CISA, 중요 인프라 방어 강화를 위한 사이버 디코이 지침 공개

CISA가 중요 인프라 방어 강화를 위해 사이버 디코이 배치 지침을 공개하며, 합법 계정과 정상 도구를 악용하는 침입 행위를 조기에 탐지·교란하는 전략을 제시한다.

• CISA는 중요 인프라 방어 강화를 목표로 사이버 디코이 배치 지침을 발표하고, 공격자를 미끼 데이터와 허위 자산으로 유도해 탐색 단계부터 혼란을 주는 방식을 제시한다.
• 지침은 미끼(lures), 트립와이어, 디코이 아티팩트, 허니토큰, 허니팟 등 다양한 디코이 유형을 정의하고, 공격자에게 무의미한 대량 데이터 다운로드를 유도해 실제 자산 접근을 지연·차단하는 메커니즘을 설명한다.
• 사이버 디코이 운영을 준비·실행·이해 3단계 과정으로 규정하고, 위협 환경 평가, 공격자 인식 설계, 배포 채널 설정, 성공 지표 정의 후 수집 데이터 분석으로 CTI를 확보해 방어 전략을 지속 개선하는 체계를 제시한다.
• CISA는 사이버 디코이 지침을 통해 사이버보안 성숙도 수준이 다른 조직도 통합적으로 활용하도록 설계했으며, 침입자가 합법 자격증명과 네이티브 도구, LOTL 기법으로 측면 이동과 데이터 접근을 수행하는 패턴을 대응 대상으로 명시한다.
• 이번 지침은 중요 인프라 운영기관이 위협 헌팅, 침입 탐지, 대응 훈련에 디코이를 결합해 실환경과 유사한 통제 구역을 구축하고, CTI 수집 효율을 높여 공격 기법 파악과 정책·규제 업데이트에 활용하도록 유도하는 방향을 보여준다.
• CISA의 사이버 디코이 전략은 중요 인프라를 운영하는 공공·민간 조직에 선제적 침입 탐지와 위협 정보 내재화를 요구해, 한국에서도 전력·통신·공공 클라우드에 디코이 기반 탐지 체계를 정책·조달 기준으로 반영할 필요성을 시사한다.

사이버 디코이는 기존 방어망에 탐지와 기만 기능을 더하는 정책 도구이다. 중요 인프라 규제와 국정원·과기정통부 지침에 디코이 활용 기준을 포함해, 공공·민간 인프라 전반에 위협 정보 수집 역량을 내재화할 것을 권고한다.

주요 용어: 사이버 디코이(공격자를 허위 자산으로 유도해 탐지·기만하는 시스템), LOTL(운영체제 기본 도구를 악용해 흔적을 남기지 않는 공격 기법)

출처: SecurityWeek