How to Evaluate Offensive Cybersecurity Capabilities of Countries Based on MITRE ATT&CK Framework

MITRE ATT&CK 프레임워크를 활용한 공세적 사이버역량 평가 방안

Abstract

This study introduces a method of estimating offensive cyber-capabilities based on quantitative, technology-oriented metric. Leveraging MITRE ATT&CK techniques, it scores each technique on impact, sophistication, and workload using a large language model, then aggregates the scores to compare APT groups and estimate country-level strength. The findings support capability benchmarking, strategy development, and more informed incident and threat-report analysis.

본 연구는 공세적 사이버작전 수행 역량을 기술에 기반하여 정량화하기 위한 방안을 제시한다. 이를 위해 영향력, 정교함, 작업량의 세 가지 평가지표를 정의하고, MITRE ATT&CK 프레임워크의 전략·기술을 지표에 따라 배점하였다. 평가된 기술 점수를 바탕으로 APT 그룹별 수행 역량을 산출하고, 그룹별 배후국을 식별하여 국가 단위 수행역량을 추정하였다. 연구 결과는 그룹 간, 국가 간 수행 역량 비교 및 공세적 사이버 전략 수립의 기초 자료로 활용할 수 있으며, 침해사고 분석과 사이버 위협 보고서 해석에도 사용할 수 있다.

I. 서론

미국 국방부는 트럼프 행정부 1기 시절인 2018년 사이버 전략을 공개하며 ‘선제적 방어(defend forward)’의 개념을 도입하고, 악성 행위를 근원지에서 조기에 차단하겠다고 공언한 바 있다[1]. 이러한 전략은 바이든 행정부 시절인 2023년 이후에도 지속적으로 유지되었고[2], 영국, 호주, 우리나라, 일본 등 주요 국가들 또한 유사 전략을 채택, 자국의 사이버보안 정책·전략에 반영하였다[3, 4, 5, 6].

공세적 사이버 작전(offensive cyber operation)은 정치·경제·군사적 목적을 달성하기 위해 사이버 공간에서 수행하는 조직적 활동으로, 정찰, 혼란 유도, 정보 탈취, 기능 무력화, 파괴 등을 통해 상대에게 영향력을 행사한다. 이는 그 목표와 목적에 대한 정당성을 획득할 경우 사이버 위협에 대한 가장 효과적이고 근본적인 억제 수단이며, 선제적 방어의 개념을 구현함에 있어 필수 요소다. 따라서 공세적 사이버 작전 수행 역량(이하 ’수행 역량’)은 국가 안보와 국민 안전을 위해 확보해야 할 핵심 역량이다.

한편, 다양한 주체들이 국가별 사이버보안 역량을 평가‧비교해왔다(2.1절 참고). 이들은 대개 사이버 보안 정책 수립 또는 현황 진단을 목적으로 수행되었고, 전문가 설문, 즉 개인이 보유한 지식‧경험‧직관에 기초한 문답을 바탕으로 평가결과를 도출하였다. 선제적 방어의 개념을 도입하여 새로운 정책‧전략을 수립하고 시행계획을 수립할 경우에도 국내‧외 현황을 분석하고 타국 사례와 비교할 필요가 있다. 다만, 기존 국가 사이버 역량 평가 사례들의 경우, 평가 과정에서 전문가의 편향이나 선입견이 반영될 소지가 있다거나, 수행 역량과 직결된 기술 요소보다는 지원 법·제도, 예산 규모, 역량 강화 노력 등 비기술적 요소의 평가 비중이 높아, 이를 보완할 방안이 필요하다.

본 연구는 국가별 공세적 사이버 작전 수행 잠재력을 유추할 수 있는 기술 기반의 정량적 평가 방안을 마련하는 것을 목표로 한다. 그러나 국가의 수행 역량을 기술적으로 정량 평가하는 데에는 여러 한계가 따른다. 기술 평가를 위해서는 누가, 어떤 기술을 사용해 어떠한 방식으로 작전을 수행했는지 관찰하고 식별할 필요가 있으나 대부분의 사이버 작전은 은밀히 수행되고, 공격 주체를 식별하거나 작전의 전모를 규명하기가 어렵고, 국제 외교 관례상 공세적 작전의 책임 주체를 공식적으로 지목하는 사례도 드물다. 따라서, 본 연구에서는 MITRE ATT&CK 프레임워크[7]를 바탕으로 공개 정보를 활용하여 수행 역량을 기술적으로 정량 평가하는 방안을 탐구한다. 아울러 ATT&CK이 제공하지 않는 핵심 기술 요소의 점수화 및 공격 주체 식별을 위하여 대규모 언어모델(LLM)을 활용하는 방안을 제시하고, 그 적용 사례를 제시한다. 이를 통해 도출된 평가 결과는 국가별 수행 역량의 비교·분석뿐 아니라, 공세적 역량 확보를 위한 정책 수립, 국제 협력, 역량강화 등 다양한 전략적 의사결정의 기초자료로 활용될 수 있다.

II. 관련 연구

2.1 국가 사이버 역량 평가

국가별 사이버보안 역량을 평가하고 비교한 선행 연구들은 주로 국가 정책·전략 수립, 현황 진단, 학술 연구 등을 목적으로 수행되어 왔다. 이러한 연구들을 통해 사이버보안 역량의 평가 대상, 범주 및 지표, 활용 데이터, 평가 방법 등을 살펴볼 수 있다.

강정민 등[8]은 국가 사이버 역량을 종합적으로 평가하기 위한 기준을 제시하면서, 공격 역량에 대한 평가 기준도 세분화하여 제안하였다. 그러나 국가별 도·감청 수행 수준, 활용 취약점의 종류, 시스템 파괴 사례 등 구체적 정보는 공개되지 않거나 근거 자료 확보에 어려움이 있어 실질적인 평가 결과 산출에 한계가 있다.

WCI(World Cybercrime Index)[9]는 사이버 범죄의 지정학적 연관성을 탐구하기 위해 EU의 CRIMGOV 프로젝트 지원으로 옥스포드 대학교(University of Oxford)와 뉴사우스웨일즈 대학교(University of New South Wales)가 공동 수행한 전문가 설문결과를 바탕으로 개발되었다. 연구진들은 수사·추적 등 사이버보안 관련 분야에 종사하는 92명의 전문가를 선정하였고, 선정된 전문가들은 다섯 개 주요 사이버범죄 영역에서 영향력이 큰 국가를 지목하고, 각 국가의 사이버범죄 영향력, 전문성, 기술력을 1 - 10점 척도로 평가하였다.

국가 사이버력 지수(National Cyber Power Index, 2022)는 국가의 사이버 역량 활용에 대한 인식 제고를 위해 벨퍼 과학 및 국제문제센터(Belfer Center for Science and International Affairs)가 개발하였다. 외교관계위원회(Council on Foreign Relations)의 사이버 작전 트래커(Cyber Operations Tracker)[10]와 전략국제문제연구소(Center for Strategic and International Studies)의 주요 사이버 사건 DB[11]가 제공하는 자료를 토대로 하여, 총 8개 분야별(금전 확보·보호, 정보 통제, 국제 협력, 기반 시설 파괴, 국제 정보 수집, 산업 역량, 방어‧복원력, 감시) 각국의 역량과 의지를 평가한다. 단, 공개 자료를 활용한 지표 산출 과정에서 기술적 역량(technical capability)이나 공격의 정교함(sophistication of attack)은 고려하지 않는다.

영국 국제전략문제연구소(International Institute for Strategic Studies, IISS)[12, 13]는 2021년과 2023년에 걸쳐 총 25개국의 사이버 역량을 광범위하게 정성 평가한 후 3개의 등급(Tier)으로 나누었다. IISS는 사이버 역량을 정치·외교·군사적 성과를 달성하기 위한 능력으로 정의하고, 전략 및 독트린, 거버넌스와 지휘통제 체계, 사이버 인텔리전스, 역량 강화와 의존성, 보안 및 복원력, 글로벌 리더십, 공격적 사이버 역량의 총 7개 범주로 나누어 평가하였다[14]. 다만, 공격적 사이버 역량 평가 시 정치적 의지, 법적·윤리적 기반 등을 함께 고려하며, “공격적 사이버 작전에 대한 법적 근거 및 감독 체계의 존재 여부”, “책임 있는 사이버 행위자 모델의 이해와 실천 여부” 등을 주요 평가 항목으로 한다. IISS는 정보 출처의 신뢰도를 정부 공식 문서, 전·현직 정책 입안자 및 군 관계자 인터뷰, 학술 논문, 신뢰성 높은 싱크탱크·산업체·국제기구 보고서, 언론 기사 등의 순으로 구분하며, 국가별로 정보 공개 수준과 신뢰도가 상이함을 지적하였다.

국제전기통신연합(ITU)은 2024년 제5판 글로벌사이버보안지수(Global Cybersecurity Index, GCI)를 발표하였다[15]. GCI는 법·기술·조직·역량 개발·협력의 다섯 범주를 중심으로 192개 ITU 회원국과 팔레스타인의 사이버보안 선도 현황(initiative) 및 준비 태세(readiness)를 평가하여 다섯 단계로 등급화한다. 기술 범주는 침해 대응 조직 활동, 사이버보안 표준채택 프레임워크 등을 평가하나, 유무만 평가하고 수준‧품질은 평가하지 않아 동일 등급 국가간 실질적 역량 차가 존재한다.

에스토니아 e-거버넌스 아카데미는 전 세계 160개국의 사이버 예방·대응 준비도를 평가해 국가사이버보안지수(National Cyber Security Index, NCSI)를 발표하고 있다[16]. NCSI의 평가범주는 정보보호 및 사이버 방어 정책과 체계, 기술, 훈련을 중심으로 정책, 글로벌 협력, 전문 역량 강화, 연구 개발, 주요 인프라 보호, 온라인 보안(식별, 서명, 암호화, 클라우드 보안, 공급망 보안 등), 인식제고, 개인정보 보호, 사고 대응, 위기관리, 사이버범죄 수사, 군사적 방어의 총 12개이며, 공세적 역량에 대한 기술적 평가 여부는 공개된 바 없다.

2.2 MITRE ATT&CK

MITRE가 개발‧공개한 ATT&CK 프레임워크는 고도화된 위협(Advanced Persistent Threat, APT) 행위자의 공격 수법을 전략(Tactic)과 기술(Technique)로 단계별 세분화한다. ATT&CK은 다양한 환경조건‧시나리오를 배경으로하는 사이버 공격방법‧침해사고 등을 관련 업계 종사자들이 동일한 시각으로 인지, 소통할 수 있도록 일종의 공통표준 역할을 담당하고 있다. 특히 침해사고 대응 시, 관찰된 공격행위를 ATT&CK의 특정 기술에 대응시킴으로써, 해당 공격의 진행 단계, 이전 ‧이후 단계에서 발생한 또는 발생할 사건이 무엇인지에 대한 단서를 제공하므로 신속‧효과적 대응의 실마리를 제공한다. 이에, 최근의 침해사고 분석보고서들은 공격의 경과를 설명하고 침해지표를 제시하는 동시에, 공격자의 행위가 어떤 ATT&CK 전략‧기술에 해당하는 지를 명세하는 추세다. ATT&CK은 또한 공격 기술별 완화 방안(mitigations)도 서술하고 있으므로 예방 대책을 수립하거나 대응제품을 개발하는 경우에도 청사진 구성에 활용할 수 있다.

ATT&CK 프레임워크는 조직의 보안 상태 평가 지표 수립, 진행 중인 사이버 공격의 전개 예측, 위협 행위자 식별(attribution), 전문인력 훈련 등에도 폭넓게 활용되고 있다. 그러나 이를 활용하여 특정 조직 또는 국가의 공세적 사이버 작전 수행 역량을 정량화하고 상호 비교하는 연구는 아직까지 시도된 바 없다.

III. 실험 방법

3.1 평가 기준 수립

수행 역량 평가는 ATT&CK 프레임워크의 기본 구성 단위인 기술(Technique)을 평가하고 수치화하는 것으로부터 출발한다. 본 연구에서는 활용도, 즉 평가 결과를 통해 판단하고자 하는 바를 고려하여, 아래 세 가지 지표를 기준 삼아 각 기술의 파급 효과, 난이도, 구현 여건 등의 상대적 편차를 표현하고자 한다.

◉ 영향력(Impact): 해당 기술이 피해자에게 미치는 피해의 심각 정도(1 - 10점)

◉ 정교함(Sophistication): 기술 수행에 요구되는 복잡도와 정교함의 수준(1 - 10점)

◉ 작업량(Workload): 해당 기술의 개발과 실행에 요구되는 시간과 자원(1 - 10점)

ATT&CK의 기술들이 영향력 측면에서 보여주는 편차의 예는 다음과 같다. IP 스캐닝(T1595.001)이나 숨겨진 웹페이지·서비스를 찾기 위한 무작위 대입 공격(T1595.003)은 피해자의 시스템 가용성에 부하를 줄 수는 있으나, 직접적 파괴 효과는 제한적이다. 반면 데이터 암호화(T1486), 금융 자산 데이터 절취(T1657), 디스크 내용 삭제(T1561.001)와 같은 기술은 보다 직접적이고 파괴적인 영향을 미친다.

정교함 측면에서는, NTFS의 트랜잭션 처리 방식을 활용해 문서화되지 않은 프로세스 로딩을 구현함으로써 일반적인 악성코드 탐지 절차를 우회하는 프로세스 도플갱잉(T1055.013)이나, Cisco의 ROM 모니터를 악용해 비인가 펌웨어를 실행하는 ROMMONkit(T1542.004)의 경우, 대상 시스템과 방어 메커니즘에 대한 심층적 이해, 탐지 회피 기법을 필요로하는 고도로 정교한 기술이라고 할 수 있다. 반면 계정 탐색(T1087)이나 Windows 명령셸 실행(T1059.004)은 시스템 내장 명령어를 단순 실행하는 것으로, 수행 행위 자체로는 정교함을 요구하지 않는다.

작업량 측면에서 공급망 공격(T1195.002)의 경우, 소프트웨어 개발 파이프라인에 침투하거나 서명을 포함한 빌드 프로세스를 모사·위변조하여, 정상(legitimate) 형상의 제품에 악성코드를 은닉·배포하는 데에 상당한 시간이 소요된다. 특히 오픈소스의 경우 개발 커뮤니티에서 장시간 활동하고 커미터‧메인테이너 등의 감사를 거쳐야 하므로 소요시간을 완전히 통제할 수 없다. 가상환경 탈출(T1611) 또한 대상 운영체제와 하드웨어를 분석하고 커널 및 가상화 지원 메커니즘의 취약점을 찾아야 하며, 컨테이너·배포·오케스트레이션 도구들의 격리 및 검증 체계를 우회해야 하므로 상당한 작업량이 요구된다. 반면, 스피어피싱 첨부(T1566.001)는 이미 개발된 악성 도구를 이메일에 단순 첨부하여 배포할 수 있어 비교적 간단히 수행된다.

수립한 평가지표에 따라 기술들을 점수매김한 후에는 해당 기술들을 보유한 행위 주체의 수행 역량을 수치화‧비교할 수 있다. 예로, 두 APT 그룹의 보유 기술이 식별되는 경우 정교함 점수를 토대로 그룹간 기술격차를 표현할 수 있다. 또한, 실제 침해사고에서 식별된 기술들의 점수를 합산하여, 침해의 여파 및 대응 난이도, 공격자 특성 등을 다음과 같이 다면 평가‧추정하는 데에 활용할 수 있다.

◉ 영향력: 피해의 규모와 심각도, 또는 위험성 및 대응 우선순위를 판단하는 기준으로 삼을 수 있다.

◉ 정교함: 해당 기술의 구현‧실행에 필요한 기술적 복잡도와 전문성을 근거로, 공격자의 수행역량 수준을 가늠할 수 있다.

◉ 작업량: 기술의 준비‧실행을 위한 시간‧인력‧비용 등 필요 자원의 양을 반영하므로 공격자의 규모 또는 침투기간, 준비여부 등을 추론하는 기준이 된다.

예를 들어, 특정 행위 주체의 영향력 점수가 높다면 단순한 정보 탈취를 넘어 파괴적 행위를 통해 직접적인 피해를 초래할 가능성이 높다고 판단할 수 있다. 또한 정교함 점수가 높은 반면 작업량 점수가 낮다면, 고도로 숙련된 소수의 인력이 정밀하게 설계된 공격을 수행했을 가능성을 시사한다.

다만, 평가 지표는 평가 목적‧목표에 맞게 수정, 변경하는 것이 당연하다. 어떤 그룹의 작전 수행이 얼마나 은밀히 이루어지는가를 평가하려는 목적이라면 “탐지우회” 지표를 “정교함”과는 별개로 신설하고, 기존 도구를 사용하는(Living-off-the-land) 공격, 부채널 공격, 난독화 기법 적용의 경우에 높은 점수를 주는 방식으로 기술을 평가한 후, 이를 통해 해당 기술을 사용하는 사이버 위협의 은닉 정도를 가중 평가할 수 있다.

3.2 기술 평가 방식

기술 평가를 통한 지표별 배점은 두 차례 진행였으며, LLM을 활용해 점수 부여 후 저자가 감수하는 방식으로 진행하였다. LLM의 경우 각 평가시점 기준, 추론 및 API 접근을 지원하고 벤치마크[17]상 가장 지적 능력이 뛰어난 모델을 선택, 2025년 1월에는 OpenAI의 O3 mini 모델을, 9월에는 동사의 GPT5 모델을 활용하였다. 1차 평가 시에는 지표별 점수를 정수형으로 부여한 반면, 2차 평가 시에는 지표별 점수를 소수 첫째자리까지의 실수로 부여하여 기술간 배점이 보다 차별화되도록 하였다.

본 논문에서는 평가 결과를 예시함에 있어 최근 도출한 2차 평가 결과를 중심으로 설명한다. 다만 본 논문의 요점은 ATT&CK 기술 평가 지표의 수립 및 정량 점수화를 통해 APT 그룹‧배후국의 수행 역량을 평가하는 방법론 제시임을 강조하고자 한다. 또한 두 차례의 평가를 통해 관찰한 결과 언어모델을 변경하더라도 APT 그룹 및 배후국의 수행역량을 상호 비교하는 데에는 크게 기여하지 않는다.

또한 LLM 활용 시 환각(hallucination)을 최소화하고 사이버보안 분야 질의에 대해 인간 전문가 집단과 유사한 수준의 응답을 도출할 수 있도록 페르소나를 부여하였다. 페르소나는 기존 설문조사[9]의 전문가 선정기준을 참고하였으며, 그 내용을 요약하면 다음과 같다.

◉ 업무 경험: 응답자는 침해대응 및 사고 조사, 위협인텔리전스 분야에서 십년 이상 실무 경험을 축적하였고, 지난 5년간 관련 분야에서 업무를 담당했다.

◉ 업무 방식: 실무 수행 시 침해사고 보고서, 인텔리전스 보고서, 각국 정부의 보안권고문을 참조하며, 공격자 규명(attribution) 시 ATT&CK 프레임워크를 활용한다.

◉ 추가 자료: 2019년 이후 발생한 사이버범죄 관련 기사, 국제기구 발표자료 등의 서지목록 50건

ATT&CK 프레임워크의 정보는 MITRE의 STIX v2.1 버전(2025년 4월 기준) 깃헙 저장소[7]를 통해 가져왔다. 해당 버전에서 정의한 기술은 총 1,374개로, 도메인 별로 엔터프라이즈 도메인(enterprise) 1,076개, 산업제어시스템 도메인(ICS) 94개, 모바일 도메인(mobile) 204개가 있다.

동일한 기술이 다른 도메인, 다른 전략단계(Tactic)에 중복 존재하는 경우(총 347개), 수행 맥락에 따라 배점을 달리하여 평가하였다. 예를들면, 기본 계정을 악용하는 기술(Default Accounts, T1078.001)은 초기 접근(Initial Access, TA0001) 단계도 지속성 확보(Persistence, TA) 단계에서도 활용된다. 기술적 난이도에 그닥 큰 차이는 없곘지만, 침투 전의 영향력에 비하여 지속성 단계에서의 영향력이 크고, 침투 후에는 기본 계정 확보를 위해 소요되는 노력이 적다.

3.3 기술 평가 결과

Table 1.부터 Table 3.은 각 평가 지표별로 가장 높거나 낮은 점수를 받은 상위 세 가지 기술과 가장 낮은 점수를 받은 기술들을 세 개씩 나타낸 것이다. 또한 Table 4.는 각 기술에 부여된 점수의 지표 별 통계적 특징을 보여준다. Table 4.에서 N은 해당 도메인으로 분류된 기술의 수, I, S, W는 각각 영향력, 정교함, 작업량 지표를 뜻하며 마지막 컬럼은 신뢰수준 95%의 신뢰구간이다.

Table 1. Top/Bottom 3 techniques by the Impact score

Table 2. Top/Bottom 3 techniques by the Sophistication score

Table 3. Top/Bottom 3 techniques by the Workload score

Table 4. Stats of the evaluation results

Fig. 1.부터 Fig. 3.은 도메인과 지표별, 배점 구간에 따른 기술의 수를 시각화한 것이다(3.3점까지는 Low, 6.6점까지는 Middle, 6.6점 초과 시 High로 표시하였다). 영향력 측면에서, 기반시설 도메인(ICS)의 기술들이 심각한 파급효과를 가져오는 경향이 높은 것으로 평가했다. 작업량 측면에서는, 명령행을 비롯, 다양한 관리도구들이 엔터프라즈 도메인에 다수 존재하여 상당 수의 기술을 간단히 수행가능하다.

Fig. 1. Proportions of scores in the enterprise domain

Fig. 2. Proportions of scores in the ICS domain

Fig. 3. Proportions of scores in the mobile domain

3.4 그룹별 사용 기술 및 역량 평가

ATT&CK의 APT 그룹 데이터베이스에 수록된 그룹들을 대상으로, 각 그룹이 사용하는 기술을 집계하였다. 총 167개의 그룹이 존재하며, 도메인별로 그룹이 사용하는 기술 수는 Table 5.에 제시되어 있다. 다만 도메인별, 그룹별로 기술이 상세히 식별된 정도에는 차이가 있다. 예를 들면, 기반시설 해킹 그룹으로 식별된 것은 13개인데, 이들이 사용한 기술의 총 수는 242개로서 그룹당 사용 기술이 18개 이상 식별된 셈이다. 모바일 도메인의 경우에도 비슷한데, 이는 엔터프라이즈 도메인에서 그룹 당 사용 기술이 3개 이하로 식별된 것과는 대조된다.

Table 5. Number of groups and techniques by domains

그룹간 식별된 기술의 수에도 편차가 있다. 예를들어, Kimsuky 그룹의 경우 103개의 사용 기술이 식별되었지만, BlackOasis의 경우에는 단 하나다. 이는 MITRE를 비롯한 서방세계의 관심 정도, 공격 캠페인의 빈도, 심각도 등이 반영된 결과로 추측할 수 있다. 다만, 식별 기술의 수가 해당 그룹의 수행 역량과 비례관계에 있다고 단정할 수 없다. Table 6.은 식별 기술의 수를 순서로 상위 10개 APT 그룹, 그리고 각 그룹이 획득한 기술 총점(영향력, 정교함, 작업량 점수 합)을 표시한 결과다.

Table 6. Top 10 groups by the number of identified techniques and score sum.

3.5 그룹과 국가 연계

ATT&CK은 일부 APT 그룹의 배후국을 지목한다. 그러나 APT 그룹의 분류 및 배후국 정보는 사이버 위협 인텔리전스를 운영하는 기업, 국가가 보유한 정보에 따라, 그 식별 결과가 다를 수 있다. APT 그룹 BackdoorDiplomacy(G0135)의 경우MITRE는 배후국을 특정하지 않지만, 보안업체[18]의 경우 특정 국가를 배후로 지목한다. Bitter(G1002)의 경우에도 마찬가지다[19].

본 연구에서는 LLM(GPT5)을 활용하여 각 APT 그룹의 배후국‧연관국을 식별토록 하였다. 3.2절에서 설명한 페르소나를 바탕으로, LLM은 각 APT 그룹 관련 분석 자료, 위협 보고서를 검색하고 이들을 보조자료로 활용하여 최대한 배후 국가를 추정토록 하였다. 또한 일부 그룹은 국가 배후 해킹 조직이 아닌 국제사이버 범죄 조직, 핵티비스트 그룹으로 분류되므로, 국가 배후로 판단되는 경우에만 배후국 정보를 활용하였다. 이는 본 연구가 국가별 수행 역량 평가를 목적으로 하기도 하거니와, 국가 배후 해커 조직의 활동이 일반 사이버범죄 조직이나 핵티 비스트 활동보다 상세히 분석되고 특정 국가와의 연계성이 비교적 명확하게 지목되는 경우가 많기 때문이다[10].

또한, 배후국 추정의 확신 정도를 백분율로 출력토록 하고, 추정 근거를 별도 출력토록하여 검토하였다. 검토 결과, 추정 근거에 외부 보고서나 기사가 존재하거나, 또는 연관 그룹의 배후국이 지목되는 경우 확신 정도를 0.8 이상으로, 그 외 그룹 설명이나 소프트웨어 목록에서 배후국 관련 키워드를 발견한 경우 그 이하 수치를 출력하는 것으로 보인다.

배후국 식별 결과 ATT&CK에 수록된 167개 그룹 중 국가 배후 해커 조직으로 분류된 것은 총 114개였으며, 이 중 확신 정도 0.8 이상으로 식별된 그룹이 106개, 0.6 이상은 7개, 0.4 이상은 1개였다.

3.6 그룹별 수행 역량 정량화

그룹 배후국 분류 결과를 바탕으로, 소속 그룹의 역량을 합산하여 국가별 순위를 산출한 결과는 Table 7과 같다. 국가별 역량합계는 다음과 같이 계산한다. 국가 c의 총 역량 Capc는 해당 국가를 배후로 하는 그룹들의 영향력 합 Gⁱ_c, 정교함 합 G^s_c, 작업량 합 G^w_c의 총합으로 정의된다.

Cap_c = Gⁱ_c + G^s_c + G^w_c

Table 7. Top 5 countries by sum of the capability scores(Capc)

이 때, 국가 c가 배후인 그룹들의 영향력 역량합 Gⁱ_c는 다음과 같이 계산한다. 해당 국가 c가 배후인 그룹들의 집합을 G_c라고 하면, 각 그룹 g_c(∈ G_c)에 대해 그 그룹의 영향력 점수 gⁱ_c에 해당 그룹 분류 시의 확신 정도 g^c_c을 곱해 합산한다. 정교함 합 G^s_c와 작업량 합 G^w_c도 동일한 방식으로 산출한다.

IV. 결론

기존 수세적 관점에서의 사이버 위협·공격 예방·대응은 주도권이 위협·공격 행위자에게 있고, 피해 발생을 감내해야 한다는 한계가 있다. 이에 우리나라를 비롯해 미국, 영국, 호주, 일본 등은 국가 사이버 정책·전략에 선제적·공세적 대응의 개념을 도입, 사전 정보 수집, 해킹 인프라 식별 및 조기 비활성화 등 적극적 대응 행위를 통해 효율적·효과적인 방법으로 사이버 공간에서의 국민 안녕과 주권을 수호하려는 추세에 있다.

적극적 대응을 위해서는 공세적 사이버작전 수행 역량을 확보하는 것이 필수 과제이나, 이러한 역량을 평가하고 다른 조직과 비교하기 위한 객관적·기술적 평가 모델은 마땅치 않다.

본 연구는 편향과 선입견을 배제하고, 수집·축적된 데이터를 바탕으로, APT 그룹과 배후국의 수행 역량, 또는 발생한 침해행위의 파급효과 등을 평가·비교하기 위한 방안을 제시한다.

본 연구에서는 단위 기술을 평가하기 위한 세 개의 평가지표를 제안하였고, MITRE ATT&CK 프레임워크가 열거한 전략·기술에 지표별로 배점하였다. 단위 기술에 부여한 점수를 바탕으로, 특정 기술 집합을 사용하는 APT 그룹의 역량을 수치화하였으며, 이러한 수치를 다시 APT 그룹 배후국의 역량 점수로 환산하는 파이프라인을 제시하였다. 평가 과정에서 최신 LLM을 활용하되, LLM의 응답은 재검토 및 보완하였다. 단, 배후국 식별의 경우 저자들의 판단은 배제하고, 외부 인텔리전스 업체 등이 발간한 자료들만을 RAG(Retrieval-Augmented Generation)로 활용했다.

ATT&CK이 제공하는 APT 그룹 및 기술 정보는 유용하나, 활용 시 다음과 같은 점을 고려할 필요가 있다. 첫째, ATT&CK 프레임워크 내 데이터에 편향이 존재한다. 미국과 그 동맹‧우방국의 시각에서 중요하게 다루는 국가 및 해커그룹의 정보가 상대적으로 더 풍부히 존재한다. 둘째, 배후가 드러나지 않은 공격·위협 조직, 전말이 공개되지 않은 사이버 침해사고, 비공식적으로 수행되는 공세적 작전사례는 반영되지 않는다. 정보량의 불균형은 평가모델 수립 시 데이터 정규화 등을 통해 보완할 수 있으나, 궁극적으로는 인텔리전스 정보의 축적을 통해 해결해야 한다. 또한 논문에서는 세 개의 지표를 모두 동등한 가중치(weight)로 평가하여 모델링 하였으나 이는 평가 목적에 따라 새로운 지표의 도입, 가중치 조정을 통해 변경될 수 있다.