다섯 살도 알 수 있게 · 보안

위협 헌팅이 뭐예요?

위협 헌팅(Threat Hunting)을 종이 울리기 전에 랜턴 들고 찾아 나서는 파수꾼 이야기로 풀어봤어요.

종이 안 울려요. 그런데 벽장 속에 누가 있어요.조용하다고 아무도 없는 건 아니에요. 도둑은 몇 달씩 숨어 있기도 해요.

종은 아는 도둑만 울려요.수배 전단에 없는 새 도둑, 발소리 없이 걷는 도둑은 종을 안 울려요.

위협 헌팅은 종을 기다리지 않고 직접 찾아 나서는 거예요.'이미 도둑이 들어와 있다'고 치고, 도둑이라면 어디 숨을지 생각하며 랜턴으로 구석구석 비춰요.

이미 들어왔다 치기조용해도 믿지 않아요

질문 하나도둑이라면 어디 숨을까?

일지 뒤지기이상한 한 줄 찾기

새 종 달기다음엔 울리게

질문 하나를 들고 일지를 뒤져요.일지 수천 줄 속에서 이상한 한 줄을 찾아요. "요리사가 밤 3시에 창고 문을?" — 요리사는 자고 있는데요.

찾은 버릇은 새 종이 돼요.한 번 손으로 찾은 도둑의 버릇은 경비실 화면에 규칙으로 달아요. 다음엔 종이 알아서 울려요.

한 줄로

위협 헌팅 = 종이 안 울려도 이미 들어왔다 치고, 질문 하나 들고 일지를 뒤져 숨은 도둑을 찾고 새 종을 다는 일.

Threat Hunting. 경보(alert)를 기다리는 대신 가설을 세우고 로그를 뒤져 탐지되지 않은 침입을 찾는 능동적 활동이에요. 찾아낸 건 탐지 규칙이 돼요.

가정 침해 Assume breach: 이미 들어왔다 치기. 조용한 건 증거가 아니에요. 헌팅의 출발점.
가설 Hypothesis: 질문 하나. "도둑이라면 밤에 창고 문을 열겠지?" → 도둑의 버릇
경보 Alert: 종. 아는 도둑만 울려요. → 수배 전단 든 파수꾼
로그 Logs: 일지. 헌터가 뒤지는 곳. → 성 곳곳의 한 줄 일지
체류 시간 Dwell time: 숨어 있던 날 수. 종이 안 울린 채 도둑이 안에 있던 기간. 헌팅은 이걸 줄여요.
탐지 규칙 Detection rule: 새 종. 찾은 버릇을 경비실 화면에 달아요.
위협 정보 Threat intel: 망루 친구의 소식. "요즘 도둑들은 창고를 노린대" → 좋은 질문이 돼요. → 망루 위의 친구
헌터 Threat hunter: 랜턴 든 파수꾼. 종을 기다리는 경비실과 짝이에요. 하나는 기다리고, 하나는 찾아 나서요.

다음 이야기

다른 용어도 그림책으로 보고 싶다면 요청하기 →