APT 입문: '지능형 지속 위협'이라는 이름을 언제 붙일 수 있나

한 문장으로 이해하기

APT는 한국어로 ‘지능형 지속 위협’이라고 부릅니다. 출처 설명을 쉬운 말로 바꾸면, 노릴 상대를 미리 정해 두고 오랜 기간 들키지 않게 접근하면서 정보를 빼내거나 시스템을 흔들려는 공격입니다(c1).

이 강좌는 하나의 가상 예시를 끝까지 함께 봅니다. 가상의 연구기관 ‘한빛연구원’이 있고, 어느 공격자가 이곳의 연구 자료를 노린다고 가정합니다. 실제 사건이 아닙니다.

여기서 중요한 점은 이름이 곧 살펴볼 항목이라는 사실입니다. 어떤 사고를 APT라고 부르려면 표적이 정해져 있었는지, 기간이 길었는지, 은밀했는지를 확인해야 합니다.

왜 필요한가

보안 사고를 모두 ‘해킹’이라는 한 단어로 묶으면 서로 다른 상황이 같아 보입니다. 짧게 끝난 침입과 오래 이어진 침입은 살펴볼 지점이 다릅니다.

APT라는 말은 이 가운데 ‘정해진 상대’, ‘긴 시간’, ‘드러나지 않음’이라는 특징을 묶어 가리킵니다. 그래서 이 용어는 사고를 설명할 때 쓰이지만, 함부로 쓰면 사실보다 앞선 설명이 되기 쉽습니다.

인접 개념으로 인공지능 기반 지속 위협(AiPT)이 있습니다(c2). 출처는 AiPT를 인공지능(AI) 기반 프로그램과 도구를 활용해 보안상 약점 이용이나 내부 침투·잠복 등을 자동화하는 공격 유형으로 설명합니다(c2). 보안상 약점은 공격에 이용될 수 있는 허점을 말합니다. 반면 APT라는 설명만으로는 그 공격이 AI를 썼는지까지 알 수 없습니다.

어떻게 이루어지는가

아래 세 가지는 이해를 돕기 위한 단순화이며, 모든 APT가 이 순서를 따른다는 뜻은 아닙니다. 출처의 APT 정의에 담긴 요소만 나눠 적고, 앞서 소개한 한빛연구원 예시로 각각을 설명합니다(c1).

1. 대상 정하기: 공격자는 노릴 상대를 미리 정합니다. 예시에서는 한빛연구원이 그 상대입니다.
2. 오래, 들키지 않게 접근하기: 짧게 끝내지 않고 긴 기간 드러나지 않게 움직입니다. 예시에서는 공격자가 여러 달에 걸쳐 조금씩만 접속합니다.
3. 목적: 정보를 빼내거나 시스템을 흔드는 것이 목표입니다. 예시의 목표는 연구 자료입니다. 다만 목표가 있다는 말이 모든 공격이 목표를 이룬다는 뜻은 아닙니다.

하나의 예시로 따라가기

앞의 가상 예시를 한 장면으로 모아 봅니다. 공격자는 한빛연구원의 연구 자료를 목표로 삼고, 여러 달에 걸쳐 소량의 접속만 반복해 기록에 눈에 띄지 않게 남겼다고 가정합니다. 그 사이 기관은 특별한 이상을 느끼지 못했고, 뒤늦은 점검에서 긴 기간의 흔적이 발견됐다고 하겠습니다.

세 특징에 맞춰 보면 표적은 ‘한빛연구원’이라는 특정 기관입니다. 장기성은 ‘여러 달에 걸친 반복 접속’입니다. 은밀함은 ‘기관이 그 기간 내내 알아차리지 못했다’는 부분입니다. 목적은 연구 자료라는 정보의 탈취입니다.

이 가상 설정은 APT의 주요 특징을 설명하기 위한 것입니다. 반대로 같은 가상 기관에서 하루 만에 발각된 단발 침입이 있었다면, 장기성과 은밀함을 확인할 수 없어 판단을 보류해야 합니다.

언제 쓰고 언제 쓰지 않는가

APT는 공격 유형을 설명하는 용어입니다. 특정 대상을 오래 은밀하게 노렸다는 특징이 확인되는지 살펴보고, 공개 정보가 부족하면 판단을 보류합니다.

관리가 허술했다는 사실이나 보안상 약점이 있었다는 사실만으로는 APT 여부를 정할 수 없습니다. 같은 업권에서 비슷한 시기에 사고가 여러 건 났다는 점도 그 자체로는 장기·표적 공격의 근거가 되지 않습니다.

실제 사례에서는 정보의 한계가 드러납니다. BNK부산은행은 내부 모바일 영업지원시스템 공격으로 외주 개발직원 11명의 개인정보가 일시적으로 회사 웹페이지에 노출됐다고 밝혔습니다(c8). 이 공개 내용만으로는 공격이 긴 기간 이어졌는지, 은밀하게 진행됐는지를 확인할 수 없습니다. 그래서 이 사고를 APT라고 부를 근거는 아직 충분하지 않습니다.

핵심 정리와 확인문제

APT는 특정 대상을 오래 은밀하게 노리는 공격이고, 어떤 사고에 그 이름을 붙이려면 그 특징이 확인돼야 합니다. 한빛연구원 가상 예시처럼 표적·장기성·은밀함이 또렷한 설정은 개념을 익히는 데 쓰이지만, 이 강좌에 제시된 BNK부산은행 보도 내용만으로는 장기성과 은밀함을 확인할 수 없습니다(c8).

문제 1. 출처의 APT 설명에 포함되는 특징을 고르세요. ① 정해진 대상 ② 짧고 요란한 침입 ③ 공격 도구가 반드시 인공지능(AI)이다

정답 ①. 해설: 출처는 APT를 특정 대상을 겨냥해 오래 은밀히 접근하는 공격으로 설명합니다(c1). 짧고 요란한 침입은 반대 성격이고, APT라는 설명만으로 AI 사용 여부까지 알 수는 없습니다.

문제 2. 위 가상 예시에서 ‘장기성’에 해당하는 설정은 무엇입니까? ① 연구 자료를 목표로 삼음 ② 여러 달에 걸친 반복 접속 ③ 기관이 알아차리지 못함

정답 ②. 해설: ①은 목적, ③은 은밀함에 해당합니다. 기간의 길이를 보여 주는 설정은 ②입니다.

문제 3. ‘같은 시기에 여러 은행이 공격받았다’는 정보만으로 APT라고 확정할 수 있습니까? ① 확정할 수 있다 ② 확정할 수 없다

정답 ②. 해설: 같은 업권과 시기라는 사실은 표적성이나 장기성을 보여 주지 않습니다. BNK부산은행 공개 내용도 노출 사실에 관한 것이어서 기간과 은밀함을 알려 주지 않습니다(c8).

참고자료

• APT 입문 참고자료
• APT 입문 참고자료
• APT 입문 참고자료