악성 동작 유형

이 페이지에서는 컴퓨터 또는 서버에서 감지된 악성 동작에 사용하는 이름을 설명합니다.

당사의 동작 분류는 MITRE ATT&CK 프레임워크를 따릅니다. 공격에 대한 정보를 제공하는 명명 표준을 사용하여 각 감지 내용을 보고합니다.

아래 표시된 명명 구조와 함께 두 가지 유형의 감지 내용이 표시될 수 있습니다.

감지 이름 예

감지 이름은 다음과 같이 구성됩니다.

• MITRE 전술 유형(위의 표에서 “Tactic_1a”).
• MITRE 기법 번호(위의 표에서 "T1234.123").
• 메모리에서 발견되는 위협용 멀웨어 계열(위의 표에서 “mem/family-a”)

MITRE 전술 유형

감지 이름의 첫 번째 부분은 사용된 MITRE 전술을 나타냅니다. 자세한 내용은 Mitre 엔터프라이즈 전술(MITRE Enterprise Tactics)을 참조하십시오.

위의 사항 외에도 일부 컨텍스트 규칙에서는 다음 접두사를 사용합니다.

랜섬웨어 탐지를 중지하는 것과 같은 방식으로 동작 감지 이벤트를 억제할 수 있습니다. 응용 프로그램 감지를 중지하는 것과 같은 방법으로 삭제된 파일 또는 레지스트리 키 복원과 같은 업데이트 관리 작업을 되돌릴 수도 있습니다. 위협 처리 방법을 참조하십시오.

MITRE 기법 번호

이 숫자는 감지 이벤트와 가장 밀접하게 연관된 MITRE 기법(및 하위 기법)을 나타냅니다.

예를 들어, 악성 PowerShell 활동과 관련된 감지에는 이름에 "T1059.001"이 포함됩니다. https://attack.mitre.org/techniques/T1059/001/에서 이 내용을 확인할 수 있습니다

기법에 대한 자세한 내용은 MITRE 엔터프라이즈 기법(MITRE Enterprise Techniques)을 참조하십시오.

멀웨어 계열

메모리에서 발견되어 인식된 위협이 감지에 포함되는 경우 이름의 마지막 부분은 해당 위협이 속한 멀웨어 계열을 나타냅니다.

감지 이름 예

다음은 감지 이름과 그 의미에 대한 몇 가지 예입니다.