콘텐츠로 이동

도메인 신호 — TLD·평판·나이·무작위성·ASN·위치

이 페이지에서 다루는 것

도메인 이름과 응답 IP만으로 위험도를 가늠하는 신호들: TLD와 Public Suffix List, 도메인 평판의 함정, 도메인 나이와 '우리에게 새로운 도메인', DGA와 무작위성, ASN과 위치 정보, 인기 순위(Rank).

표기

[보충] = 꼭 알아야 할 실무 보충, [정정] = 흔히 잘못 알려진 내용 정정, [변경됨]/[주의] = 최근 바뀐 점과 옛 방식대로 하면 위험한 점. 전체 흐름은 DNS 개요에서, 기록 한 줄을 판별하는 순서는 판별표에서 볼 수 있습니다.

TLD와 도메인 평판

TLD와 평판은 도메인 이름만으로 위험도를 가늠하는 약한 신호입니다. 나쁘다는 평가는 꽤 믿을 만하지만, 좋다는 평가는 안전을 보장하지 않습니다.

TLD

  • TLD = 맨 오른쪽 덩어리. 일반(.com), 국가(.au, .tk), 신규 일반(.top, .xyz, .zip 등 1,000개 이상)
  • 공격자가 특정 TLD를 좋아하는 이유: 공짜·저가, 원하는 이름이 남아 있음, 유사 도메인 만들기 쉬움, 신고 처리가 느슨함
  • 할 일: 악성 비율이 높고 업무에 안 쓰는 TLD는 차단/경보, TLD를 별도 칸으로 쪼개 분포를 관찰(평소 대비 튀는 TLD)
  • [보충] 쪼갤 때는 Public Suffix List 기준. 단순히 맨 오른쪽만 자르면 www.example.com.au가 com.au 한 덩어리로 뭉침
  • [보충] 도메인 주인은 오른쪽부터, 공용 접미사 바로 앞 덩어리까지 읽어 판단. 예: login.microsoftonline.com.account-review.top → TLD .top, 등록 도메인 account-review.top, 앞부분은 공격자가 붙인 장식. Microsoft 로그인(microsoftonline.com)과 무관

도메인 평판

  • 분류(무엇을 하는 곳인가) + 평판(얼마나 위험한가)
  • DNS뿐 아니라 프록시·메일 등 도메인이 나오는 모든 기록을 자동으로 대조
  • 할 일: 악성·중간 위험 이상 차단 / 분류 안 됨(Uncategorized)은 차단 또는 경고 화면(splash page, 사용자가 잠깐 멈추게) / 위험·미분류 사이트를 자주 가는 PC 관찰 / 맹신 금지
평판 결과 의미
악성 믿을 만함. 빠른 판정(quick win)
안전 보장 아님. 다른 신호와 함께 판단
없음/미분류 그 자체가 약한 의심 신호(신규 또는 거의 방문 없음)

평판이 좋아도 피싱일 수 있는 경우:

  • 안전하게 분류받은 뒤 내용을 악성으로 교체(flip)
  • 해킹당한 정상 사이트(오래된 식당 홈페이지 속 피싱 페이지)
  • 평판 좋은 플랫폼 악용(SharePoint, Google Drive, pages.dev, netlify.app 등) — 도메인 평판과 URL 평판은 다름
  • 만료된 평판 좋은 도메인을 재등록해 과거 평판을 물려받음
  • 클로킹: 보안 수집기에는 정상 페이지, 표적에게만 피싱 페이지를 보여줌

한 줄로: 나쁜 평판은 증거지만, 좋은 평판은 증거가 아니다. 공격자는 좋은 평판을 얻고(바꿔치기), 훔치고(해킹), 빌리고(플랫폼), 사고(만료 도메인), 속여서(클로킹) 씁니다.

평판이 "안전"인데 피싱으로 신고됐을 때 확인할 것

  • URL 전체 확인: 도메인만 보지 말고 경로까지(평판 좋은 도메인 안의 /wp-content/... 같은 이상한 경로인가)
  • 안전하게 열어보기: 격리 환경이나 urlscan.io 비공개 모드. 클로킹 때문에 메일 링크 그대로 열어야 보일 수 있으나, 토큰에 직원 정보가 있으므로 공개 검사 금지
  • 도메인 정보: WHOIS상 최근 주인 변경, Passive DNS상 최근 IP 변경
  • 피해 확인: 링크를 누른 직원(프록시 기록), 비밀번호 입력 여부 → 입력했다면 즉시 비밀번호 초기화·세션 종료
  • 메일 자체: SPF/DKIM/DMARC, 보낸 사람. "메일로 낯선 로그인 링크가 왔다"는 맥락이 평판보다 강한 신호

보고서 표현: 확실한 것은 확실하게

도메인 구조로 판단되는 것은 추측이 아니라 사실입니다. login.microsoftonline.com.account-review.top은 "Microsoft가 아닐 가능성이 높다"가 아니라 "Microsoft 로그인 사이트(microsoftonline.com)가 아니다"라고 씁니다. 반대로 account-review.top의 주인이 누구인지는 WHOIS 확인 전까지 단정하지 않습니다. 아는 것과 모르는 것을 구분해서 쓰는 것이 보고서 신뢰도를 결정합니다.

2026년 관점

  • 예전에 악용이 많던 무료 TLD(.tk, .ml)는 Freenom이 2023년 신규 등록 중단 후 사실상 사라짐 → 공격자는 싼 신규 TLD(.top, .xyz, .shop 등, 순위는 최신 보고서 확인)로 이동
  • .zip·.mov(2023~)는 파일 확장자와 혼동되어 많은 조직이 통째로 차단
  • 무료 호스팅 플랫폼 주소가 "새로운 무료 TLD" 역할. 공용 접미사 기준으로 쪼개야 플랫폼 평판에 묻히지 않음
  • 예전에 많이 쓰던 평판 서비스 일부 변경: RiskIQ → Microsoft Defender Threat Intelligence, threatcrowd 운영 중단으로 알려짐, trustedsource는 Trellix/Skyhigh 분리로 변경(현재 주소는 확인 필요). 대안: urlscan.io, URLhaus
  • [주의] 평판 조회도 흔적을 남김. urlscan.io 공개 검사는 누구나 볼 수 있고, URL에 붙은 직원 이메일까지 공개될 수 있음
  • [보충] 지금은 평판 차단을 DNS 단계(Protective DNS)에서 주로 함. DoH로 우회되지 않도록 브라우저 정책이 전제

도메인 나이와 무작위성

새 도메인은 "악성 쪽으로 한 표"이고, 등록 도메인 자체가 무작위면 거의 항상 나쁩니다. 단 하위 이름은 정상 서비스도 무작위이므로 등록 도메인 기준으로 판단합니다.

도메인 나이

  • 공격자는 공격 직전에 도메인을 삼(미리 사두면 들킴, 어차피 금방 버림, 캠페인별 이름 필요)
  • 확인: whois example.com | grep -i creation → Creation Date: 1995-08-14.... WHOIS 조회는 공격자 서버에 닿지 않아 DNS 직접 조회보다 조용함
  • "새 도메인" 기준(7일/30일/90일)은 조직이 정함. 짧을수록 정확하지만 놓치는 게 많음
  • 우리에게 새로운 도메인: 인터넷엔 오래됐어도 우리 조직이 처음 가본 곳. 해킹당한 오래된 사이트까지 잡음. 단독 경보보다 다른 탐지의 보조 신호
  • 대량 처리는 자동화 필요(예: Mark Baggett의 domain_stats, 현재 관리 상태는 확인 필요)

무작위성과 길이

  • DGA: 악성코드가 날짜 등을 넣어 매일 수백 개 이름을 결정적으로 계산, 공격자는 그중 하나만 사둠. 하나 막아도 내일은 다른 이름 → 막기 어려움
  • 그러나 흔적이 큼: 무작위 등록 도메인 + NXDOMAIN 폭증
  • 무작위 판단 원리: 글자 쌍 빈도(freq.py), 엔트로피, 머신러닝
  • 하위 이름은 정상도 무작위(d1a2b3...cloudfront.net, r3---sn-...googlevideo.com) → 등록 도메인 기준으로 판단. 하위 이름이 비정상적으로 길고 무작위면 DNS 터널링 의심(뒤에서 다룸)
  • 긴 도메인은 의심. 예외: llanfairpwllgwyngyllgogerychwyrndrobwllllantysiliogogogoch.co.uk
예 순진한 무작위 탐지 실제 판단
d3k9x7qplm2v8.cloudfront.net 걸림(하위 이름) 등록 도메인 cloudfront.net → 무작위성으로는 정상. 단 공격자도 CloudFront를 쓰므로 "안전" 보장은 아님
xvqkplmzrtb.top 걸림 등록 도메인 자체가 무작위 + 저가 TLD → 의심. NXDOMAIN·나이·다른 PC 확인
xn--80ak6aa92e.com 걸림(Punycode) 무작위가 아니라 영어가 아닌 글자의 변환형. 풀면 키릴 문자로 "apple"처럼 보이는 유명한 유사 도메인 예 → 오히려 더 의심(IDN)

도메인 나이를 속이는 방법과 확인

WHOIS/RDAP는 현재 상태 한 장만 보여주며 "주인이 바뀐 날짜" 칸은 없습니다. 생성일이 오래됐다고 "오래 같은 주인"이라는 뜻은 아닙니다.

경로 생성일 단서
완전히 삭제된 뒤 새로 등록(drop catch) 새 날짜로 리셋 → 나이 신호가 작동 생성일이 최근
삭제 전 만료 도메인 경매로 구매 원래 날짜 유지 Updated Date 최근, 등록 업체·NS 변경
기존 주인에게서 구매·이전 원래 날짜 유지 Updated Date 최근, 등록 업체·NS 변경
미리 사서 묵히기(숙성) 오래됨 오랫동안 실사용 흔적 없음 → 최근 갑자기 활동
  • 주의: "만료된 도메인을 다시 사면 생성일이 원래 날짜로 남는다"는 반만 맞음. 완전히 삭제 후 재등록이면 리셋되고, 삭제 전 경매·직접 구매일 때만 유지됨
  • 추가 확인: Updated Date, 등록 업체(Registrar) 변경, NS 변경 이력(Passive DNS), A 레코드 공백 후 갑작스런 활동(Passive DNS), 과거 WHOIS 기록 서비스(대부분 유료, 2018년 이후 주인 정보는 가려져도 날짜·업체·NS는 유용), 인증서 첫 발급 시점(crt.sh), 웹 내용 변화(Wayback Machine)

2026년 관점

  • WHOIS → RDAP: 형식화된 결과(JSON). 제가 아는 한 ICANN이 2025년 초부터 일반 TLD에서 RDAP를 공식 기준으로 삼음. 주인 정보는 대부분 REDACTED FOR PRIVACY, 생성일은 대개 보임
  • "처음 관찰된 도메인(Newly Observed Domain)"이 보안 제품 기본 기능화
  • 사전 단어 DGA(summerhousetable.com)는 글자 조합 검사를 피함 → NXDOMAIN 폭증·나이·조회 패턴·ML과 겹쳐 봄
  • [주의] Punycode(xn--)는 무작위 탐지 오탐 원인이자 유사 도메인 공격 수단. 먼저 원래 글자로 풀어 확인

ASN과 위치 정보

IP 주소에 "어느 조직의 네트워크인가(ASN)"와 "어느 나라인가(위치)"를 덧붙입니다. 둘 다 혼자서는 약한 신호이고, 핵심 쓰임은 "주장과 출처가 맞는가"입니다.

ASN

  • AS = 한 조직이 독자 운영하는 네트워크, ASN = 그 번호(BGP에서 IP 덩어리를 광고하는 주체). 예: AS15169 Google, AS8075 Microsoft, AS16509 Amazon, AS13335 Cloudflare, AS1221 Telstra
  • 조회: whois -h whois.cymru.com " -v 8.8.8.8" → AS, BGP Prefix, 국가, 등록 기관, AS Name. 웹: bgp.he.net, ipinfo.io. 내려받은 DB(MaxMind 등)로 조회하면 외부 흔적 없음
  • 예: ChromeSetup.exe를 Google ASN에서 받으면 자연스럽고, 다른 ASN(예: 한때 Spamhaus 봇넷 목록 1위였던 AS4134)에서 받으면 가짜 설치 파일 의심
  • 규칙 아이디어: "위험 ASN 상위 10곳에서 실행 파일 다운로드" 경보
  • 한계: 공격자는 클라우드를 빌려 써서 ASN이 Amazon·Google·DigitalOcean으로 나옴 → 들어오는 공격엔 덜 유용, 추세는 볼 수 있음
  • [보충] ASN 종류가 이름보다 유용: 가정용 / 모바일 / 기업 / 호스팅. 사람 계정이 호스팅 ASN에서 로그인하면 수상
  • [주의] 브랜드는 CDN으로 배포하기도 함(예: 대형 소프트웨어 업체가 Akamai 등 사용). "ASN이 브랜드명이 아님"만으로 단정하지 말고, 그 브랜드가 쓰는 CDN인지 확인

위치 정보

  • 통째로는 쓸모가 적음: 웹은 원래 전 세계로 가고, CDN은 애니캐스트라 위치가 흐림 → 방향과 프로토콜로 쪼개서 사용
  • 들어오는 쪽: 직원 전용 서비스(VPN, 포털)를 지역 밖에서 막기. 출장·파견 예외 절차 필수
  • 나가는 쪽: 웹은 무시하고, SSH·FTP 등이 예상 밖 나라로 가면 관심
  • 혼자서는 규칙이 되기 어렵고, 이미 수상한 것에 "한 표 더"
  • 지도 차트는 기술 가치는 낮아도 경영진·예산 설득용 가치가 큼
  • ASN + 위치 = "미국의 데이터센터" vs "미국의 가정집"처럼 구체적인 그림
복습 Q&A
  • AdobeReader_Update.exe + adobe-update-center.top + 작은 해외 VPS ASN: 주장(Adobe)과 출처 둘 다 불일치. 등록 도메인 adobe-update-center.top은 Adobe가 아님(브랜드 이름을 넣은 유사 도메인), 저가 TLD, 나이·평판·우리에게 새로운 도메인 여부도 확인. 다음 행동: 실행 여부 확인(Sysmon Event ID 1 프로세스 생성, Event ID 11 파일 생성, Windows Security 4688 새 프로세스), 해시로 검색(업로드 금지), 실행됐으면 격리, 도메인 차단, 다른 PC 확인
  • "호주 밖 VPN 접속 전부 차단": 해외 IP에서 오는 무작위 대입 등 소음을 크게 줄임. 그러나 "해외의 모든 악의적 시도"를 막는 것은 아님 — 공격자는 호주 가정용 프록시, 호주 클라우드 리전, 호주 내 해킹된 서버로 우회. 그 밖의 한계: 출장·파견 직원 차단, 위치 DB 오류로 정상 사용자 차단, 거짓 안도감

2026년 관점

  • 가정용 프록시: 공격자가 원하는 나라·도시의 가정용 IP를 빌려 써서 위치·ASN 모두 정상으로 보임 → 피싱에 강한 MFA(보안 키, 패스키), 관리 기기 조건과 함께 써야 함
  • 클라우드 로그인 탐지의 핵심 신호: 불가능한 이동, 호스팅 ASN 로그인, 처음 보는 나라. 단 VPN 사용 시 오탐 잦음
  • 나쁜 ASN 순위는 시기마다 바뀜. 대형 통신사 ASN 전체 차단은 신중히, 조건을 좁힌 규칙으로
  • [주의] 위치는 추정. 나라 단위는 대체로 믿을 만하나 도시 단위는 참고만. 보고서엔 "IP가 ○○ 국가로 등록됨"
  • [보충] IP 위치 ≠ 공격자 위치. 마지막으로 거친 곳일 뿐이며, 공격 주체 판단(Attribution)은 별개 작업

도메인만으로 보는 신호 8가지 — 총정리

도메인 이름 하나만 잘 걸러내고 덧붙여도(보강) 악을 꽤 많이 잡을 수 있습니다. 많은 조직이 "가치 없고 양만 많다"는 오해로 DNS 기록을 안 모으는 것이 문제입니다.

신호 한 줄 요약
TLD .top 같은 악용 많은 TLD, IANA 목록 밖 TLD(블록체인)
평판(Reputation) 나쁜 평판은 증거, 좋은 평판은 안전 보증 아님
나이(Age) 새 도메인 + "우리에게 새로운" 도메인, RDAP
무작위성(Randomness) DGA. 퓨니코드·CDN 오탐 주의
길이(Length) 긴 하위 이름 = 터널링, 긴 등록 도메인 = 피싱
순위(Rank) [보충] 인기 도메인 목록(Tranco 등)에 없으면 더 보기. 목록에 있어도 안전 보증 아님
IP 평판 응답 IP의 ASN·가정용 프록시·공유 호스팅
IDN xn--, 문자 체계 섞임 + 브랜드 비교

순위(Rank) [보충]

  • 인기 도메인 순위 목록(Top Sites List): 거기 있으면 흔한 이름, 없으면 드문 이름
  • [변경됨] Alexa Top 1M은 2022년 5월 서비스 종료 → Tranco(여러 목록을 합쳐 조작을 어렵게 함), Cisco Umbrella Popularity List, Cloudflare Radar
  • SOC에서는 주로 걸러내기(점수 낮추기)에 씀
  • [주의] 순위가 높아도 안전하지 않음: 인기 플랫폼(drive.google.com, github.com, *.workers.dev)은 공격자의 단골 장소 → 하위 이름·URL 단위로 따로 봄. 순위 목록은 봇 조회로 조작될 수 있음

신호를 한 줄에 대 보는 순서 [보충]

ts=2026-10-19T02:14:07Z  id.orig_h=10.20.4.57  query=a8f3k2.x7qpz9wm.top  qtype_name=A  rcode_name=NOERROR  answers=185.199.xx.xx  TTLs=60
  1. TLD: .top → 점수 상승(단독 판단 금지)
  2. 등록 도메인·무작위성: Public Suffix List 기준 x7qpz9wm.top → 사람이 읽을 수 없는 이름 = DGA 모양
  3. 길이: 하위 이름이 수십 글자씩 길고 매번 바뀌면 터널링, 등록 도메인 자체가 길면 피싱
  4. 나이: RDAP 등록일, 그리고 "우리 회사에서 처음 봄" 여부
  5. 순위: 인기 목록에 없음
  6. 평판: 나쁜 평판은 증거, 아무것도 없으면 아직 신고 전일 수 있음
  7. IP 평판: 응답 IP의 ASN 종류, TTLs=60(CDN도 쓰지만 Fast Flux와도 맞음)
  8. IDN: xn-- 없음

신호는 "더 볼 이유"를 줄 뿐이고, 판단은 누가(어느 PC·프로세스)·그다음(실제 연결, 전송량, 반복 간격)을 붙인 뒤에 합니다.