A.5.7
위협 인텔리전스
조직적 통제확인사항 5증적 5사례 5
통제 목적
위협 인텔리전스는 조직을 겨냥할 수 있는 정보보안 위협에 대한 정보를 수집, 분석, 활용하여 위협 환경을 이해하고 선제적으로 대응하기 위한 통제입니다. 공격자의 전술/기법/절차(TTP), 표적, 동기, 악용 취약점, 침해지표(IOC) 등에 대한 최신 정보를 확보하고 이를 위험평가, 탐지/차단 규칙, 보호대책 우선순위에 반영하도록 요구합니다. 새롭게 부상하는 위협을 인지하고 대응하는 데 걸리는 시간을 단축하고, 방어를 위협 실태에 맞추어 지속적으로 조정하는 것이 목적입니다.
주요 확인사항
- 조직과 관련성이 높은 위협 정보를 수집할 내부/외부 출처와 수집 절차가 정의되어 있는가?
- 수집한 위협 정보를 전략/전술/운영 수준으로 분석하고, 출처 신뢰성 및 조직 관련성을 평가하는가?
- 분석 결과가 위험평가, 탐지 규칙, 차단 정책, 취약점 조치 우선순위 등 실제 보호대책에 반영되는가?
- 위협 정보가 사고대응/모니터링 등 관련 부서 및 이해관계자에게 적시에 공유되는가?
- 위협 인텔리전스 활동의 역할/책임이 지정되고, 효과성이 주기적으로 검토/개선되는가?
이행 지침
- 내부 출처(로그, 사고 이력, 취약점 점검 결과)와 외부 출처(CERT/침해대응기관, 산업별 정보공유체계, 보안 벤더, 오픈소스 피드 등)를 식별하고 목적에 맞게 선정합니다.
- 위협 정보를 전략(장기 위협 동향), 전술(공격자 TTP), 운영(IOC 등 즉시 활용 가능한 지표) 수준으로 구분하여 분석합니다.
- 수집 정보의 출처 신뢰성, 시의성, 조직 관련성을 평가하여 오탐/노이즈를 걸러내고 우선순위를 부여합니다.
- 분석 결과를 SIEM/IPS/방화벽 등 탐지/차단 규칙, 위험평가 갱신, 취약점 조치 우선순위에 반영하여 실질적 방어로 연결합니다.
- 위협 정보를 표준 형식 및 교환 규격(예: STIX, TAXII)에 맞추어 정리하고 신뢰 기반 공유체계에 참여하여 정보의 양방향 활용을 도모합니다.
- 위협 인텔리전스 프로세스의 역할/책임을 지정하고, 산출물 활용 및 피드백 절차를 문서화하여 특정 개인 역량에만 의존하지 않도록 합니다.
증적자료
- 위협 인텔리전스 수집/분석 절차서 및 역할/책임 정의 문서
- 위협 정보 출처 목록 및 구독/계약/공유체계 참여 현황
- 주기적으로 산출되는 위협 인텔리전스 리포트(전략/전술/운영 수준)
- 위협 정보 반영 내역(탐지 규칙 변경 이력, 차단 IOC 목록, 위험평가 갱신 기록)
- 위협 정보 공유 기록(내부 배포 이력, 외부 공유체계 송수신 이력)
부적합 사례
- 위협 정보를 수집만 하고 분석/활용 절차가 없어 보호대책이나 탐지 규칙에 전혀 반영되지 않는 경우
- 위협 정보 수집/분석이 특정 담당자 개인 역량에만 의존하고 출처/절차가 문서화되지 않아 재현성이 없는 경우
- 외부 위협 피드를 구독하나 조직 관련성/신뢰성 평가 없이 그대로 반영하여 대량 오탐이 발생하는 경우
- 활발히 악용되는 신규 취약점 정보를 입수하고도 취약점 조치 우선순위에 반영하지 않는 경우
- 위협 인텔리전스 결과가 사고대응/모니터링 부서와 공유되지 않아 실제 탐지/대응에 활용되지 못하는 경우