APT 공격

APT 공격이란?

최근 발생하는 개인정보 유출은 점차 규모가 커지고, 금전적 이익 등과 같은 뚜렷한 목적을 가지며 치밀한 계획 하에 이루어지고 있다. 

이와 같이 사전의 치밀한 계획과 준비를 통해 이뤄지는 해킹 방식을 APT(Advanced Persistent Threat)라고 한다.

즉, APT공격은 IT기술을 이용하여 지속적으로 정보 수집하여 취약점을 파악하여 이를 근간(바탕)으로 목적 시스템에 피해를 끼치는 공격을 총칭한다. 

-출처 : 남기표 외 2명 "최신 정보보호기술 동향: APT및 그 대응", 정보통신산업진흥원 2011-

APT공격 절차 

1. 사전조사(Reconnaissance)  : 해커가 표적으로 정한 공격대상을 분석하고, 공격방법을 연구하여 최종 목표를 위하여 1차 침입 대상을 찾는 것으로 주요 직원(임원 및 간부), 관리자, 특수 목적 연구원, 사원 등 정보에 직.간접으로 접근할 수 있는 대상자를 찾는 행위                                                                                                                                                                 
2. 제로데이 공격(Zero-day attack) : 아직 발견되지 않은 취약점을 이용하여 대상 시스템을 공격 하는 기법                                                                                                                                                                           
3. 사회공학적 기법(Social Engineering) : 신뢰하는 개인, 조직을 가장하여 제로데이 취약점이 있는 첨부파일이나 링크 등에 악성코드를 삽입하여 이메일, 메신저, SNS등을 통해 전송하여 사용자로 하여금 지인이 보낸것 마냥 혼란을 준다.(금번 한수원해킹 사건때도 퇴직 직원의 이메일 계정을 탈취하여 전송한 것도 사회공학적 기법이라 할수 있다)                                                                                                                                                                                                                                                                                                 
4. 은닉(Covert) : 1차 침입에 성공한 후, 서두르지 않고 내부(정상적인)사용자로 가장하여, 정보 수집과 모니터링으로 합법적인 계정과 프로토콜 및 시간대를 이용하여 현재 계정이 갖는 권한 내에서 얻을 수 있는 모든 정보를 수집                                                                                                                                                                                                                                 
5. 권한상승(Privilege Escalation): 은닉을 통한 각종 정보를 수집 후, 시스템에 접근하기 위해 접근권한을 가진 계정정보를 수집한다. 브루트포스 공격(Brute Force Attack), 존더리퍼 등이 포함된다.                                                                                
6. 적응(Adaption) : 권한상승을 통해 최종 목표인 중요정보(DB, 개인정보, 관리자계정 등) 탈취한 후, 이를 공격대상 내부의 서버에 암호화하거나 압축파일로 저장한 다음 비정기적으로 해커 서버나 단말기(PC,스마트폰)로 유출하는 활동. 혹 발각된 경우 역추적을 방지하는 활동(로그삭제)까지 포함한다.                                                                         
7. 지속(Persistent): 해커가 참을성을 가지고 오랜 기간 동안 공격대상을 관찰하고 활동하는 것으로, 중요정보 유출 이후에도 해커가 공격대상에 지속적으로 접근할 수 있도록 다양한 백도어(Backdoor)를 설치하는 것이 여기에 포함된다