콘텐츠로 이동

공격 기법

MITRE ATT&CK에 매핑한 공격 기법들로, 모든 페이지가 같은 구성으로 작성되어 있습니다: 공격 원리 → 공격자 명령 → 영향받는 Windows 버전 → 남는 흔적(호스트 + 네트워크) → 탐지(Splunk/Zeek) → 대응 및 Windows 버전별 대응책. 모든 페이지는 바탕이 되는 아티팩트와 쿼리가 있는 Windows, 네트워크, Splunk 섹션으로 다시 연결됩니다.

여러 버전이 섞인 환경이라면 여기서 시작하세요

Windows 버전별 강화가 교차 참조 페이지입니다: XP / 2003부터 11 / Server 2025까지의 모든 통제를 하나의 매트릭스에 담았고, 기법 → 통제 맵도 있습니다.

ATT&CK 전술별

전술 기법 ATT&CK 페이지
초기 접근 / 실행 피싱 → 사용자 실행 (매크로, LNK, ISO, 크래들) T1566, T1204 피싱 전달
실행 / 방어 회피 PowerShell 다운로드 크래들과 인코딩된 명령 T1059.001 PowerShell 크래들
실행 / 방어 회피 서명된 바이너리 프록시 실행 (mshta, regsvr32, certutil…) T1218, T1105 LOLBins
자격 증명 접근 LSASS 메모리 덤프 T1003.001 LSASS 덤프
자격 증명 접근 SAM, LSA Secrets, NTDS.dit 추출 T1003.002/.003/.004 SAM과 NTDS
자격 증명 접근 DCSync T1003.006 DCSync
자격 증명 접근 Kerberoasting T1558.003 Kerberoasting
자격 증명 접근 AS-REP roasting T1558.004 AS-REP roasting
자격 증명 접근 / 지속성 Golden, Silver 티켓과 Pass-the-Ticket T1558.001/.002, T1550.003 Golden과 Silver 티켓
자격 증명 접근 / 횡적 이동 LLMNR/NBT-NS 포이즈닝, NTLM 릴레이, 강제 인증(coercion) T1557.001, T1187 LLMNR과 NTLM 릴레이
자격 증명 접근 / 권한 상승 AD 인증서 서비스 악용 (ESC1/ESC8) T1649 ADCS 악용
횡적 이동 / 방어 회피 Pass-the-Hash T1550.002 Pass-the-Hash
횡적 이동 / 실행 PsExec와 SMB 관리 공유 T1021.002, T1569.002 PsExec와 SMB
횡적 이동 / 실행 WMI와 WinRM 원격 실행 T1047, T1021.006 WMI와 WinRM
초기 접근 / 횡적 이동 RDP 무차별 대입, 횡적 RDP, 세션 하이재킹 T1021.001, T1133, T1563.002 RDP
권한 상승 UAC 우회 T1548.002 UAC 우회
권한 상승 토큰 가장과 Potato 공격 T1134 토큰과 Potato
방어 회피 / 권한 상승 프로세스 인젝션과 할로잉 T1055 프로세스 인젝션
방어 회피 AV/EDR/로깅 무력화, BYOVD, 로그 삭제 T1562, T1070.001 방어 무력화
지속성 서비스, 예약 작업, Run 키 T1543.003, T1053.005, T1547.001 지속성
횡적 이동 (익스플로잇) EternalBlue / SMBv1 (MS17-010) T1210 EternalBlue
권한 상승 / 횡적 이동 (익스플로잇) PrintNightmare와 Print Spooler T1068, T1210 PrintNightmare

이 섹션의 페이지로 본 전형적인 침해 흐름

flowchart LR
    P[Phishing delivery] --> PS[PowerShell / LOLBins]
    EXT[Exposed RDP] --> H
    PS --> BEA[Beacon / C2<br/>process injection]
    BEA --> H[Foothold]
    H --> ESC[UAC bypass / Potato]
    ESC --> EV[Impair defenses]
    EV --> L[LSASS / SAM dumping]
    H -.no creds.-> REL[LLMNR / NTLM relay]
    H --> K[Kerberoast / AS-REP roast]
    REL --> ADCS[ADCS abuse]
    L --> PTH[Pass-the-Hash]
    PTH --> LM[PsExec / WMI / WinRM / RDP]
    K --> LM
    LM --> PER[Persistence]
    ADCS --> DOM[DCSync]
    LM --> DOM
    DOM --> GT[Golden ticket]
    GT --> OBJ[Objective / ransomware]
    PER -.-> BEA

왼쪽에서 오른쪽으로 읽으세요: 미끼나 노출된 RDP로 거점을 얻고, 공격자가 권한을 올리고 센서를 무력화한 뒤, 자격증명을 훔치고(메모리, 디스크, Kerberos, 또는 네트워크에서), 횡적으로 이동해, DCSync로 DC에 도달하고, 지속성을 위해 티켓을 위조합니다. 각 상자는 하나의 페이지이고, 각 화살표는 탐지하고 봉쇄할 수 있는 지점입니다.

페이지

조사에서 이 페이지들을 쓰는 방법

관찰한 것(의심스러운 프로세스, 알림, 비컨)에서 출발해 해당 페이지의 흔적 표를 읽고 무엇을 더 수집할지 파악한 다음, 탐지 쿼리를 실행해 얼마나 퍼졌는지 범위를 정하세요. 대응 섹션은 무엇을 봉쇄하고 교체할지 알려 주고, Windows 버전별 대응책 표는 영향받는 호스트에 실제로 어떤 조치를 적용할 수 있는지 알려 줍니다. 바탕이 되는 원리 — 특정 이벤트 ID의 의미, 아티팩트를 파싱하는 방법, 정확한 SPL 명령 — 는 Windows, 네트워크, Splunk로 이어지는 링크를 따라가세요.

기법 추가하기

python new.py adversary/<name> -t technique — 템플릿에 이미 다섯 부분 구조가 들어 있습니다. 위 페이지들과 맞추려면 영향받는 Windows 버전 섹션과 Windows 버전별 대응책 표를 추가하고, 버전별 강화에 행을 하나 추가하세요. 사이드바에는 자동으로 나타납니다.