마이터 어택은 2013년도부터 개발된 프레임워크이다.
처음에는 큰 주목을 받지 못하였지만 2018년도부터 2021년까지 갑작스런 엄청난 관심을 받게 된다.
초기 침투 initial compromise
교두부 확보 establish foothold
권한 상승 escalate privilege
내부 정찰 internal recon
목적 행위 수행 action on objectives
내부 정보 수집 collection
공격자는 내부망 침투 후 내부망 환경을 파악하기 위해 정보 수집이 필요하다.
레터럴 무브먼트(내부 이동, 수평 이동) lateral movement
공격자는 내부 이동을 통해 최종 목표시스템에 도달하려고 한다.
이때, 어느 정도 시간이 꽤 소요되는데 이것이 공격자의 약점이다.
킬체인을 시켜서 차단하는 전략이 유행
침해사고 트랜드
- 마이터 어택이 2018년도부터 인기가 많아진 이유
차단만 가지고는 안되기 때문에 탐지가 중요해졌다.
Dwell(디웰) 타임
- 침투 인지 시간
- 점점 줄어드는 추세이고 2020년에는 2주면 내부망 침투 탐지 가능
- 과거에 1년걸리던거 2주면 가능
David Bianco(데이비드 비앙코)의 Prymaid od Pain 고통의 피라미드
- TTP(방법 Tactics, 기술 Techniques, 절차 Procedures) : EDR은 TTP 기반 탐지 이거 우회하려면 새로운 테크닉을 이용해야함
- 툴(tools)
- 네트워트/호스트의 아티팩트 -> IOC(Indicator of Compromise, 침해지표) 기반 탐지
- 도메인 탐지
- IP으로 탐지
- 해시값으로 탐지
위로 갈수록 공격자 입장에서 우회가 어려워짐
시그니처 기반 탐지 우회는 이젠 개쉽다고 볼 수 있음
행위 기반 탐지가 트랜드
