--- title: MITRE ATT&CK App for Splunk으로 보안 위협 탐지하기 (2) description: MITRE ATT&CK 와 Splunk ES에 대한 활용 방안 안내입니다. image: https://blog.stkcorp.co.kr/hubfs/Blog_Img/Group%202%20Copy%202.png --- [![splunk-logo](https://blog.stkcorp.co.kr/hs-fs/hubfs/321-3218023_splunk-intermedia-private-cloud-splunk-logo-white-png@2x.png?width=110&height=33&name=321-3218023_splunk-intermedia-private-cloud-splunk-logo-white-png@2x.png "splunk-logo")](http://splunk.sckcloud.co.kr) ![Bitmap](https://blog.stkcorp.co.kr/hs-fs/hubfs/Bitmap.png?width=2000&name=Bitmap.png "Bitmap") # Splunk Blog 데이터를 더욱 의미있게 활용하기 위해 # [MITRE ATT&CK App for Splunk으로 보안 위협 탐지하기 (2)](https://blog.stkcorp.co.kr/splunk/mitre-attck-app-for-splunk-threat-detect-2) [Read More →](https://blog.stkcorp.co.kr/splunk/mitre-attck-app-for-splunk-threat-detect-2) true #### 28811191823 ### 태그별 게시물 - [Adobe (1)](https://blog.stkcorp.co.kr/splunk/tag/adobe) - [All The Security (3)](https://blog.stkcorp.co.kr/splunk/tag/all-the-security) - [All The Splunk (1)](https://blog.stkcorp.co.kr/splunk/tag/all-the-splunk) - [SCK (1)](https://blog.stkcorp.co.kr/splunk/tag/sck) - [Splunk Event (1)](https://blog.stkcorp.co.kr/splunk/tag/splunk-event) - [공지사항 (1)](https://blog.stkcorp.co.kr/splunk/tag/공지사항) - [**](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fblog.stkcorp.co.kr%2Fsplunk%2Fmitre-attck-app-for-splunk-threat-detect-2) - [**](https://www.twitter.com/share?url=https%3A%2F%2Fblog.stkcorp.co.kr%2Fsplunk%2Fmitre-attck-app-for-splunk-threat-detect-2) - [**](http://www.linkedin.com/shareArticle?mini=true&url=https://blog.stkcorp.co.kr/splunk/mitre-attck-app-for-splunk-threat-detect-2) [All Posts](https://blog.stkcorp.co.kr/splunk) # MITRE ATT&CK App for Splunk으로 보안 위협 탐지하기 (2)   [>> MITRE ATT&CK App for Splunk으로 보안 위협 탐지하기 (1) 바로가기 ](https://blog.stkcorp.co.kr/splunk/mitre-attck-app-for-splunk-threat-detect-1)   분석 필요성: MITRE ATT&CK App for Splunk   고객 중 한 명이 Splunk 내에서 실시간 공격/위협 정보를 MITRE ATT&CK 매트릭스로 시각화할 수 있는지 문의했습니다. MITRE ATT&CK 프레임워크는 훌륭한 참조 포인트이며 시각화를 위해 MITRE ATT&CK Navigator를 활용하는 것이 매우 효과적인 방법입니다. 그러나 모든 조직에 이러한 정보를 지속적으로 조사하고 업데이트할 수 있는 리소스가 있는 것은 아닙니다. 따라서 End-User를 위해 단순하게 유지 및 관리하고 탐지 및 평가 유스케이스 활용에 중점을 두고 이를 Splunk ES 기능과 통합하여 실시간 공격/위협 정보를 시각화할 수 있습니다. ![그림_4](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_4.jpg?width=1689&name=%EA%B7%B8%EB%A6%BC_4.jpg)[그림 4] MITRE ATT&CK Navigator(https://mitre-attack.github.io/attack-navigator/) ![그림_5](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_5.png?width=2040&name=%EA%B7%B8%EB%A6%BC_5.png)[그림 5] MITRE ATT&CK Navigator에서 Layer를 Enterprise로 선택 기존 문제점 : MITRE ATT&CK 프레임워크는 많은 보안 위협에 대한 전술/기술을 제공하지만 방대한 내용으로 인하여 조직에서 사용이 쉽지 않고 관련 이벤트를 수집하여 수동으로 공격/위협에 대한 매핑, 식별 및 분석이 매우 어렵고 많은 시간과 경험이 필요함 Splunk에서의 탐지 : MITRE ATT&CK 매트릭스 내에서 트리거된 실시간 노터블 이벤트 표시 Splunk에서의 평가 : 현재 사용 가능한/활성화된 상관관계 룰이 MITRE ATT&CK의 기술/전술까지 누적되는 방식 표시 Splunk에서의 결과 : MITRE ATT&CK App for Splunk을 이용한 대시보드 활용 ![그림_6](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_6.jpg?width=1058&name=%EA%B7%B8%EB%A6%BC_6.jpg)[그림 6] MITRE ATT&CK App for Splunk (https://splunkbase.splunk.com/app/4617/) MITRE ATT&CK App for Splunk(SplunkBase[https://splunkbase.splunk.com/]에서 제공하는 무료 앱으로 Splunk Enterprise와 Splunk Enterprise Security가 반드시 필요함)는 드릴다운 기능이 있는 Splunk Enterprise Security 및 Splunk ES 콘텐츠 업데이트와 완전히 통합된 MITRE ATT&CK 프레임워크에 대한 컴플라이언스 및 분류 대시보드를 제공합니다. MITRE ATT&CK App for Splunk의 보기/스크린샷 중 일부를 공유하고 이러한 보기가 위의 사용 사례를 해결하는 방법을 설명하려고 합니다. 시작하려면 몇 가지 기준선과 룰을 활성화해야 합니다. ![그림_7](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_7.jpg?width=837&name=%EA%B7%B8%EB%A6%BC_7.jpg)[그림 7] *Splunk ES**를 통한 MITRE ATT&CK **컴플라이언스* **고려해야** **할** **사항****:** - 기술(techniques)이 포함된 각 셀은 활성화된 상관관계 검색의 백분율에 따라 색상이 지정됩니다. - 관련된 상관관계 룰이 없는 경우 셀은 색상이 지정되지 않은 상태로 남습니다. Enterprise Security(ESCU 포함) 내에서 사용 가능한 상관관계 검색이 있는 경우 활성화/활성 항목의 백분율에 따라 셀에 색상이 지정됩니다. 현재 범위는 다음과 같이 설정되어 있습니다. - 없음: 0–30% (무색) - 낮음: 30–50% 활성화 - 중간: 50–70% 활성화 - 높음: 70%+활성화 - 특정 기술(techniques)을 클릭하면 ES 앱 내에서 연관된 상관관계 룰을 볼 수 있습니다. 그러면 사용자가 기술 이름을 기반으로 기존 상관관계 룰을 검색할 수 있는 MITRE ATT&CK 룰 찾아 보기로 이동합니다.  ![그림_8](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_8.jpg?width=712&name=%EA%B7%B8%EB%A6%BC_8.jpg) **[그림 8] MITRE ATT&CK 룰 찾기** 추가 구성(룰 활성화/편집 등)을 위해 원하는 룰을 클릭할 수 있으며, 편집을 위해 Enterprise Security 구성으로 이동합니다. 룰이 구성되고 활성화되면 주어진 시간 프레임 내에서 관련 상관관계 룰의 현재 상태에 대한 MITRE ATT&CK 매트릭스 보기를 볼 수 있습니다. 노터블 이벤트의 "긴급" 수준에 따라 색상이 지정된 MITRE ATT&CK 매트릭스 내에서 트리거된 기술에 대한 개요를 제공합니다.![그림_9](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_9.jpg?width=700&name=%EA%B7%B8%EB%A6%BC_9.jpg) [그림 9] MITRE ATT&CK 매트릭스  MITRE ATT&CK 매트릭스에서 트리거된(그림 9에서 오렌지 바탕색으로 표시된 기술) 기술을 클릭하면 상세한 드릴다운 기능을 제공하고 추가 조사/분석을 위해 Enterprise Security의 Incident Review 화면을 제공하여 이벤트 조사/분석을 수행할 수 있습니다. 또한 트리거된 전술 및 기술을 기반으로 하는 탐지 사용 사례에 대한 추가 분석을 위해 *MITRE ATT&CK App for Splunk**에서 *추가적으로 화면을 제공하고 있습니다. ![그림_10](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_10.jpg?width=700&name=%EA%B7%B8%EB%A6%BC_10.jpg)[그림] 10 MITRE ATT&CK Triggered Tactics & Techniques 이 시각화된 대시보드는 MITRE ATT&CK 전술 및 노터블 자산/아이덴티티를 기반으로 트리거된 룰(노터블 이벤트)의 개요를 제공합니다. MITRE ATT&CK 기술에 따라 트리거된 주요 이벤트의 수는 **notable_asset** 이 관련 데이터 모델의 **src** , **dest** 또는 **사용자** 필드로 채워진 주요 자산에 의해 집계됩니다 . 이는 MITRE ATT&CK 프레임워크를 통해 노터블 자산/아이덴티티 여정에 대한 더 나은 가시성을 제공하기위해서 입니다. 어떤 기술이 트리거되는지 아는 것은 시작하기에 좋은 방법이지만 전술을 통해 자산/아이덴티티의 여정을 아는 것이 더 유리할 수 있습니다. 예를 들어, 특정 시간 프레임 내에 자산(예: 네트워크 내의 IP 주소)을 초기 액세스에서 기술의 대상으로 볼 수 있고 동일한 자산을 C&C(Command and Control)에서 기술의 소스로 볼 수 있습니다. 시작하는 방법?  Splunk용 MITRE ATT&CK 앱 설치는 매우 간단합니다. Splunkbase 에서 다운로드하여 Enterprise Security 애플리케이션이 설치된 Splunk 검색 헤드에 설치할 수 있습니다.  시각화는 룩업 테이블에 따라 달라지며 이러한 룩업 테이블은 기본적으로 매일 자정에 실행되도록 예약됩니다. 이 일정은 물론 필요에 따라 구성할 수 있습니다(예: Lookup generator search). 초기 설치 시 설정 대시보드를 방문하여 조회 테이블을 채우는 검색을 트리거하여 바로 시작해야 할 수 있습니다.![그림_11](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_11.jpg?width=700&name=%EA%B7%B8%EB%A6%BC_11.jpg) 테이블 행을 클릭합니다. ![그림_12](https://blog.stkcorp.co.kr/hs-fs/hubfs/%EA%B7%B8%EB%A6%BC_12.jpg?width=700&name=%EA%B7%B8%EB%A6%BC_12.jpg) 설정 페이지에서 검색이 완료될 때까지 기다리면 완료됩니다!     ![SCK Splunk](https://blog.stkcorp.co.kr/hubfs/L2-solution-appdev-application-performance-monitoring@2x.png) ###### SCK Splunk 데이터의 더욱 의미있는 활용을 위해 노력합니다. - Recent - Popular - Categories ### Lists by Topic - [All The Security (3)](https://blog.stkcorp.co.kr/splunk/tag/all-the-security) - [Adobe (1)](https://blog.stkcorp.co.kr/splunk/tag/adobe) - [All The Splunk (1)](https://blog.stkcorp.co.kr/splunk/tag/all-the-splunk) - [SCK (1)](https://blog.stkcorp.co.kr/splunk/tag/sck) - [Splunk Event (1)](https://blog.stkcorp.co.kr/splunk/tag/splunk-event) - [공지사항 (1)](https://blog.stkcorp.co.kr/splunk/tag/공지사항) ## **Splunk Blog** 지금 구독하세요! ## Related Posts 태그로 필터링 전체 All The Security Adobe All The Splunk SCK Splunk Event 공지사항 ## [MITRE ATT&CK App for Splunk으로 보안 위협 탐지하기 (1)](https://blog.stkcorp.co.kr/splunk/mitre-attck-app-for-splunk-threat-detect-1) 안녕하세요, SCK Splunk 사업팀입니다. - [SCK Splunk](https://blog.stkcorp.co.kr/splunk/author/sck-splunk) - 11 min read - 2021, 8, 26 ## [MITRE ATT&CK App for Splunk으로 보안 위협 탐지하기 (2)](https://blog.stkcorp.co.kr/splunk/mitre-attck-app-for-splunk-threat-detect-2) - [SCK Splunk](https://blog.stkcorp.co.kr/splunk/author/sck-splunk) - 19 min read - 2021, 8, 26 ## [Observability vs Monitoring 차이점은 무엇일까요?](https://blog.stkcorp.co.kr/splunk/observability-vs-monitoring-차이점은-무엇일까요) [SCK](https://blog.stkcorp.co.kr/splunk/tag/sck) [Adobe](https://blog.stkcorp.co.kr/splunk/tag/adobe) - [SCK Splunk](https://blog.stkcorp.co.kr/splunk/author/sck-splunk) - 26 min read - 2021, 7, 9 ##### Features ##### About Us ##### Company © 2020 SCK Cloud. SCK Corp. All rights reserved. [**](https://www.facebook.com/sckcorp/) [**](https://www.youtube.com/channel/UCDI8FIc72Zsvx_OqYvLRg8g/) [**](https://www.instagram.com/sck_corp/)