도전 과제
랜섬웨어는 스스로 존재를 드러내지 않습니다. 단 몇 분 만에 수평 이동을 하고, 권한을 상승시키며, 파일 시스템을 파악하고, 데이터를 추출한 뒤 모든 것을 잠그고 맙니다. 대부분의 보안 도구는 피해가 발생한 후에야 비로소 경보를 울립니다. 그때쯤이면 공격자는 이미 사용자의 파일을 인질로 잡고 있는 상태입니다.
확인된 모든 데이터 유출 사건 중 44%가 랜섬웨어와 관련이 있습니다.
개의 새로운 고유 악성코드 위협이 매일 탐지됩니다.
2026년에는 랜섬웨어 관련 피해액이 이 정도에 달할 것으로 전망되었다.
AI가 생성한 미끼와 관련해 피싱 클릭률이 더 높은 것으로 나타났습니다.
해결책
NetWitness가 도입한 변화는 바로 이것입니다. 시그니처 일치 여부를 기다리는 대신, 암호화 단계 이전에 나타나는 행동 패턴을 감시합니다. 이를 네트워크 전반에 걸친 가시성과 결합하면, 랜섬웨어가 이미 피해를 입힌 후가 아니라 정찰 및 측면 이동 단계에서 이를 탐지할 수 있습니다. 바로 그 시점이야말로 아직 대응 조치를 취할 수 있는 기회입니다.
기존 시그니처는 여전히 중요하며, NetWitness는 이를 탐지합니다. 하지만 NetWitness는 시그니처가 놓치는 부분, 즉 비정상적인 파일 액세스 패턴, 메모리 주입, C2 콜백, 비정상적인 동작을 보이는 프로세스 등도 감시합니다. 일반적인 악성코드는 물론, 시그니처 기반 탐지 도구를 우회하기 위해 특별히 제작된 표적형 악성코드도 탐지됩니다.
데이터가 암호화되기 전에, 공격자들은 네트워크를 정찰하는 데 시간을 할애합니다. 이러한 정찰 단계에서는 흔적이 남게 되는데, 여기에는 인증 정보 유출, 권한 상승 시도, 정상적인 프로세스보다 훨씬 빠른 속도로 파일 시스템을 스캔하는 행위 등이 포함됩니다. NetWitness는 이러한 활동이 진행 중인 시점에 이를 포착합니다. 즉, 이미 암호화 작업을 진행 중인 공격자가 아니라, 아직 계획 단계에 있는 공격자를 차단할 수 있습니다.
공격자들은 C2 통신을 암호화된 채널 안에 숨기는데, 이는 효과가 있기 때문입니다. 하지만 NetWitness는 이를 탐지하기 위해 별도로 암호화를 해독할 필요가 없습니다. 트래픽 패턴, 연결 행동, 메타데이터 등은 암호화가 시작되기 훨씬 전에 공격자의 인프라를 드러내 주기 때문입니다.
랜섬웨어는 한 계층에만 국한되지 않습니다. 네트워크와 엔드포인트 모두에 영향을 미치기 때문에, NetWitness는 네트워크 활동, 엔드포인트 텔레메트리 및 로그를 하나의 타임라인으로 통합합니다. 초기 침투, 측면 이동, 권한 상승, 암호화 전 단계까지: 이를 서로 연결되지 않은 수많은 경고가 아닌 하나의 캠페인으로 파악할 수 있습니다.
암호화가 이루어지기 전에 악성코드와 랜섬웨어를 탐지하는 데 기반이 되는 아키텍처:
네트워크, 엔드포인트 및 로그에서 지속적으로 유입되는 전체 패킷 캡처와 행동 데이터를 수집합니다.
머신 러닝은 비정상적인 활동을 감지합니다: 측면 이동, 암호화 활동 시작, 허용되지 않은 곳으로 전송되는 데이터, 정찰 전술 등입니다.
네트워크 활동은 엔드포인트 이벤트 및 로그와 대조하여 확인됩니다. 이를 통해 단순한 잡음이 아닌, 실제로 조직적으로 이루어진 공격인지 확인할 수 있습니다.
경고가 발령될 때, 침해된 사용자 ID, 영향을 받은 시스템, 네트워크 연결 정보, 그리고 그 배경이 되는 행동 맥락 등 관련 증거가 이미 첨부된 상태로 제공됩니다.
분석가들은 처음부터 시작하지 않습니다. 그들은 공격 경로를 재구성하고, 감염된 시스템을 찾아내며, 수평 이동을 차단하고, 침해된 부분을 즉시 격리할 수 있습니다.
NetWitness의 강점
직관적인 포렌식 도구를 통해 평균 조사 소요 시간을 단축하십시오.
엔드포인트 및 로그 기반 탐지를 회피하는 위협을 파악하십시오.
규정 및 감사에 대비한 포렌식 대응 역량 지원
사전 예방적 탐지를 통해 체류 시간을 단축하고 데이터 손실을 방지합니다.
