한 데이터셋으로 훈련된 악성코드 탐지기, 다른 데이터셋에서는 종종 실패

핵심 요약

포르투 폴리테크닉 연구원들의 연구에 따르면, Windows 시스템의 악성코드 탐지를 위해 훈련된 머신러닝 모델은 훈련 데이터와 다른 실제 환경의 난독화된 악성코드에 대해 탐지 실패율이 높은 것으로 나타났습니다. 이는 실제 공격자들이 탐지를 회피하기 위해 악성코드를 다형성(Polymorphic Code, T1027.014) 또는 암호화/인코딩(Encrypted/Encoded File, T1027.013)하는 전술을 사용하기 때문이며, 정적 탐지 방식에 의존하는 조직의 방어 체계 무력화(Impair Defenses, T1562)로 이어질 수 있습니다. IT 감사인은 조직의 악성코드 탐지 시스템이 실제 위협 환경에 효과적으로 대응할 수 있는지, 특히 적대적 공격(Adversarial Attacks)에 대한 강건성을 확보하고 있는지 심층적으로 점검하여 잠재적인 보안 공백을 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR, 백신 등)의 머신러닝 기반 탐지 엔진이 다형성 및 난독화된 악성코드에 대한 탐지 성능을 강화하도록 최신 위협 인텔리전스를 지속적으로 반영하고, 행위 기반 및 동적 분석 기능을 보완적으로 활용하여 탐지 우회 시도를 방어할 것을 권고함.
• ✔기술적 조치AI 기반 악성코드 탐지 모델의 훈련 데이터셋을 실제 유입되는 위협 트렌드, 특히 적대적 공격 및 난독화 기법을 반영하여 주기적으로 업데이트하고, 모델 재훈련 및 배포 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치악성코드 방어 메커니즘의 효과성을 검증하기 위해 알려진 양성 코드뿐만 아니라 실제 공격 시나리오와 유사한 난독화된 악성코드 샘플을 활용한 정기적인 모의 공격 및 침투 테스트를 수행하고, 그 결과를 바탕으로 방어 체계를 개선할 것을 권고함.
• ✔관리적 조치보안 운영팀은 악성코드 탐지 시스템에서 발생하는 오탐 및 미탐 사례를 면밀히 분석하고, 이를 통해 탐지 규칙 및 정책을 지속적으로 튜닝하여 실제 위협에 대한 대응력을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문