대부분의 보안 팀에게 “위협 헌팅 (threat hunting)”이 무엇을 의미하는지 물어본다면, 여러분은 지표 (indicators), 시그니처 (signatures), 텔레메트리 (telemetry), 경고 (alerts)와 같이 전적으로 기술적인 명사들로 구성된 답변을 듣게 될 것입니다. 위협 행위자 (threat actor)가 누구를 신뢰할지 어떻게 결정하는지 물어본다면, 보통 방 안은 조용해집니다.

그 간극이 바로 인간 정보 (HUMINT)가 존재하는 곳이며, 사이버 위협 인텔리전스 (Cyber Threat Intelligence)에서 거의 아무도 솔직하게 이야기하지 않는 부분입니다. 왜냐하면 이것을 작동하게 만드는 대부분의 요소가 상세히 설명하기에는 위험한 요소들이기도 하기 때문입니다.

저는 그 간극의 내부에서 지하 디지털 생태계를 지켜보며 거의 20년을 보냈습니다. 무언가를 해킹한 것도 아닙니다. 할리우드 영화 같은 의미의 “잠입 (going undercover)”을 한 것도 아닙니다. 그저 저와 같은 사람들을 배제하기 위해 특별히 설계된 공간에서 신뢰할 수 있는 존재감을 구축하는, 느리고 화려하지 않은 작업을 수행했을 뿐입니다. 이것이 실제로 가르쳐 주는 것은 다음과 같습니다.

역사는 속일 수 없는 유일한 것입니다
지하 커뮤니티에 침투하는 것에 대한 가장 큰 오해는 이것이 기술적인 문제라는 것입니다. 즉, 적절한 도구, 적절한 작전 보안 (OPSEC), 적절한 위장 신분 (cover story)만 갖추면 들어갈 수 있다는 생각입니다. 그렇지 않습니다. 이것은 역사의 문제입니다.

기존의 포럼들은 연차에 보상을 주고 익명성에 벌을 주는 평판 시스템 (reputation systems)에 의해 운영됩니다. 왜냐하면 이러한 커뮤니티들은 이전에 너무 깨끗해 보이는 연구자, 기자, 법 집행 기관들에 의해 피해를 입은 적이 있기 때문입니다. PGP 키 이력이 없고, 검증 가능한 과거가 없으며, 축적된 사회적 흔적 (social debris)이 없는 완전히 새로운 신분은 즉시 플래그가 지정됩니다. 누군가 그것이 가짜임을 증명했기 때문이 아니라, 실제 신분은 그렇게 보이지 않기 때문입니다. 실제 사람들은 실수를 합니다. 그들은 일관적이지 않습니다. 그들은 진화합니다.

이것이 이 작업의 중심에 있는 역설입니다. 위장 (cover)이 더 세련될수록, 그것은 더 의심스러워집니다. 완벽하게 깨끗한 신분은 그 자체로 단서 (tell)가 됩니다. 목표는 결코 결점 없는 무언가를 만드는 것이 아니었습니다. 그것은 실제 사람이라면 저지를 법한 방식으로 실패하는 무언가를 만드는 것이었습니다.

황금률: 절대 접근하지 마라
오래 살아남는 운영자와 노출되어 버리는 운영자를 구분하는 단 하나의 규칙이 있다면, 그것은 바로 이것입니다. 여러분은 절대로 위협 행위자 (threat actor)에게 먼저 접근해서는 안 됩니다.

역설적으로 들릴 것입니다. 거의 모든 다른 전문적인 맥락에서는 주도성 (initiative)이 미덕입니다. 먼저 연락하고, 자신을 소개하고, 관심을 표현하는 것 말입니다. 하지만 지하 세계 (underground spaces)에서는 그러한 본능이 약 90초 만에 당신을 위험 인물로 낙인찍게 만듭니다. 이러한 커뮤니티는 설계 단계부터 편집증적 (paranoid)입니다. 낯선 정체성으로부터 오는 요청하지 않은 연락은 단 한 가지로 해석됩니다. '이 사람은 내가 공유하지 않을 의도 (agenda)를 가지고 있다'는 것입니다.

정당한 구성원들은 누구에게도 먼저 다가갈 필요가 없습니다. 그들은 외부로의 연락 (outreach)이 아니라, 공동의 참여를 통해 형성된 관계라는 사회적 구조 (social fabric) 속에 이미 녹아들어 있기 때문입니다. 따라서 운영 태세 (operational posture) 또한 이에 맞춰야 합니다. 사람들이 당신을 찾아올 수 있을 만큼 충분히, 그리고 꾸준히 유용함을 증명하십시오. 당신이 먼저 연락을 시도하는 순간은, 당신이 실제로는 생태계 (ecosystem)의 일부가 아니라는 신호를 보내는 순간입니다.

언급할 만한 또 다른 동반 실패 모드 (failure mode)가 있는데, 저는 이를 '팬보이 문제 (fanboy problem)'라고 부릅니다. 역량 없는 열정은 이러한 공간에서 매력적으로 보이지 않습니다. 그것은 소음 (noise)일 뿐이며, 소음은 잠재적인 침투 신호 (infiltration signal)로 취급됩니다. 존중은 감탄이 아니라 증명된 가치를 통해 얻어집니다. 올바른 태도는 열정적인 참여보다는 지식 있는 무관심 (knowledgeable indifference)에 더 가깝습니다.

평판은 그림자가 아닌 공개된 곳에서 쌓입니다
여기 반직관적인 부분이 있습니다. 가장 생산적인 시작점은 폐쇄적이고 초대 전용인 포럼이 아닙니다. 바로 오픈 웹 (open web)입니다. 공개된 다크웹 게시판, 클린넷 (clearnet) 커뮤니티 등, 모든 숙련도의 위협 행위자 (threat actor)들이 문을 반쯤 열어둔 채 실제로 모여서 업계 이야기 (talk shop)를 나누는 장소들입니다.

이러한 공개된 공간은 지하 경제의 광장이며, 더 제한적인 곳에 접근 권한을 얻기 훨씬 전부터 평판이 쌓이는 곳입니다. 기술적 보고서 (technical write-ups), 사려 깊은 분석, 진정성 있는 참여와 같은 일관되고 수준 높은 기여는 사회적 증거 (social proof)로 축적되며, 결국 당신이 직접적으로는 들어갈 수 없었던 방들로 당신을 인도해 줄 것입니다.

핵심적인 변수는 천재성이 아닙니다. 바로 일관성 (consistency)입니다. 단 하나의 훌륭한 게시물이 평판을 쌓아주지는 않습니다. 수개월에 걸쳐 지속되는 견고한 게시물들의 패턴이 평판을 만듭니다. 커뮤니티는 천재를 찾는 것이 아닙니다. 당신이 실제로 계속 머무를 것이라는 증거를 찾고 있는 것입니다.

탐지 군비 경쟁 (detection arms race)
이 모든 과정은 진공 상태에서 일어나지 않습니다. HUMINT 수집 기술이 성숙해짐에 따라, 그에 따른 대응책들도 함께 발전해 왔습니다. 그중 가장 대표적인 것이 바로 문체론 (stylometry)입니다. 이는 지문처럼 글쓰기 스타일 자체를 분석하는 기법입니다. 어휘, 문장의 리듬, 구두점 습관, 심지어 누군가가 논거를 구성하는 특정한 방식만으로도 계정들을 연결하거나, 특정 정체성의 "목소리"가 조용히 변하는 것을 알아차리기에 충분할 수 있습니다.

Medium 멤버 되기
그러한 변화가 바로 결정적인 단서 (tell)가 됩니다. 오랜 제도적 기억 (institutional memory)을 가진 커뮤니티는 누군가가 다르게 글을 쓰기 시작할 때 이를 알아차리며, 그 편차 자체가 신호가 되어 자동화된 방식이든 인간에 의해서든 포착됩니다. 여기에 행동 패턴 분석 (behavioral pattern analysis, 이 사람의 활동 리듬이 실제로 "실제" 삶과 일치하는가?)과 기술적 핑거프린팅 (technical fingerprinting)을 더하면, 정직하게 운영하기가 진정으로 어려운 적대적 환경 (adversarial environment)이 조성됩니다.

바로 이 지점에서 언어 모델 (language models)이 조용히 방정식의 일부가 되었습니다. 이는 더 설득력 있게 들리기 위한 수단이 아니라, 운영자의 자연스러운 글쓰기 지문 (writing fingerprint)을 페르소나 (persona)로부터 분리하기 위한 방법으로 사용됩니다. 부주의하게 사용된 AI 생성 텍스트는 그 자체로 탐지 가능한 통계적 시그니처 (statistical signature)를 가집니다. 하지만 재작업되고, 다듬어지며, 특정 정체성의 진화하는 목소리에 맞춰지는 초안으로서 의도적으로 사용된다면, 이는 진정한 문체론적 대응책 (stylometric countermeasure)이 됩니다. 이 작업의 다른 모든 분야와 마찬가지로 그 밑바탕에 깔린 원칙은 동일합니다. 당신을 안전하게 지켜주는 것은 은신 (invisibility)이 아니라 일관성 (consistency)입니다. 사회적 환경에서 당신은 보이지 않을 수 없습니다. 하지만 내부적으로 일관성 (internally coherent)을 유지할 수는 있습니다.

HUMINT는 사회 공학 (Social Engineering)입니다 — 솔직히 말하겠습니다.
정보 공동체(intelligence community) 내에는 이를 명확하게 인정하는 것에 대한 불편함이 존재합니다. 그러니 제가 명확하게 말씀드리겠습니다. HUMINT와 사회 공학 (Social Engineering)은 인접한 학문이 아닙니다. 이들은 목표가 다를 뿐, 동일한 학문입니다.

신뢰할 수 있는 정체성을 구축하는 것은 사회적 인식 (social perception)을 설계하는 것입니다. 시간이 흐르며 신뢰를 쌓는 것은 친숙함에 대한 인지적 편향 (cognitive bias)을 활용하는 것입니다. 가치를 기여하는 것은 전략적 포지셔닝 (strategic positioning)입니다. 이 중 어느 것도 완곡한 표현이 아닙니다. 이는 정체성 기반의 정보 수집 (identity-based intelligence collection)이 무엇인지에 대한 정확한 설명일 뿐입니다.

공격적인 사회 공학 (offensive social engineering)과의 차이점은 메커니즘에 있지 않습니다. 그것은 목적에 있습니다. 피싱 (Phishing)과 프리텍팅 (Pretexting)은 대상을 속여 그들에게 해를 끼치는 행동을 유도하기 위해 존재합니다. 반면 HUMINT 수집은 운영자(operator)의 진정한 기여가 가진 가치에 대해 공동체를 속이지 않으면서도, 정보가 자연스럽게 생성되는 위치에 운영자를 배치하기 위해 존재합니다. 숨겨지는 것은 가치가 아니라, 바로 목적입니다.

이러한 구분은 중요합니다. 왜냐하면 이것이 지난 10년 동안 발생한 거의 모든 주요 침해 사고에서 나타나는 패턴에 대한 설명이기도 하기 때문입니다. 초기 침투 경로 (initial access vector)는 대개 제로데이 (zero-day)가 아닙니다. 그것은 바로 인간입니다. 이는 가장 가치 있는 예측 정보, 즉 공격이 발생한 후 탐지하는 것이 아니라 공격이 계획되고 있음을 알려주는 정보는 단순히 패킷 캡처 (packet captures)를 분석하는 것이 아니라 사람을 이해하는 데서 와야 함을 의미합니다.

실제로 공유할 수 있는 것
한 가지 분명히 하고 싶습니다. 이 글은 HUMINT를 어떻게 생각해야 하는지에 대해 설명하는 것이지, 특정 작전을 어떻게 수행하는지에 대해 설명하는 것이 아닙니다. 특정 포럼, 특정 정체성 인프라, 그리고 실제로 수집된 정보와 그 출처는 의도적으로 TLP:AMBER 이상의 등급으로 제한됩니다. 이는 단순히 비밀 유지를 위해서가 아니라, 작전의 세부 사항을 공개하는 것이 당신이 이해하려는 대상에게 대응책 플레이북 (countermeasure playbook)을 직접 넘겨주는 꼴이 되기 때문입니다.

정체성 구축의 원칙, 절대 접근하지 말아야 한다는 황금률, 공개적인 평판 구축의 메커니즘, 탐지 군비 경쟁 (detection arms race)의 현실과 같은 프레임워크들은 공유가 가능합니다. 왜냐하면 이를 이해하는 것이 누군가의 작전 보안 (operational security)을 해치지 않기 때문입니다. 이는 단지 이 분야가 왜 중요한지 이해해야 하는 사람들에게 이 학문이 조금은 덜 보이지 않게 만들 뿐입니다.

실제로 중요한 사고방식의 전환
이 모든 것을 관통하는 단 하나의 실마리가 있다면, 그것은 효과적인 HUMINT를 위해서는 지표 (indicators)와 시그니처 (signatures)가 주는 결정론적인 편안함을 버리고, 인간의 동기를 이해하는 훨씬 더 무질서하고 확률적인 작업으로 나아가야 한다는 것입니다. 이는 기술적 확실성 위에 구축된 분야에 있어 불편한 전환입니다.

하지만 이는 또한, 위협 환경의 변화 속도에 발맞출 수 있는 유일한 전환이 되어가고 있습니다. AI는 대부분의 조직이 새로운 행위자 (actors)를 추적하는 속도보다 더 빠르게 공격자의 진입 장벽을 낮추고 있습니다. 기술적 방어는 공격자가 여전히 교전 시간과 장소를 선택할 수 있는 운동장에서 계속해서 개선되고 있습니다. 이 곡선보다 앞서 나가는 조직은 가장 빠른 SIEM을 가진 조직이 아닐 것입니다. 그들은 다음 공격을 계획하는 인간이, 그들의 사고 과정을 지켜보는 느리고 인내심 있는 작업을 기꺼이 수행할 용기가 있다면 추적 가능하다는 것을 조기에 이해한 조직이 될 것입니다.

Adrian Alexandru Stîngă는 루마니아 브라쇼브에 본사를 둔 독립 사이버 위협 인텔리전스 실무 기관인 Aether Intel의 설립자이며, 다크 웹 모니터링, 행위 기반 위협 행위자 프로파일링 (behavioral threat actor profiling), 그리고 수동적 디지털 HUMINT 기술 (passive digital HUMINT tradecraft)을 전문으로 합니다. aether-intel.com

면책 조항 (Disclaimer)

이 기사는 Aether Intel에서 진행하는 지속적인 위협 인텔리전스 연구의 일환으로, 교육 및 방어 목적으로만 게시되었습니다. 본문은 개념적 원칙과 운영 철학을 설명하며, 실행 가이드 (how-to guide)가 아니며, 특정 기술, 플랫폼 또는 대상을 보증하지 않습니다.

여기서 언급된 모든 관찰은 수동적(passive)이며 비참여적(non-participatory)입니다. 즉, 승인되지 않은 접근, 불법 활동 참여, 그리고 범죄 운영에 대한 직접적인 상호작용이 포함되지 않습니다. 정보원(sources), 방법론(methods), 그리고 진행 중인 모든 수집 활동(collection activity)을 보호하고, 위협 행위자(threat actors)에게 역량을 제공(uplift)하는 것을 방지하기 위해 구체적인 기법(tradecraft), 도구(tooling), 신원(identities) 및 사례 세부 사항은 의도적으로 생략하거나 일반화되었습니다.

이 기사의 어떤 내용도 특정 조직이나 사용 사례에 대한 법률적, 보안적 또는 운영적 조언으로 해석되어서는 안 됩니다. HUMINT 인접 정보 활동(intelligence work)을 고려하는 독자는 어떠한 수집 활동을 수행하기 전에 해당 관할 구역의 자격을 갖춘 법률 고문을 찾아야 합니다.

이 문서는 TLP:CLEAR로 분류되었으며 제한 없이 공유될 수 있습니다.

© Aether Intel — aether-intel.com