MITRE ATT&CK 프레임워크 완전 가이드 – 개념부터 실전 활용까지

MITRE ATT&CK 프레임워크 완전 가이드 – 개념부터 실전 활용까지

보안 업계에서 MITRE ATT&CK은 이제 "알면 좋은 것"이 아니라 "모르면 안 되는 것"이 되었습니다. SOC 분석가, 침투 테스터, CISO 할 것 없이 모두가 공통 언어로 사용하는 이 프레임워크를, 이 글 하나로 완전히 이해할 수 있도록 정리했습니다.

📑 목차

1. MITRE ATT&CK이란?
2. 탄생 배경과 발전 과정
3. 프레임워크 구조: 전술·기법·절차
4. 14개 전술 완전 해부
5. 3가지 매트릭스 유형
6. 실전 공격 시나리오로 보는 ATT&CK
7. 활용 시나리오 5가지
8. ATT&CK 연동 도구·플랫폼
9. 탐지 규칙 매핑 실전 가이드
10. 자주 묻는 질문(FAQ)

1. MITRE ATT&CK이란?

MITRE ATT&CK(Adversarial Tactics, Techniques, and Common Knowledge)은 실제 관찰된 사이버 공격 행위를 체계적으로 분류한 지식 기반(Knowledge Base)입니다. 미국 비영리 연구기관 MITRE가 2013년부터 구축해 왔으며, 현재 전 세계 보안 커뮤니티의 사실상 표준(de facto standard)으로 자리잡았습니다.

한 줄 정의: ATT&CK = 공격자가 "무엇을(What)" "어떻게(How)" 하는지를 전술(Tactic) → 기법(Technique) → 절차(Procedure) 계층으로 정리한 공개 프레임워크.

ATT&CK이 혁신적인 이유는 기존 보안 프레임워크(ISO 27001, NIST CSF 등)가 "방어자 관점"에서 통제 항목을 나열한 것과 달리, 공격자 관점(Adversary Perspective)에서 실제 행위를 기술한다는 점입니다. 이 때문에 레드팀과 블루팀이 동일한 언어로 소통할 수 있게 됩니다.

2. 탄생 배경과 발전 과정

ATT&CK의 시작은 2013년 MITRE 내부 프로젝트 FMX(Fort Meade eXperiment)였습니다. 당시 연구진은 "실제 공격자가 기업 네트워크 침투 후 어떤 행위를 하는지"를 체계적으로 문서화하기 시작했고, 이것이 ATT&CK의 원형이 되었습니다.

• 2013년 — 내부 프로젝트로 시작, Windows 엔드포인트 중심 9개 전술
• 2015년 — ATT&CK 공식 공개, 위키 형태로 커뮤니티에 오픈
• 2017년 — PRE-ATT&CK(공격 준비 단계) 추가
• 2019년 — 모바일(Android/iOS), 클라우드 매트릭스 추가
• 2020년 — ICS(산업제어시스템) 매트릭스 추가
• 2022년 — v12에서 PRE-ATT&CK을 Enterprise에 통합 (Reconnaissance, Resource Development 전술로 흡수)
• 2024~2025년 — 컨테이너, SaaS, AI/ML 공격 기법 지속 추가. v16 기준 14개 전술, 200+ 기법, 680+ 하위 기법

3. 프레임워크 구조: 전술·기법·절차 (TTP)

ATT&CK을 이해하는 핵심은 TTP(Tactics, Techniques, Procedures) 계층 구조입니다.

• 전술(Tactic) — 공격자의 목적. "왜(Why) 이 행위를 하는가?"에 해당합니다. 예: 자격증명 접근(Credential Access)은 "시스템 내 인증 정보를 획득하기 위해"입니다.
• 기법(Technique) — 전술을 달성하기 위한 방법. "어떻게(How)?" T1003 OS Credential Dumping처럼 ID가 부여됩니다.
• 하위 기법(Sub-Technique) — 기법의 구체적 변형. T1003.001 LSASS Memory처럼 점(.) 뒤 숫자로 구분합니다.
• 절차(Procedure) — 특정 공격 그룹이 실제 사용한 구체적 사례. "APT28이 mimikatz를 이용해 LSASS 프로세스 메모리를 덤프했다"와 같은 기술입니다.

💡 ID 체계: 전술은 TA00XX, 기법은 T1XXX, 하위 기법은 T1XXX.XXX, 공격 그룹은 G00XX, 소프트웨어는 S00XX 형태입니다. 이 통일된 ID가 글로벌 공통 언어 역할을 합니다.

4. 14개 전술 완전 해부

ATT&CK Enterprise 매트릭스는 공격 라이프사이클을 14개 전술으로 분류합니다. 이는 사이버 킬체인(Cyber Kill Chain)의 확장 버전으로, 침투 전 단계부터 최종 목표 달성까지를 망라합니다.

⚠️ 주의: 14개 전술은 엄격한 순서가 아닙니다. 공격자는 필요에 따라 전술을 건너뛰거나, 반복하거나, 동시에 수행합니다. 예를 들어 방어 회피(TA0005)는 거의 모든 단계에서 병행됩니다.

5. 3가지 매트릭스 유형

ATT&CK은 단일 매트릭스가 아닙니다. 대상 환경에 따라 세 가지 매트릭스로 나뉩니다.

대부분의 조직은 Enterprise 매트릭스를 기본으로 사용하며, BYOD 환경이라면 Mobile, OT/ICS 환경이 있다면 ICS 매트릭스를 추가로 참조합니다.

6. 실전 공격 시나리오로 보는 ATT&CK

이론만으로는 ATT&CK을 체감하기 어렵습니다. 실제 랜섬웨어 공격 흐름을 ATT&CK 전술에 매핑해 보겠습니다.

7. 활용 시나리오 5가지

7-1. 탐지 커버리지 평가(Gap Analysis)

가장 대표적인 활용법입니다. 자사 보유 탐지 규칙(SIEM, EDR)을 ATT&CK 기법에 매핑하여, "어떤 기법을 탐지할 수 있고, 어떤 기법에 사각지대가 있는지"를 시각화합니다. ATT&CK Navigator 도구를 사용하면 히트맵 형태로 직관적으로 확인할 수 있습니다.

7-2. 위협 인텔리전스 (CTI)

특정 위협 그룹(예: Lazarus, APT41)이 사용하는 TTP를 ATT&CK에서 조회하고, 해당 기법에 대한 탐지 역량을 우선적으로 강화합니다. "우리 산업을 겨냥하는 그룹이 주로 쓰는 기법"에 집중하는 위협 기반 방어(Threat-Informed Defense) 전략입니다.

7-3. 레드팀/퍼플팀 훈련

레드팀은 ATT&CK 기법을 기준으로 공격 시나리오를 설계하고, 블루팀은 동일 기법 기준으로 탐지 여부를 평가합니다. 공통 언어 덕분에 양 팀의 결과를 1:1로 비교할 수 있습니다.

7-4. 벤더·솔루션 평가

SIEM, EDR 등 보안 솔루션의 탐지 커버리지를 ATT&CK 기법 기준으로 비교합니다. MITRE 자체적으로 ATT&CK Evaluations를 실시하여 주요 EDR/XDR 벤더의 탐지 성능을 공개하고 있습니다.

7-5. 컴플라이언스 매핑

NIST 800-53, ISO 27001 등의 통제 항목을 ATT&CK 기법에 매핑하여, "이 통제를 구현하면 어떤 공격 기법을 완화할 수 있는가"를 구체적으로 보여줍니다.

✅ 핵심: ATT&CK의 진정한 가치는 "공격과 방어를 동일한 좌표계에 놓는 것"입니다. 이를 통해 보안 투자의 우선순위를 데이터 기반으로 결정할 수 있습니다.

8. ATT&CK 연동 도구·플랫폼

도구	용도	비용	핵심 기능
ATT&CK Navigator	커버리지 시각화	무료	히트맵 생성, 레이어 비교, JSON 내보내기
Atomic Red Team	기법 테스트	무료	기법별 원자적 테스트 스크립트 (PowerShell/Bash)
Caldera	자동 레드팀	무료	ATT&CK 기법 기반 자동 공격 시뮬레이션
Sigma Rules	탐지 규칙	무료	SIEM 독립적 탐지 규칙 → Splunk/Elastic/QRadar 변환
MITRE D3FEND	방어 기법 매핑	무료	ATT&CK 공격 기법 → 대응 방어 기법 매핑
ATT&CK Evaluations	벤더 평가	무료	주요 EDR/XDR 벤더 탐지 성능 공개 평가
Vectr	퍼플팀 관리	무료/상용	퍼플팀 캠페인 추적, ATT&CK 매핑, 보고서 자동화

9. 탐지 규칙 매핑 실전 가이드

ATT&CK을 실무에 적용하는 가장 직접적인 방법은 SIEM/EDR 탐지 규칙에 ATT&CK ID를 태깅하는 것입니다.

매핑 시 핵심 원칙

1. 100% 커버리지를 목표로 하지 마세요. 200+개 기법을 모두 탐지하는 것은 비현실적입니다. 자사 위협 모델에 기반한 상위 20~30개 기법에 집중하세요.
2. 탐지 수준을 구분하세요. 단순 로그 수집만 되는 것과, 상관 규칙이 작동하는 것과, 자동 대응까지 연결된 것은 전혀 다른 수준입니다. Navigator에서 색상으로 구분하면 됩니다.
3. 분기별로 리뷰하세요. ATT&CK은 연 2~4회 업데이트됩니다. 새로운 기법이 추가되면 커버리지를 재평가해야 합니다.

⚠️ 흔한 실수: ATT&CK Navigator에 색칠만 해놓고 실제 탐지 여부를 검증하지 않는 "체크리스트 증후군"에 빠지지 마세요. 반드시 Atomic Red Team 또는 Caldera로 실제 테스트를 수행해야 합니다.

10. 자주 묻는 질문(FAQ)

Q1. ATT&CK과 사이버 킬체인(Cyber Kill Chain)의 차이는?

Lockheed Martin의 사이버 킬체인은 7단계의 선형 모델로 공격의 큰 흐름을 설명합니다. ATT&CK은 이를 더 세분화하여 14개 전술 × 200+개 기법으로 확장한 것이며, 기법 단위의 구체적인 탐지·대응이 가능합니다. 킬체인은 "전략적 이해", ATT&CK은 "전술적 실행"에 강합니다.

Q2. ATT&CK은 얼마나 자주 업데이트되나요?

연 2~4회 메이저 업데이트가 이루어지며, 새로운 공격 기법, 위협 그룹, 소프트웨어가 추가됩니다. 업데이트 내역은 MITRE ATT&CK 공식 블로그와 GitHub CHANGELOG에서 확인할 수 있습니다.

Q3. 소규모 조직에서도 ATT&CK을 활용할 수 있나요?

물론입니다. 오히려 리소스가 제한된 조직일수록 ATT&CK으로 "가장 위험한 기법 Top 10"에 집중하는 것이 효과적입니다. Navigator로 현재 커버리지를 파악하고, Sigma 규칙과 Atomic Red Team(모두 무료)으로 탐지를 구현·검증할 수 있습니다.

Q4. ATT&CK Evaluations 결과를 어떻게 해석해야 하나요?

MITRE는 의도적으로 "순위"를 매기지 않습니다. 각 벤더의 탐지 유형(Telemetry, General, Tactic, Technique)과 탐지 범위를 비교해야 합니다. 단순 탐지 건수보다는, 자사 환경에서 중요한 기법에 대한 탐지 품질(Technique 수준 vs Telemetry 수준)을 기준으로 평가하세요.

Q5. D3FEND와 ATT&CK의 관계는?

ATT&CK이 "공격자가 무엇을 하는가"를 정리한 것이라면, D3FEND는 "방어자가 무엇을 해야 하는가"를 정리한 보완 프레임워크입니다. ATT&CK 기법에 대응하는 방어 기법(Harden, Detect, Isolate, Deceive, Evict)을 매핑하여 방어 전략 수립에 활용합니다.

마무리: ATT&CK은 도구가 아니라 사고방식이다

MITRE ATT&CK을 한 번 읽는 것은 시작에 불과합니다. 진정한 가치는 조직의 보안 운영 전체에 ATT&CK 사고방식을 내재화할 때 발현됩니다. 탐지 규칙을 만들 때, 보안 솔루션을 평가할 때, 침해 사고를 분석할 때, 그리고 경영진에게 보안 현황을 보고할 때 — ATT&CK ID가 공통 언어가 되면 보안 팀의 커뮤니케이션 효율이 근본적으로 달라집니다.

📌 핵심 요약: MITRE ATT&CK = 공격자 관점의 TTP 지식 기반. 14개 전술 × 200+ 기법으로 구성. 탐지 커버리지 평가, 위협 인텔리전스, 레드팀/퍼플팀, 벤더 평가, 컴플라이언스 매핑에 활용. Navigator + Sigma + Atomic Red Team으로 무료 실전 적용 가능.

공식 사이트: https://attack.mitre.org