Initial access 초기 접근

초기 접근은 공격자가 대상 환경에 처음 발판을 마련하는 활동이나 목표를 뜻합니다. MITRE ATT&CK에서는 이를 하나의 전술 범주로 다룹니다.

노출된 시스템의 취약점이나 탈취한 계정 등 서로 다른 접근 수단이 관련될 수 있습니다. 랜섬웨어가 실행된 시점보다 앞서 초기 침투가 일어났을 수 있으므로 암호화 시각만으로 사건의 시작을 판단하지 않습니다.

파일이 암호화되기 며칠 전 발생한 비정상 로그인은 초기 접근 조사와 연결될 수 있습니다. 다만 이상 로그인 하나만으로 침투 성공이나 랜섬웨어의 직접 원인을 확정하지 않습니다.

초기 접근은 발판을 얻는 활동이고 지속성 확보는 그 접근을 유지하려는 활동입니다. 권한 상승은 더 높은 권한을 얻는 목표이며 내부 이동은 다른 시스템으로 범위를 넓히는 활동입니다.

이 전술들은 모든 사건에서 같은 순서로 발생하는 고정 절차가 아닙니다. 공격자의 주장이나 단일 경보보다 로그인, 장비와 네트워크 기록의 연결을 근거로 판단합니다.