실제 환경에서 EDR 성능 분석: MITRE Engenuity ATT&CK 기업 평가 해독

Core Concepts

MITRE Engenuity ATT&CK 기업 평가 결과를 심층적으로 분석하여 주류 EDR 제품의 강점과 한계를 파악하고 개선 방향을 제시한다.

Abstract

이 논문은 MITRE Engenuity가 수행한 APT 모방 평가 결과를 심층적으로 분석하여 EDR 시스템의 성능을 종합적으로 평가하였다.
먼저 전체 공격 그래프 분석을 통해 EDR 시스템의 공격 연관성 파악 및 대응 능력을 평가하였다. 공격 그래프 연결성 분석 결과, 대부분의 EDR 시스템이 공격 단계 간 연관성을 파악할 수 있었지만, 일부 시스템은 지연된 대응이나 누락된 대응을 보였다. 이는 단일 단계 탐지에 의존하는 한계 때문인 것으로 분석되었다.
또한 전반적인 탐지 성능 추이 분석을 통해 EDR 시스템의 탐지 범위, 탐지 신뢰도, 탐지 품질, 데이터 소스, 호환성 등 다양한 측면에서 성능 변화를 파악하였다. 분석 결과, EDR 시스템의 전반적인 탐지 성능이 향상되고 있지만, 일부 기술과 일부 벤더의 성능이 여전히 부족한 것으로 나타났다.
이를 통해 연구진은 EDR 시스템의 강점과 개선이 필요한 영역을 종합적으로 파악하고, 향후 EDR 시스템 발전을 위한 제언을 제시하였다.

Stats

대부분의 EDR 시스템은 80% 이상의 공격 단계를 식별할 수 있다.
일부 EDR 시스템은 암호화된 채널이나 애플리케이션 계층 프로토콜 통신을 탐지하지 못한다.
15개의 기술은 모든 EDR 시스템에서 100% 가시성을 보였다.
AhnLab은 파일 시스템과 네트워크 활동 모니터링이 부족하여 낮은 가시성을 보였다.

Quotes

"대부분의 EDR 시스템이 공격 단계 간 연관성을 파악할 수 있었지만, 일부 시스템은 지연된 대응이나 누락된 대응을 보였다."
"일부 기술과 일부 벤더의 성능이 여전히 부족한 것으로 나타났다."

Key Insights Distilled From

Decoding the MITRE Engenuity ATT&CK Enterprise Evaluation: An Analysis of EDR Performance in Real-World Environments

by Xiangmin She... at arxiv.org 04-24-2024

https://arxiv.org/pdf/2401.15878.pdf

Deeper Inquiries

어떤 기술적 접근이 EDR 시스템의 공격 그래프 수준 상관 관계 분석 기능을 향상시키는 데 필요할까?

EDR 시스템의 공격 그래프 수준 상관 관계 분석 기능을 향상시키기 위해서는 다음과 같은 기술적 접근이 필요합니다:

Provenance Graph-Based Detection: 공격 그래프 수준의 상관 관계 분석을 위해 증명 그래프 기반 탐지 기술을 도입해야 합니다. 이를 통해 추가적인 맥락 정보를 고려하여 전체 공격 패턴을 파악하고 위협을 탐지할 수 있습니다.

Control Flow 및 Data Flow 분석: 제어 흐름과 데이터 흐름을 분석하여 공격 단계 간의 인과 관계를 명확히 파악하는 기술적 방법을 도입해야 합니다. 이를 통해 공격 체인을 완전히 재구성하고 시스템을 보호할 수 있습니다.

연결성 분석: 공격 그래프의 연결성을 분석하여 EDR 시스템이 전체 공격 체인을 재구성할 수 있는 능력을 평가해야 합니다. 이를 통해 EDR 시스템의 공격 재구성 능력을 평가하고 보호 능력을 확인할 수 있습니다.

효과성 분석: 공격 그래프의 효과성을 분석하여 EDR 시스템이 얼마나 효과적으로 공격을 차단하고 대응하는지를 확인해야 합니다. 이를 통해 EDR 시스템의 방어 능력을 평가하고 개선할 수 있습니다.

이러한 기술적 접근을 통해 EDR 시스템은 공격 그래프 수준에서의 상관 관계 분석 능력을 향상시키고 실제 공격에 대한 효과적인 대응을 보장할 수 있습니다.

MITRE ATT&CK 프레임워크의 기술 단위가 너무 거칠어 탐지 범위 측정에 적합하지 않다는 점을 고려할 때, 더 세분화된 단위로 어떻게 평가 지표를 개선할 수 있을까?

MITRE ATT&CK 프레임워크의 기술 단위가 너무 거칠어 탐지 범위 측정에 적합하지 않을 때, 다음과 같은 방법으로 더 세분화된 단위로 평가 지표를 개선할 수 있습니다:

일반화된 기술 구현: 기존의 기술 단위 대신 일반화된 기술 구현을 도입하여 더 세분화된 단위로 탐지 범위를 측정할 수 있습니다. 이를 통해 더 정확하고 상세한 탐지 능력을 평가할 수 있습니다.

프로세스 및 프로시저 분석: 공격 프로세스 및 프로시저를 분석하여 세분화된 단위로 탐지 지표를 개선할 수 있습니다. 이를 통해 공격의 세부 단계를 더 정확하게 파악하고 탐지 능력을 향상시킬 수 있습니다.

상세한 이벤트 기록: 더 세분화된 이벤트 기록을 통해 탐지 범위를 더 상세하게 측정할 수 있습니다. 이를 통해 공격의 다양한 측면을 고려하고 탐지 능력을 개선할 수 있습니다.

세분화된 단위로 평가 지표를 개선함으로써 EDR 시스템의 탐지 능력을 더욱 정확하게 평가하고 향상시킬 수 있습니다.

EDR 시스템의 성능 향상을 위해 공격자 측면에서 어떤 새로운 우회 기법이 등장할 것으로 예상되며, 이에 대한 대응 방안은 무엇일까?

EDR 시스템의 성능 향상을 위해 새로운 우회 기법으로는 다음과 같은 것들이 예상됩니다:

Living-off-the-Land Attacks: 공격자가 시스템에 이미 존재하는 도구와 기능을 악용하는 Living-off-the-Land 공격이 더욱 증가할 것으로 예상됩니다. 이러한 공격은 기존의 탐지 방법을 우회하고 EDR 시스템을 속일 수 있습니다.

File-less Attacks: 파일을 사용하지 않는 File-less 공격은 계속해서 발전하고 더욱 정교해질 것으로 예상됩니다. 이러한 공격은 전통적인 파일 기반 탐지 방법을 회피하고 시스템에 침투할 수 있습니다.

Zero-Day Exploits: 새로운 Zero-Day 취약점을 이용한 공격이 증가할 것으로 예상됩니다. 이러한 취약점은 기존의 보안 조치를 우회하고 새로운 공격 경로를 열 수 있습니다.

이러한 새로운 우회 기법에 대응하기 위해 EDR 시스템은 다음과 같은 대응 방안을 고려해야 합니다:

행위 기반 탐지: 행위 기반 탐지를 강화하여 파일이나 특정 패턴이 아닌 악의적인 행위를 식별하고 차단할 수 있도록 해야 합니다.

AI 및 기계 학습 적용: AI 및 기계 학습 기술을 활용하여 새로운 공격 패턴을 식별하고 대응할 수 있는 능력을 향상시켜야 합니다.

네트워크 모니터링 강화: 네트워크 모니터링을 강화하여 Living-off-the-Land 및 File-less 공격을 탐지하고 차단할 수 있도록 해야 합니다.

이러한 대응 방안을 통해 EDR 시스템은 새로운 우회 기법에 대응하고 보다 효과적으로 시스템을 보호할 수 있습니다.