀 악성코드 |
| APT41 | ATT&CK ID: G0096 / 배후 추정: 중국 / 주요 타겟: 의료, 게임, 기술 / 대표 기법: 공급망 공격, 이중 목적 |
| Salt Typhoon | ATT&CK ID: G1045 / 배후 추정: 중국 / 주요 타겟: 통신사, ISP / 대표 기법: 네트워크 인프라 침투 |
| APT42 | ATT&CK ID: G1044 / 배후 추정: 이란 IRGC / 주요 타겟: 언론, 활동가, 정치인 / 대표 기법: 자격 증명 수집, 감시 |
| FIN7 | ATT&CK ID: G0046 / 배후 추정: 금전 목적 / 주요 타겟: 소매, 외식, 숙박 / 대표 기법: POS 악성코드, 사회공학 |
{
"question": "ATT&CK 매트릭스 3계층 구조",
"items": [
{ "label": "전술 (가로축)", "points": ["공격자의 목적", "왼쪽 정찰→오른쪽 영향", "15개"], "tone": "neutral" },
{ "label": "기법 (세로축)", "points": ["목적을 이루는 방법", "같은 목적 다른 수단", "222개"], "tone": "neutral" },
{ "label": "서브기법 (들여쓰기)", "points": ["기법의 세부 변종", "예: T1003 아래 LSASS·SAM", "475개"], "tone": "neutral" }
]
}
"ATT&CK은 계속 업데이트된다고 했는데, 최근에는 어떤 변화가 있었나?"
ATT&CK은 보통 1년에 두 번 메이저 업데이트를 한다. 2024년부터 2025년까지의 주요 변경 사항을 정리한다.
기존 Azure AD, Office 365, Google Workspace가 Identity Provider와 Office Suite로 재편되었다. 클라우드 환경에서의 실제 공격 양상을 더 정확히 반영하기 위한 변화다.
2025년 3월, T1204.004 User Execution: Malicious Copy and Paste가 추가되었다.
ClickFix는 사용자에게 "이 문제를 해결하려면 이 명령어를 복사해서 실행하세요"라고 유도하는 기법이다. 가짜 CAPTCHA 화면이나 오류 메시지를 띄워서, 사용자가 직접 악성 PowerShell 명령어를 복사-붙여넣기하게 만든다.
왜 공격자가 이 기법을 선택하는가? 사용자가 직접 실행하기 때문에 보안 솔루션의 자동 탐지를 우회할 수 있다.
가상화 환경이 공격 대상이 되면서, VMware ESXi가 독립 플랫폼으로 추가되었다. 랜섬웨어 그룹이 ESXi 서버를 직접 공격해 가상 머신 전체를 암호화하는 사례가 증가했기 때문이다.
새로운 위협 그룹 3개도 등록되었다.
v18은 ATT&CK의 패러다임 전환이라 할 수 있다. "공격자가 무엇을 하는가" 에서 "어떻게 탐지할 것인가" 로 초점을 확장했다.
기존에는 "이런 기법이 있다"까지만 알려줬다면, 이제는 "이 기법을 이렇게 탐지해라"까지 제공하는 것이다. 보안 운영 센터(SOC)에서 바로 활용할 수 있는 실용적인 변화다.
"697개 기법이나 되는데, 다 볼 수는 없잖아. 어디서부터 시작하면 되는 거야?"
전부 다 볼 필요 없다. 다음 4단계로 접근하면 된다.
ATT&CK Groups 페이지에서 우리 산업을 노리는 위협 그룹을 찾는다. 금융이면 Lazarus와 FIN7, 정부 기관이면 APT29와 APT28, 통신이면 Salt Typhoon을 먼저 살펴본다.
위협 그룹 페이지에 들어가면 이 그룹이 사용하는 모든 기법이 ATT&CK ID로 정리되어 있다. 이것이 우리 조직이 우선적으로 탐지해야 할 기법 목록이다.
ATT&CK Navigator는 MITRE가 제공하는 무료 시각화 도구다. ATT&CK 매트릭스를 웹 기반 인터페이스에서 탐색하고, 특정 기법을 색상으로 표시할 수 있다.
Navigator 활용법:
이 갭이 바로 보안팀이 다음에 투자해야 할 영역이다.
v18에서 추가된 Detection Strategies와 Analytics를 활용하면, 각 기법에 대한 구체적인 탐지 방법을 바로 참고할 수 있다. SIEM 쿼리를 만들 때 ATT&CK의 탐지 전략을 기반으로 하면 된다.
그렇다. MITRE ATT&CK은 완전히 무료이며, 상업적 이용도 가능하다. attack.mitre.org에서 모든 데이터에 접근할 수 있고, STIX/TAXII 형식의 데이터도 무료로 제공된다.
Lockheed Martin의 Cyber Kill Chain은 공격의 흐름을 7단계로 나눈다. ATT&CK은 15개 전술 아래 697개 기법으로 훨씬 세분화되어 있다.
Kill Chain이 공격의 큰 흐름을 보여준다면, ATT&CK은 각 단계에서 공격자가 사용하는 구체적인 기법까지 보여준다. 둘은 경쟁 관계가 아니라 보완 관계다.
전부 다 볼 필요 없다. 우리 조직을 노리는 위협 그룹이 사용하는 기법부터 시작하면 된다. 대부분의 위협 그룹은 10~30개 기법을 주로 사용한다. 그것부터 탐지하면 된다.
v18부터는 가능하다. 691개 Detection Strategies와 1,739개 Analytics가 추가되면서, 각 기법에 대한 구체적인 탐지 방법이 제공된다. "이 기법을 탐지하려면 어떤 데이터 소스를 보고, 어떤 패턴을 찾아야 하는가"까지 안내한다.
v18에서 새로 도입된 개념이다. 기존의 Detection 필드를 두 계층으로 분리한 것이다.
예를 들어, T1059.001 PowerShell의 경우:
| 전술 | 기법 | 설명 |
|---|---|---|
| 자격 증명 접근 | T1003 자격증명 덤핑 | Mimikatz, SAM, NTDS.dit 등 8개 서브기법 |
| 실행 | T1059 스크립트 실행 | PowerShell, Python, Bash 등 13개 서브기법 |
| 방어 회피 | T1562 보안 무력화 | EDR 우회, 로그 삭제 등 12개 서브기법 |
| 방어 회피 | T1036 위장 | 파일명 변장과 위장 등 4개 서브기법 |
MITRE ATT&CK 기법 상세 분석
실제 공격 사례로 보는 ATT&CK
관련 보안 주제
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.