Digital Black Box · Attack Method Reference
해킹 기법별 사례 정리
국내 공개 사고 15건과 KISA·경찰청·국정원 자료를 10개 기법으로 묶고, 국내 조사 결과에는 이름이 잘 붙지 않지만 중소기업에 실제로 많은 4개 기법(인포스틸러, 설정 오류, OAuth 동의 피싱, AD 공격)을 더해, 기법마다 어떤 로그에 흔적이 남는지, 어떤 신호로 조기에 알 수 있는지, 그 결과를 일간·월간 리포트에 어떻게 담을지까지 정리했다. 블랙박스가 "무엇을 수집할지"를 정하기 위한 기준 자료다.
기준일 2026-10-30
출처: 출처 페이지 · 사례마다 붙은 발행처 링크
기법 식별자: MITRE ATT&CK Enterprise · 데이터 컴포넌트 v20.0
범위와 전제 ① 매트릭스: MITRE ATT&CK Enterprise v20 기법 706개만 다룬다(Mobile·ICS 매트릭스는 제외). 이 중 ESXi 117개·네트워크 장비 100개·컨테이너 48개·사전 준비(PRE) 97개 기법은 환경에 따라 관련도가 크게 다르다. ② 대상 환경(기획 전제 — 파일럿에서 검증): EDR이 없는 국내 중소기업, Windows PC·서버와 일부 Linux 서버, M365·Google Workspace 또는 국내 그룹웨어, AWS 등 해외 클라우드와 국내 클라우드 혼용, 온프레미스 AD는 일부만 보유. macOS 단말은 수집 계획 밖이고, 망분리 환경(인터넷 차단 구간)은 범위 밖이다(구축형 옵션은 별도 검토). 환경 분포(AD 보유율·그룹웨어 점유·UTM 기종)는 아직 근거 자료가 없어 파일럿에서 측정한다. ③ "수집가능"은 이 환경에서 해당 로그를 켜고 가져온다는 전제다. 에이전트 없이 가능한 범위는 커버리지 맵의 "티어별 범위"(수집 전제 단계 기준)로 따로 본다. 티어별 범위는 그래서 macOS 전용 기법을 뺀 값이다.
입구의 절반은 웹·API와 계정국내 15건 중 8건이 웹 취약점, 크리덴셜 스터핑, 토큰 위조, 정상 조회 기능 남용, 계정 악용과 관련된다. 이 중 GS리테일·쿠팡·금융권 등 일부는 악성코드 없이 "정상 요청"으로 데이터를 가져갔다.
인지는 늦고, 로그는 없다GS샵 8개월, 쿠팡 7개월, SK텔레콤 약 3년 8개월. SKT는 로그 보관 공백으로, 법원은 보안장비 상세 기록이 이미 삭제돼(삭제 주체 미상), KT·LGU+는 회사 스스로 한 로그 삭제·서버 재설치로 유출 범위나 입구를 확정하지 못했다.
출구는 세 가지뿐대량 조회, 외부 전송, 암호화·협박. 어떤 입구로 들어와도 출구는 이 셋 중 하나를 거친다.
로그 자체가 개인정보롯데카드는 결제 로그의 주민번호 평문이 유출됐다. 수집 필드 최소화와 마스킹이 전제다.