사이버 위협 인텔리전스(CTI) — 데이터에서 조치 가능한 의사결정으로

 

 

 

들어가며

보안 직군에서 모집 공고나 JD에서 CTI 관련 직무를 수행한다는 내용을 볼 수 있습니다. 어떤 직군이고, 무슨 업무를 하는 건지 정리해 보았습니다.

사이버 위협 인텔리전스(Cyber Threat Intelligence, CTI)는 보안 제품에서 쏟아지는 이벤트를 더 많이 모으는 일이 아닙니다. 우리 조직에 어떤 위협이 의미가 있는지 판단하고, 탐지·대응·투자 우선순위로 연결할 수 있는 정보를 만드는 과정입니다.

이 글은 Abdul-hakeem A.의 A Beginner’s Guide to Cyber Threat Intelligence를 바탕으로 CTI의 핵심 개념과 보고서 작성 흐름을 요약·번역한 내용입니다. 원문은 2026년 10월 4일 공개됐습니다.

 

 

 

 

핵심은 간단합니다. 데이터가 많다고 인텔리전스가 되는 것은 아닙니다. 맥락과 분석, 그리고 실행할 수 있는 권고가 더해져야 합니다.

 

 

 

 

 

CTI란 무엇인가

CTI는 사이버 위협에 관한 정보를 수집하고, 분석하고, 공유해 보안 의사결정을 돕는 활동입니다. 악성코드나 취약점이 “존재한다”는 사실만 알려주는 데서 그치지 않습니다. 다음과 같은 질문에 답하는 방향으로 정보를 정리합니다.

• 누가 어떤 목적과 역량으로 공격하고 있는가
• 어떤 전술·기술·절차(Tactics, Techniques, and Procedures, TTPs)를 쓰는가
• 우리 환경의 어떤 자산이 실제로 영향을 받는가
• 보안관제센터(Security Operations Center, SOC)는 무엇을 탐지해야 하는가
• 지금 패치, 차단, 헌팅 중 무엇을 먼저 해야 하는가

원문은 이를 스포츠 팀의 전력 분석에 비유합니다. 경기 전에 상대 팀의 주력 전술과 핵심 선수, 약점을 분석해 감독에게 전달하듯, CTI도 공격자와 캠페인의 특성을 파악해 방어팀이 준비하도록 돕습니다.

 

그림 1. 데이터 자체가 아니라, 조직의 질문에 답하고 조치로 이어지는 정보를 의미하는 사이버 위협 인텔리전스(CTI)

 

데이터와 인텔리전스는 다릅니다

IP 주소, 도메인, 파일 해시, 취약점 식별자(CVE) 같은 값은 유용하지만, 그 자체로는 원시 데이터(raw data) 입니다. 예를 들어 10.150.15[.]3이라는 IP만으로는 차단 우선순위를 정하기 어렵습니다.

반대로 인텔리전스는 이 데이터에 출처, 신뢰도, 공격자·캠페인 맥락, 우리 조직과의 관련성, 권고 조치를 결합한 결과입니다. 즉, “알려진 공격 그룹이 특정 인증 취약점을 이용해 의료기관을 겨냥하고 있으며, 우리 인터넷 노출 시스템에도 해당 조건이 존재한다”처럼 의사결정에 바로 쓸 수 있어야 합니다.

 

 

 

구분	예시	보안팀에 주는 가치
데이터	IP, 도메인, 해시, CVE 번호	검색·상관분석의 재료
인텔리전스	출처 검증, 공격 맥락, 영향 자산, 탐지·대응 권고	우선순위와 실제 조치 결정

실무에서는 지표(IOC)를 많이 넣는 것보다, 왜 이 지표를 봐야 하는지와 어느 시스템에서 확인할지를 함께 제공하는 편이 훨씬 중요합니다.

 

 

CTI 분석가는 무엇을 하는가

원문은 CTI 업무를 수집·분석·배포·운영 지원의 흐름으로 정리합니다.[1]

 

 

 

 

1. 수집과 모니터링

분석가는 내부 로그, 엔드포인트 탐지 및 대응(Endpoint Detection and Response, EDR) 경보, 보안 정보 및 이벤트 관리(Security Information and Event Management, SIEM) 로그, 취약점 스캔 결과, 상용 피드, 공개 정보(OSINT), 정부 경보 등에서 재료를 모읍니다.[1]

이 단계에서 중요한 것은 “많이 수집하기”보다 인텔리전스 요구사항(Intelligence Requirements) 을 먼저 정하는 것입니다. 예를 들어 랜섬웨어가 걱정된다면 모든 다크웹 언급을 모으기보다, 인터넷 노출 원격접속 장비·백업 계정·초기 침투에 쓰이는 TTP와 관련 IOC를 우선 수집해야 합니다.

 

 

 

2. 분석과 위협 모델링

수집한 정보를 MITRE ATT&CK 같은 프레임워크에 매핑하면, 공격자가 초기 침투 후 어떤 방식으로 권한을 높이고 내부로 이동하며 데이터를 유출하는지 구조적으로 볼 수 있습니다.[1] 개별 이벤트를 캠페인 단위로 묶고, 새 CVE가 공개됐을 때 우리 조직에 실제 위험이 있는지도 평가합니다.

다만 ATT&CK 매핑 자체가 결론은 아닙니다. 해당 TTP가 우리 로그에서 관찰 가능한지, 탐지 규칙이 있는지, 우회 가능성은 무엇인지까지 연결해야 방어 가치가 생깁니다.

 

 

 

3. 배포와 보고

같은 분석 결과도 독자에 따라 형식이 달라져야 합니다.

• 경영진용 전략 보고: 산업별 위협 변화, 사업 영향, 필요한 투자와 의사결정을 짧고 명확하게 설명합니다.
• SOC·보안운영용 전술 경보: IOC, 탐지 쿼리, 영향 범위, 즉시 수행할 조치와 담당자를 구체적으로 제공합니다.
• 위협 헌팅용 가설: “공격 그룹 X가 이 방식으로 클라우드 데이터베이스를 노린다”처럼 검증 가능한 가설을 제시합니다.

 

 

 

 

4. 운영 지원과 피드백

고신뢰도(high-fidelity) IOC는 방화벽, SIEM, EDR 등 방어 도구에 반영해 자동 차단·탐지를 도울 수 있습니다. 침해사고가 진행 중일 때는 공격자의 인프라와 다음 행위를 추정해 대응팀을 지원합니다.[1]

하지만 자동화 전에 오탐 비용을 반드시 고려해야 합니다. 단순히 “악성으로 보고된 도메인”이라는 이유만으로 광범위하게 차단하면 정상 업무를 방해할 수 있습니다. 인텔리전스의 신뢰도, 관측 시점, 우리 조직과의 관련성을 기록하고 피드백으로 갱신해야 합니다.

 

 

 

CVE 기반 취약점 인텔리전스 보고서 작성법

CTI 보고서에는 하나의 고정된 양식이 있는 것이 아니라, 인텔리전스 질문과 독자에 맞는 구성이 필요합니다.[1] 원문의 CVE 예시를 실무적으로 재구성하면 다음 순서가 적절합니다.

 

 

1. 제목과 핵심 요약

제목만으로 대상과 위험을 알 수 있어야 합니다. 이어지는 요약에는 아래 항목을 먼저 담습니다.[1]

• 무엇이 공개됐는가
• 어떤 취약점이며 왜 중요한가
• 실제 악용 정황이 있는가
• 우리 조직의 영향 가능성은 무엇인가
• 즉시 필요한 조치는 무엇인가

경영진이나 서비스 담당자는 본문 전체를 읽지 않을 수 있습니다. 따라서 핵심 요약만 읽어도 “누가, 무엇을, 언제까지 해야 하는가”가 보이도록 작성해야 합니다.

 

 

 

2. 출처와 신뢰도

벤더 보안 권고문, CISA, CVE/NVD 레코드, 보안 연구자 분석, 내부 텔레메트리 등 출처를 명시합니다.[1] 특히 원문·벤더 권고문 같은 1차 출처와 2차 보도를 구분하는 습관이 중요합니다.

같은 CVE라도 공개 직후에는 영향 버전이나 악용 여부가 바뀔 수 있습니다. 그래서 출처 URL뿐 아니라 확인 시각과 근거의 상태를 함께 남겨야 합니다.

 

 

 

3. 분석과 영향 범위

기술 설명을 복사하는 대신 다음 질문에 답합니다.[1]

• 영향을 받는 제품·버전·운영 환경은 무엇인가
• 인증 또는 사용자 상호작용이 필요한가
• 인터넷 노출 자산에서 악용 가능한가
• 실제 악용 또는 연관 공격 그룹의 근거가 있는가
• 성공 시 조직에 어떤 결과가 생기는가

예를 들어 “원격 코드 실행(Remote Code Execution, RCE)이 가능하다”는 설명은 출발점입니다. 인터넷 노출 서버가 침해되면 초기 거점 확보, 자격 증명 탈취, 내부 이동, 민감 정보 접근으로 이어질 수 있다는 식으로 조직의 결과까지 번역해야 합니다.

 

 

 

4. CVE 요약 표

보고서의 핵심 사실은 표로 빠르게 찾을 수 있게 정리합니다. 아래 형식은 원문의 취지를 반영해 확장한 예시입니다.

항목	확인 내용
식별자	CVE-YYYY-NNNNN
제품·영향 버전	제품명, 영향 버전, 고정 버전
공격 조건	인증 필요 여부, 사용자 상호작용, 네트워크 노출 조건
악용 상태	공개 PoC, 실제 악용 근거, 확인일
조직 영향	영향 자산, 업무 중요도, 예상 피해
탐지 포인트	관련 로그, IOC, EDR/SIEM 탐지 가설
조치	패치, 완화책, 헌팅·조사, 담당자와 기한

 

 

 

5. 조치 권고

원문은 단순히 “패치하라”는 말보다, 조직이 위험을 줄이는 방법을 설명해야 한다고 강조합니다.[1] 실무 체크리스트는 다음과 같습니다.

1. 영향 제품과 취약 버전이 실제 자산에 있는지 확인합니다.
2. 인터넷 노출 또는 업무 핵심 자산을 우선순위로 분류합니다.
3. 벤더 보안 업데이트를 적용하고, 즉시 패치가 어렵다면 보완 통제를 검토합니다.
4. 악용 시도와 이상 행위를 관찰할 로그·IOC·탐지 규칙을 배포합니다.
5. 의심스러운 활동은 헌팅·사고대응 절차로 조사합니다.
6. 조치 상태, 예외 사유, 잔여 위험을 문서화합니다.

 

 

 

 

CTI를 시작할 때의 최소 단위

처음부터 대규모 플랫폼이나 모든 상용 피드를 도입할 필요는 없습니다. 필자는 다음처럼 작은 반복 루프로 시작하는 편이 현실적이라고 생각합니다.

1. 질문 하나를 정합니다. 예: “이번 주 우리 인터넷 노출 자산에 즉시 조치가 필요한 취약점은 무엇인가?”
2. 확인할 자산과 책임자를 연결합니다. 자산 목록, 서비스 오너, 외부 노출 여부가 없으면 인텔리전스도 조치로 끝나기 어렵습니다.
3. 신뢰 가능한 출처를 우선 사용합니다. 벤더 권고문과 내부 로그를 중심에 두고, 2차 정보는 교차 확인합니다.
4. 한 장짜리 보고서로 배포합니다. 영향·근거·조치·기한·담당자를 분리해 적습니다.
5. 결과를 되돌려받습니다. 패치 가능 여부, 오탐, 탐지 결과를 다음 분석의 입력으로 사용합니다.

이 반복이 쌓이면 CTI는 “뉴스를 읽는 일”에서 벗어나 취약점 관리, 보안관제, 위협 헌팅, 사고대응을 연결하는 운영 기능이 됩니다.

 

 

 

마치며

CTI의 목적은 모든 공격을 예측하는 것이 아닙니다. 우리 조직에 중요한 위협을 이해하고, 준비·우선순위·대응을 더 잘하게 만드는 것입니다.

IOC, TTP, CVE, CVSS, OSINT, SIEM, EDR 같은 용어를 외우는 것보다 먼저 “이 정보가 보안팀의 어떤 판단을 더 낫게 만드는가?”를 물어보면 좋겠습니다. 그 질문이 데이터와 인텔리전스의 차이를 가장 분명하게 보여줍니다.

 

 

 

Sources

[1] https://medium.com/@hakeem.adegbola/a-beginners-guide-to-cyber-threat-intelligence-0e4be1d97a80 — A Beginner’s Guide to Cyber Threat Intelligence