infiltr8 Lab

IOC와 TTP 구분 (Pyramid of Pain) 분석

2026-10-11 · ##위협-인텔리전스 ##탐지-개념

이 글은 아래 원 분석들을 우리 관점에서 다시 쓰고 논평을 더한 것입니다. 특정 문장·코드를 그대로 옮기지 않았으며, 자세한 내용은 원문을 참고하세요.

Security · 위협 인텔리전스 · 탐지 개념 [정보성]

같은 “탐지”라도 무엇을 근거로 잡느냐에 따라 수명이 다릅니다. 파일 해시로 잡은 탐지와 공격자의 행동 패턴으로 잡은 탐지는 유지되는 기간이 전혀 다릅니다. 이건 한 사건을 막는 이야기가 아니라, 왜 어떤 탐지는 금방 늙고(age out) 어떤 탐지는 오래 가는지를 설명하는 틀입니다.

01 Pyramid of Pain — 지표는 다 같지 않다

Pyramid of Pain은 보안 연구자 David J. Bianco가 2013년 3월 자신의 블로그 Enterprise Detection & Response에 처음 발표한 개념입니다(이후 2014년 1월에 한 차례 갱신). 핵심 주장은 간단합니다. 모든 지표가 동등하지 않다. 어떤 지표를 막느냐에 따라 공격자가 치러야 하는 “고통(비용)“이 다르고, 피라미드 위로 올라갈수록 그 고통이 커집니다.

피라미드는 아래에서 위로 6단계로 쌓입니다.

  1. 해시 값(Hash Values)
  2. IP 주소(IP Addresses)
  3. 도메인 이름(Domain Names)
  4. 네트워크/호스트 아티팩트(Network/Host Artifacts)
  5. 도구(Tools)
  6. 전술·기법·절차(Tactics, Techniques & Procedures, TTP)

원문은 각 단계를 색으로 구분해 난이도를 표현합니다. 아래쪽은 공격자가 바꾸기 쉬운 “쉬운” 지표(녹색 계열)이고, 맨 위 TTP는 가장 바꾸기 어려운 “최고 난도”(빨강)입니다. 즉 피라미드의 높이는 곧 공격자가 느끼는 저항의 크기입니다.

02 하위 지표 — 거의 공짜로 바뀐다

아래 세 단계는 공격자가 바꾸는 데 드는 비용이 사소합니다.

  • 해시 값: 파일의 비트 하나만 달라져도 해시는 완전히 다른 값이 됩니다. 즉 멀웨어를 아주 조금만 변형해도 기존 해시 탐지는 무력화됩니다.
  • IP 주소: 공격자는 사실상 노력 없이 IP를 수시로 갈아탑니다.
  • 도메인 이름: IP보다는 약간 더 번거롭습니다. 등록과 전파 지연이라는 약간의 마찰이 있기 때문입니다. 하지만 여전히 공격자가 충분히 관리할 수 있는 수준입니다.

이 세 단계가 흔히 IOC(침해 지표, Indicator of Compromise)로 묶여 다뤄집니다. IOC는 호스트나 네트워크 수준에서 관찰되는, 침해가 일어났음을 가리키는 포렌식 흔적입니다. 파일 해시, 악성 도메인·IP, 생성된 레지스트리 키, C2(명령·제어 서버)를 가리키는 URL 같은 것들이 여기 속합니다. 참고로 NIST SP 800-53 Rev.5의 통제 항목 SI-4(24)가 바로 이 IOC의 발견·수집·배포를 다룹니다.

03 중간 지표 — 공격자를 작업대로 돌려보낸다

네 번째와 다섯 번째 단계부터는 공격자가 치르는 비용이 눈에 띄게 올라갑니다.

  • 네트워크/호스트 아티팩트: 공격 도구가 남기는 특징적인 흔적입니다. 예를 들면 독특한 HTTP User-Agent 문자열, 특정 메일 발송기(mailer) 값, 특정 레지스트리 키 같은 것입니다. 이걸 탐지해서 막으면 공격자는 자기 작업 환경으로 돌아가 도구를 다시 설정하거나 다시 컴파일해야 합니다.
  • 도구(Tools): 특정 공격 도구 자체를 막으면 공격자는 새 도구를 찾거나 만들어야 합니다. 이건 실제로 연구·개발·훈련에 시간을 들여야 하는 일입니다.

04 최상위 TTP — 바꾸려면 자신을 다시 발명해야 한다

피라미드 꼭대기의 TTP(전술·기법·절차)는 공격자가 정찰부터 데이터 유출까지 임무를 “어떻게” 수행하는가, 즉 작업 방식 자체입니다. 이 수준에서 대응당하면 공격자는 그냥 포기하거나, 아니면 처음부터 자신의 방식을 다시 발명(reinvent)해야 합니다. 원문이 말하는 가장 큰 고통이 바로 이것입니다.

TTP의 표준 정의는 MITRE ATT&CK에서 가져올 수 있습니다. ATT&CK는 공격자가 실제로 사용한 행위를 모은, 전 세계 누구나 무료로 접근 가능한(globally-accessible) 지식베이스로, 이론이 아니라 관찰된 실제 행위(real-world observations)에 근거합니다. ATT&CK는 TTP를 네 층위로 나눠 설명합니다.

  • 전술(Tactic) = “왜”. 공격자의 전술적 목표입니다(예: Credential Access, 자격증명 획득).
  • 기법(Technique) = “어떻게”. 그 목표를 이루는 방식입니다(예: 자격증명 덤핑).
  • 하위 기법(Sub-technique). 기법을 더 잘게 나눈 것입니다(예: LSA Secrets 접근).
  • 절차(Procedure). 공격자가 특정 기법·하위 기법을 실제로 구현한 구체적 방식으로, ATT&CK의 “Procedure Examples”에 실제 관찰 사례로 기록됩니다.

05 그래서 내구성이 갈린다 — 그리고 IOC가 열등한 건 아니다

공격자는 멀웨어를 다시 빌드하고, IP를 바꾸고, 새 도메인을 등록하는 일을 아주 빠르게 해냅니다. 반면 자신의 작업 흐름(TTP)을 바꾸는 건 훨씬 어렵습니다. 그래서 TTP에 초점을 둔 탐지·헌팅은 “공격자가 무엇을 썼나”가 아니라 “어떻게 동작하나”를 보기 때문에, 인프라가 바뀐 뒤에도 유효해 더 오래 갑니다. 반대로 IOC 중심 탐지는 공격자가 인프라를 갱신하는 순간 무력해지기 쉽습니다.

다만 IOC가 TTP보다 열등하다는 뜻은 아닙니다. 이미 벌어진 침해에 즉시 대응할 때는 특정 멀웨어 변종의 파일 해시 같은 매우 구체적인 정보가 추상적인 TTP 정보보다 더 효과적일 수 있습니다. 단순한 YARA 규칙 하나로 정확하고 간단하게 잡을 수 있기 때문입니다. IOC를 빠르게 공유·배포하면 같은 공격에 노출되는 시간이 줄어 전체 방어가 개선됩니다. 두 축은 경쟁 관계가 아니라 역할이 다릅니다. IOC는 빠르고 구체적인 즉시 대응에, TTP는 오래 가는 지속적 탐지에 강합니다.

06 “TTP를 태그했다”가 곧 내구성은 아니다 — Summiting the Pyramid

여기서 중요한 단서가 하나 붙습니다. MITRE의 Center for Threat-Informed Defense가 내놓은 “Summiting the Pyramid” 연구(저자: Michaela Adams, Roman Daszczyszak, Steve Luke)는, ATT&CK 기법으로 태그된 탐지라 하더라도 그것이 특정 도구나 아티팩트에 의존하면 여전히 회피당하기 쉽다는 점을 지적합니다. 다시 말해 “이건 TTP 기반 탐지야”라는 라벨만으로 내구성이 보장되지는 않습니다.

이 연구는 탐지 분석(analytics)을 피라미드에 비춰 점수화하고, 회피에 대한 저항성(robustness)을 별도의 차원으로 끌어들입니다. 그리고 기법이 어떤 방식으로 구현되든 공통적으로 발동되는 관찰값, 즉 “spanning set”을 찾도록 유도합니다. 동시에 robustness와 accuracy(정확도) 사이에는 트레이드오프가 있다는 점도 명시합니다. 구현 세부에 묶이지 않은 관찰값을 골라야 진짜로 오래 가는 탐지가 된다는 것이 요지입니다.

  • ⚠️미확인: 이 프로젝트의 정확한 최초 공개 연도는 자료마다 엇갈립니다. 프로젝트 자체는 2023년에 시작된 것으로 보이고, 관련 블로그 글은 2024년 12월 16일 자로 갱신되어 있습니다. 정확한 최초 릴리스 시점은 MITRE CTID 프로젝트 페이지에서 재확인이 필요합니다.
  • ⚠️미확인: 하위 3단(해시·IP·도메인)을 “IOC”, 상위를 “TTP”로 보는 이분법은 교육적 근사입니다. Bianco 원문은 6단계 전체를 지표 분류로 제시하며, 네트워크/호스트 아티팩트와 도구는 IOC와 행위의 중간지대에 가깝습니다. “어디서부터 TTP인가”의 경계는 자료마다 다릅니다.

대응 관점 — 실무에 옮길 때

  • 탐지를 설계할 때 피라미드의 어느 층을 겨냥하는지 의식합니다. 해시·IP·도메인 기반 규칙은 빠르게 배포하되 수명이 짧다는 전제로 운용하고, 지속적인 방어력은 행위(TTP) 기반 탐지에서 찾습니다.
  • 두 축을 함께 씁니다. IOC는 즉시 대응과 빠른 공유에, TTP는 인프라 변경 이후에도 살아남는 탐지에 배치합니다.
  • TTP 태그만 믿지 않습니다. 탐지가 특정 도구·아티팩트에 묶여 있지 않은지 점검하고, 구현 방식과 무관하게 발동되는 관찰값을 고르면 회피 저항성이 올라갑니다.

한 줄 정리

지표마다 수명이 다릅니다. 공격자가 공짜로 바꾸는 하위 지표(IOC)에만 기대면 탐지는 금방 늙고, 공격자가 작업 방식을 다시 발명해야 하는 TTP를 겨냥하면 탐지가 오래 갑니다. 그러나 “TTP를 봤다”는 라벨 자체가 내구성은 아닙니다. 구현 세부에 묶이지 않은 관찰값을 고르는 것까지가 진짜 내구적인 탐지입니다. 이 한 사건이 아니라 이 사고방식이 다른 자리에서도 다시 쓰입니다 — 그래서 우리는 도구가 아니라 방법을 남깁니다.

References / 참고자료

  1. David J. Bianco, “The Pyramid of Pain,” Enterprise Detection & Response (blog), 2013-03-01 (2014-01-17 갱신) — 이 글이 재구성한 원 개념. 피라미드 6단계·고통 논리의 1차 출처. http://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
  2. MITRE ATT&CK, “Frequently Asked Questions (FAQ)” — 전술/기법/하위기법/절차의 1차 정의. https://attack.mitre.org/resources/faq/
  3. Michaela Adams, Roman Daszczyszak, Steve Luke (MITRE Center for Threat-Informed Defense), “Summiting the Pyramid: Bring the Pain with Robust and Accurate Detection,” 2024-12-16 — robustness/accuracy 정제의 1차 출처. https://ctid.mitre.org/blog/2024/12/16/summiting-the-pyramid-bring-the-pain/
  4. MITRE Center for Threat-Informed Defense, “Summiting the Pyramid” (project page) — 프로젝트 개요 랜딩 페이지(구현 커버리지·탐지 품질 소개). 점수화 방법론·spanning set의 상세 서술은 이 페이지가 아니라 관련 블로그/산출물을 참고. https://ctid.mitre.org/projects/summiting-the-pyramid
  5. heise online, “TTPs: Understanding and thwarting attack strategies” — IOC/TTP 내구성과 균형에 관한 2차 분석. https://www.heise.de/en/background/TTPs-Understanding-and-thwarting-attack-strategies-9755535.html
  6. NIST SP 800-53 Rev.5, 통제 항목 SI-4(24) “Indicators of Compromise” — IOC의 발견·수집·배포를 다루는 통제. 1차 출처(NIST CSRC 공식 발행본). https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final

이 글은 위 원 분석들을 우리 관점에서 다시 쓰고 논평을 더한 것입니다. 특정 문장·코드를 그대로 옮기지 않았으며, 자세한 내용은 원문을 참고하세요.