NIST SP 800-150
더 많은 작업
NIST SP 800-150(Guide to Cyber Threat Information Sharing)은 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 사이버 위협정보 공유 지침으로, 조직 간 위협정보의 수집·분석·교환·활용을 위한 협력관계 구축, 정보 보호, 공유 규칙 및 운영 절차를 제시하는 특별간행물이다.
NIST SP 800-150은 조직이 사이버 위협정보(Cyber Threat Information)를 다른 조직과 안전하고 효과적으로 공유하기 위한 방법을 설명한다.
사이버 공격은 여러 조직에서 유사한 공격 기법과 인프라를 이용하여 발생할 수 있다. 한 조직에서 발견한 공격의 흔적이나 대응 방법을 다른 조직에 공유하면 수신 조직은 동일한 공격을 더 빠르게 탐지하거나 예방할 수 있다.
그러나 위협정보 공유에는 정보의 정확성, 신뢰관계, 개인정보 보호, 기밀정보 유출, 기술적 상호운용성 등의 문제가 수반된다.
NIST SP 800-150은 이러한 문제를 고려하여 위협정보 공유의 목표 설정부터 공유관계 구축, 정보 수신·활용, 자체 위협정보 생산 및 배포까지 다룬다.[1]
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-150 |
| 문서명 | Guide to Cyber Threat Information Sharing |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 발행일 | 2016년 10월 4일 |
| 작성자 | Christopher Johnson, Mark Badger, David Waltermire, Julie Snyder, Clem Skorupka |
| 주요 분야 | 사이버 위협정보 공유, 위협 인텔리전스, 침해사고 대응 |
| 적용 대상 | 정부기관, 민간기업, 보안 운영조직, 정보공유 공동체 |
| 핵심 내용 | 공유 목표·범위 설정, 신뢰관계 구축, 정보 보호, 위협정보 활용, 자동화 |
| 현행 상태 | 2016년 최종 발행본 |
| 공식 문서 | NIST CSRC |
이 문서는 미국 연방기관을 주요 대상으로 작성되었으나 정부기관 이외의 조직에도 적용할 수 있도록 설계되었다.
주요 독자는 다음과 같다.
- 컴퓨터 보안 사고대응팀(CSIRT).
- 시스템 및 네트워크 관리자.
- 정보보호 담당자.
- 개인정보 보호 담당자.
- 최고정보보호책임자(CISO).
- 최고정보책임자(CIO).
- 보안 프로그램 관리자.
- 사이버 위협정보 공유에 참여하는 조직의 담당자.
NIST SP 800-150의 주요 발행 이력은 다음과 같다.
| 일자 | 상태 | 내용 |
|---|---|---|
| 2014년 10월 | 초안 | 최초 공개 초안 발표 |
| 2016년 4월 21일 | 개정 초안 | 두 번째 공개 초안 발표 |
| 2016년 10월 4일 | 최종본 | NIST SP 800-150 최종 발행 |
2026년 10월 23일 기준 NIST CSRC에는 2016년 10월 발행본이 최종본(Final)으로 등록되어 있으며, 별도의 개정판은 확인되지 않는다.[2]
이 문서는 NIST SP 800-61에서 다루었던 침해사고 대응 과정의 조정 및 정보 공유 개념을 확장한 것이다.
특히 조직 내부의 정보 공유뿐 아니라 외부 기관과의 협력관계 구축, 위협정보의 수신과 배포, 공유 규칙의 운영을 중점적으로 설명한다.
다만 2016년 문서이므로 당시의 정보공유 기술과 표준에 관한 설명을 현재의 최신 규격으로 간주해서는 안 된다.
예를 들어 문서에는 TLP(Traffic Light Protocol) 1.0이 소개되어 있지만, 현재 적용되는 FIRST 표준은 TLP 2.0이다.
사이버 위협정보(Cyber Threat Information)는 조직이 사이버 위협을 식별·평가·감시하고 대응하는 데 도움이 되는 정보를 의미한다.
NIST SP 800-150은 사이버 위협정보를 다음과 같은 유형으로 구분한다.[1]
| 유형 | 영문 | 주요 내용 |
|---|---|---|
| 위협지표 | Indicators | 공격 또는 침해 가능성을 나타내는 기술적 관측값 |
| 전술·기술·절차 | Tactics, Techniques, and Procedures(TTPs) | 공격자의 행동 방식과 공격 절차 |
| 보안 경보 | Security Alerts | 취약점, 공격 기법 및 보안 문제에 관한 경고 |
| 위협 인텔리전스 보고서 | Threat Intelligence Reports | 공격자, 공격 캠페인, 대상 및 TTP 등에 대한 분석 결과 |
| 보안 도구 설정정보 | Tool Configurations | 위협 탐지·차단·분석에 활용할 수 있는 보안 도구 설정 |
위협지표(Indicator)는 공격이 임박했거나 진행 중이거나 이미 침해가 발생했을 가능성을 보여주는 기술적 정보이다.
대표적인 예시는 다음과 같다.
- 공격에 사용된 IP 주소.
- 악성 도메인.
- 악성 URL.
- 악성코드 파일 해시.
- 악성 이메일의 제목이나 특징.
- 의심스러운 네트워크 통신 정보.
이 가운데 실제 침해 흔적을 나타내는 정보는 일반적으로 침해지표(Indicator of Compromise, IOC)라고 부른다.
위협지표는 탐지 규칙을 생성하거나 기존 시스템에서 동일한 공격 흔적을 검색하는 데 활용할 수 있다.
그러나 개별 IP 주소나 도메인이 공격에 사용되었다는 사실만으로 해당 주소의 모든 활동이 악성이라고 판단할 수는 없다.
공유된 지표의 의미를 올바르게 해석하려면 관측 시점, 출처, 공격 유형, 신뢰도 등의 맥락 정보가 필요하다.
TTP(Tactics, Techniques, and Procedures)는 공격자가 사용하는 전술·기술·절차를 의미한다.
- 전술(Tactics): 공격자가 달성하려는 목적과 상위 수준의 행동.
- 기술(Techniques): 특정 전술을 수행하기 위한 구체적인 방법.
- 절차(Procedures): 실제 공격에서 사용되는 세부적인 실행 방식.
예를 들어 공격자가 피싱을 통해 최초 접근 권한을 확보하고, 인증정보를 탈취한 다음 내부 시스템으로 이동하는 과정은 여러 TTP로 설명할 수 있다.
TTP 정보는 개별 IP 주소나 파일 해시보다 공격자의 행동을 폭넓게 이해하는 데 활용된다.
공격자가 사용하는 서버나 악성 파일을 변경하더라도 유사한 공격 절차가 반복될 수 있으므로 TTP 공유는 장기적인 위협 탐지에도 도움이 된다.
보안 경보(Security Alert)는 취약점이나 공격 기법 등 보안상 주의가 필요한 사항을 알리는 기술적 통지이다.
보안 권고문(Security Advisory), 보안 공지(Security Bulletin), 취약점 알림(Vulnerability Note) 등이 포함된다.
일반적으로 다음과 같은 정보를 제공한다.
- 보안 문제의 개요.
- 영향을 받는 제품과 시스템.
- 관련 취약점.
- 공격 가능성과 예상 영향.
- 심각도.
- 임시 완화 조치.
- 보안 패치 및 개선 방법.
- 관련 참고자료.
조직은 경보를 수신한 뒤 해당 문제가 실제 운영 환경에 적용되는지 확인해야 한다.
영향을 받는 제품을 사용하지 않는 조직과 핵심 업무시스템에서 해당 제품을 사용하는 조직은 동일한 경보에 대해 서로 다른 대응 우선순위를 가질 수 있다.
위협 인텔리전스 보고서(Threat Intelligence Report)는 여러 위협정보를 수집·분석하여 공격자의 행동과 위협의 의미를 설명하는 자료이다.
NIST SP 800-150은 위협 인텔리전스를 단순한 위협정보와 구분한다.
위협정보를 집계·변환·분석·해석하거나 보강하여 의사결정에 필요한 맥락을 제공한 것이 위협 인텔리전스이다.
보고서에는 다음과 같은 정보가 포함될 수 있다.
- 공격자 또는 공격 조직.
- 공격 목적.
- 공격 대상.
- 공격 캠페인.
- 공격에 사용된 TTP.
- 관련 악성코드.
- 공격 인프라.
- 공격에 활용된 취약점.
- 대응 및 완화 방법.
보안 도구 설정정보(Tool Configurations)는 위협을 탐지하거나 차단하는 데 활용할 수 있는 설정 및 운영 정보를 의미한다.
대표적인 예시는 다음과 같다.
- 침입탐지시스템 탐지 규칙.
- 방화벽 차단 규칙.
- 라우터 접근통제 목록.
- 웹 필터링 규칙.
- 악성코드 탐지 설정.
- 위협정보 처리 도구의 구성 방법.
이러한 정보를 공유하면 수신 조직은 자체적으로 탐지 규칙을 처음부터 개발하지 않고도 다른 조직의 분석 결과를 활용할 수 있다.
다만 공유된 규칙을 실제 운영 환경에 적용하기 전에 정확성과 영향을 검증해야 한다.
NIST SP 800-150 제2.2절은 사이버 위협정보 공유의 주요 효과를 세 가지로 설명한다.[1]
| 효과 | 영문 | 설명 |
|---|---|---|
| 공동 상황 인식 향상 | Shared Situational Awareness | 여러 조직의 관측 결과와 분석 역량을 결합하여 위협에 대한 이해 확대 |
| 보안 수준 개선 | Improved Security Posture | 공유된 정보를 활용하여 탐지·예방·대응 능력 강화 |
| 지식의 성숙 | Knowledge Maturation | 서로 다른 관측 결과를 연계하여 정보의 정확성과 활용 가치 향상 |
개별 조직은 자신이 운영하는 시스템과 네트워크에서 발생한 공격만 관측할 수 있다.
그러나 여러 조직이 정보를 공유하면 동일한 공격자가 다른 조직에서 수행한 활동까지 파악할 수 있다.
예를 들어 서로 다른 기업에서 동일한 악성코드나 공격 인프라가 발견되었다면 이를 연계하여 보다 넓은 공격 캠페인을 식별할 수 있다.
특히 동일 산업에 속한 조직은 유사한 시스템과 업무 환경을 운영하는 경우가 많아 공유된 위협정보의 관련성이 높을 수 있다.
조직은 다른 기관에서 발견한 공격정보를 이용하여 자체 보안 통제를 개선할 수 있다.
대표적인 활용 방법은 다음과 같다.
- 새로운 악성 IP 및 도메인 탐지.
- 침입탐지 규칙 갱신.
- 공격에 악용되는 취약점의 패치 우선순위 조정.
- 의심스러운 통신에 대한 추가 모니터링.
- 공격 기법에 따른 보안 설정 강화.
- 침해사고 대응 절차 개선.
위협정보 공유는 이미 공격을 경험한 조직의 분석 결과를 다른 조직의 예방 활동에 활용할 수 있도록 한다.
단일 조직에서 수집한 정보는 불완전하거나 의미가 불명확할 수 있다.
여러 조직이 관측 결과를 비교하고 분석하면 정보의 정확성과 활용 가능성을 높일 수 있다.
예를 들어 특정 IP 주소가 악성으로 의심된다는 정보에 다른 조직의 악성코드 분석 결과와 공격 시각이 추가되면 해당 지표의 의미를 더 구체적으로 판단할 수 있다.
이러한 정보 보강을 인리치먼트(Enrichment)라고 한다.
정보 공유 과정에서는 기존 지표의 오류를 수정하거나 추가적인 맥락 정보를 제공하는 활동도 중요하다.
NIST SP 800-150은 정보 공유의 효과와 함께 여러 제약사항을 설명한다.
주요 과제는 다음과 같다.
| 과제 | 주요 문제 |
|---|---|
| 신뢰관계 구축 | 공유 상대방과 정보의 신뢰성을 판단해야 함 |
| 상호운용성 | 조직마다 사용하는 데이터 형식과 전송 방식이 다름 |
| 민감정보 보호 | 개인정보·기밀정보·내부 보안정보가 노출될 수 있음 |
| 정보 활용 능력 | 수신한 정보를 분석하고 대응할 인력과 기술이 필요함 |
| 정보의 정확성 | 부정확한 지표로 오탐이나 잘못된 대응이 발생할 수 있음 |
| 운영 자원 | 정보 수집·분석·배포를 지속할 인력과 예산이 필요함 |
신뢰(Trust)는 위협정보 공유의 중요한 기반이다.
조직은 공유 상대방이 제공한 정보의 정확성을 평가해야 하며, 자신이 제공한 정보가 합의된 범위 안에서 사용될 것이라는 신뢰도 확보해야 한다.
신뢰관계는 다음과 같은 활동을 통해 형성할 수 있다.
- 정기적인 의사소통.
- 공동 대응 활동.
- 정보 공유 규칙에 대한 합의.
- 정보의 출처와 신뢰도 제공.
- 오류 수정 및 피드백.
- 공유된 민감정보의 적절한 보호.
NIST는 신뢰관계를 일회성 계약만으로 완성되는 것이 아니라 지속적인 교류와 협력을 통해 유지해야 하는 요소로 설명한다.
조직마다 서로 다른 데이터 형식과 보안 도구를 사용하면 위협정보를 자동으로 교환하기 어렵다.
표준화된 데이터 형식과 전송 프로토콜을 활용하면 이러한 문제를 줄일 수 있다.
그러나 정보 공유에 참여하는 조직들이 서로 다른 규격을 사용하거나 규격의 버전이 일치하지 않으면 별도의 변환 작업이 필요할 수 있다.
또한 표준 형식으로 정보를 교환하더라도 수신한 정보의 의미를 동일하게 해석하지 못하면 상호운용성이 충분히 확보되지 않는다.
위협정보에는 외부에 공개해서는 안 되는 정보가 포함될 수 있다.
예를 들어 다음과 같은 정보는 공유 과정에서 문제가 될 수 있다.
- 개인정보.
- 인증정보.
- 내부 IP 주소와 네트워크 구성.
- 시스템 취약점 및 보안 설정.
- 영업비밀.
- 고객 및 거래 관련 정보.
- 진행 중인 침해사고 조사 내용.
- 수사 및 법적 절차에 관한 정보.
특히 조직의 보안 통제와 탐지 능력이 노출되면 공격자가 이를 회피하도록 공격 방식을 변경할 수 있다.
따라서 정보 공유는 가능한 많은 데이터를 공개하는 것이 아니라 공유 목적에 필요한 정보를 적절한 범위에서 제공하는 활동이어야 한다.
NIST SP 800-150 제3장은 조직이 위협정보 공유관계를 구축하는 절차를 설명한다.
주요 활동은 다음과 같다.[1]
- 정보 공유 목표와 목적 정의.
- 내부 위협정보 출처 식별.
- 정보 공유 활동의 범위 정의.
- 정보 공유 규칙 수립.
- 정보 공유 공동체 참여.
- 지속적인 운영 지원 계획 수립.
조직은 위협정보를 공유하려는 목적을 먼저 정의해야 한다.
목표는 조직의 정보보호 전략과 위험 관리 활동을 지원해야 한다.
대표적인 목표는 다음과 같다.
- 새로운 공격의 조기 탐지.
- 동일 산업을 대상으로 하는 공격 캠페인 식별.
- 침해사고 대응 시간 단축.
- 보안 통제 개선.
- 취약점 대응 우선순위 결정.
- 공격 기법에 대한 이해 향상.
- 외부 조직과의 공동 대응 능력 확보.
조직의 목표에 따라 필요한 정보의 종류와 공유 대상이 달라진다.
예를 들어 보안관제 조직은 최신 침해지표와 탐지 규칙을 중요하게 평가할 수 있지만, 경영진은 산업별 위협 동향과 잠재적인 업무 영향을 더 중요하게 평가할 수 있다.
외부 기관과 정보를 공유하기 전에 조직 내부에서 생성하거나 수집하는 위협정보를 파악해야 한다.
NIST SP 800-150의 표 3-1은 다음과 같은 내부 정보 출처를 제시한다.
| 출처 | 수집 가능한 정보 |
|---|---|
| 라우터·방화벽 | IP 주소, 포트, 프로토콜, 허용·차단 기록 |
| 침입탐지·방지시스템 | 공격 유형, 탐지 시각, 공격 대상, 탐지 결과 |
| 네트워크 패킷 분석 도구 | 패킷 내용, 네트워크 흐름, 통신 특성 |
| 운영체제 및 애플리케이션 | 프로세스, 서비스, 파일, 설정, 시스템 이벤트 |
| 백신 및 악성코드 탐지 도구 | 악성 파일, 해시, 탐지 결과, 격리 기록 |
| 웹 브라우저 | 접속 이력, 다운로드, 확장 프로그램 등 |
| SIEM | 여러 시스템의 로그를 종합한 보안 이벤트 및 분석 결과 |
| 이메일 시스템 | 이메일 헤더, 첨부파일, URL, 발신·수신 정보 |
| 사고 관리 시스템 | 침해사고 분석 결과, 공격 기법, 대응 기록 |
| 디지털 포렌식 도구 | 악성코드 샘플, 파일시스템·메모리·네트워크 아티팩트 |
조직은 이러한 정보 출처를 식별하고 실제 위협 분석에 활용할 수 있는 데이터를 확인해야 한다.
또한 현재 확보하지 못하는 정보가 무엇인지 분석하여 추가적인 센서나 외부 정보 출처가 필요한지 판단해야 한다.
조직은 공유할 정보의 종류와 범위를 결정해야 한다.
주요 결정사항은 다음과 같다.
- 어떤 종류의 위협정보를 공유할 것인가?
- 누구와 공유할 것인가?
- 어떤 상황에서 공유할 것인가?
- 공유 전에 어떤 승인 절차를 거칠 것인가?
- 개인정보나 기밀정보를 어떻게 처리할 것인가?
- 수신 조직이 정보를 재공유할 수 있는가?
- 정보의 보존과 파기에 어떤 규칙을 적용할 것인가?
공유 범위는 조직의 자원과 역량에 맞게 설정해야 한다.
처음부터 모든 종류의 정보를 공유하기보다 실질적인 효과가 높은 활동부터 시작할 수 있다.
정보 공유 규칙(Information Sharing Rules)은 위협정보의 공개와 배포를 통제하기 위한 규칙이다.
공유 규칙을 수립할 때는 다음 요소를 고려해야 한다.
- 정보의 민감도.
- 수신자의 신뢰성.
- 정보의 공개에 따른 잠재적 영향.
- 공유하지 않았을 때 발생할 수 있는 영향.
- 관련 법령과 계약상 의무.
- 개인정보 보호 요구사항.
- 재배포 허용 범위.
공유 규칙은 문서화하고 관련 담당자가 이해할 수 있도록 해야 한다.
정보 공유를 자동화하는 경우에도 이러한 규칙이 기술적으로 적용되도록 설계해야 한다.
정보 공유 공동체(Information Sharing Community)는 위협정보를 교환하기 위해 형성된 조직들의 협력체계를 의미한다.
NIST SP 800-150은 비공식적인 공동체와 공식적인 공동체의 특성을 구분한다.
| 구분 | 비공식 공동체 | 공식 공동체 |
|---|---|---|
| 참여 방식 | 자발적인 참여 중심 | 가입 요건 및 승인 절차 존재 가능 |
| 운영 규칙 | 비교적 단순한 행동 규칙 | 계약·운영 규정·서비스 수준 협약 등 |
| 구성원 관리 | 유연하거나 익명 참여 가능 | 회원 자격과 책임을 명확히 정의 가능 |
| 정보 품질 | 제공자에 따라 편차 발생 가능 | 검증 및 품질 관리 절차 운영 가능 |
| 정보 교환 | 이메일·웹사이트·피드 등 | 정해진 형식과 시스템을 통한 교환 가능 |
공식적인 공동체는 산업 분야, 조직 유형 또는 특정 보안 목적을 중심으로 구성될 수 있다.
대표적인 정보 공유체계에는 다음과 같은 유형이 있다.
- ISAC(Information Sharing and Analysis Center): 특정 산업 분야를 중심으로 위협정보를 공유·분석하는 조직.
- ISAO(Information Sharing and Analysis Organization): 다양한 조직이 위협정보를 공유·분석하기 위한 협력체계.
- CSIRT 간 협력체계: 사고대응 조직들이 침해사고 및 대응 정보를 교환하는 체계.
- 정부기관의 위협정보 공유체계.
- 상용 위협 인텔리전스 서비스.
- 공개 위협정보 저장소 및 커뮤니티.
조직은 하나의 공동체만으로 모든 정보 수요를 충족하지 못할 수 있으므로 필요에 따라 여러 공동체에 참여할 수 있다.
NIST는 공유 공동체를 선택할 때 다음 사항을 고려하도록 권고한다.
- 제공되는 정보가 조직의 위협 환경과 관련이 있는가?
- 공유되는 정보의 품질과 정확성은 어떠한가?
- 정보를 적시에 제공하는가?
- 정보 공유에 필요한 기술적 규격을 지원하는가?
- 회원 자격과 의무는 무엇인가?
- 민감정보 보호 규칙이 적절한가?
- 참여에 필요한 비용과 인력은 어느 정도인가?
- 다른 참여 조직과 신뢰관계를 구축할 수 있는가?
공유 공동체에 가입하기 전에는 경영진, 법무 담당자, 개인정보 보호 담당자 등 관련 이해관계자의 검토가 필요할 수 있다.
NIST SP 800-150은 위협정보 공유 과정에서 민감정보를 보호하는 방법을 중요하게 다룬다.
공유할 정보에 포함된 개인정보나 조직 내부정보를 충분히 검토하지 않으면 정보 공유 자체가 새로운 보안 사고의 원인이 될 수 있다.
| 정보 유형 | 주요 위험 | 보호 방법 |
|---|---|---|
| 네트워크 지표 | 내부 시스템 구조 및 보안 설정 노출 | 내부 주소 제거·익명화, 필요한 지표만 공유 |
| 패킷 캡처(PCAP) | 인증정보·개인정보·업무 데이터 포함 가능 | 관련 패킷 선별, 불필요한 페이로드 제거 |
| 네트워크 흐름 정보 | 내부 시스템 간 관계 및 통신 구조 노출 | 식별정보 최소화 및 익명화 |
| 시스템 로그 | 계정정보·내부 경로·운영 환경 노출 | 민감 필드 삭제·마스킹 |
| 침해사고 보고서 | 피해 조직·조사 내용·영업비밀 노출 | 공개 가능한 분석 결과 분리 |
| 악성코드 분석 자료 | 조사 대상 및 내부 분석 환경 노출 | 공유 범위와 접근 권한 제한 |
NIST는 공유 목적에 필요하지 않은 민감정보를 제거하거나 익명화하도록 권고한다.[1]
다만 지나친 익명화로 인해 공격 분석에 필요한 정보까지 사라지지 않도록 주의해야 한다.
예를 들어 네트워크 패킷에서 모든 주소와 시간정보를 제거하면 서로 다른 이벤트의 연관성을 분석하기 어려워질 수 있다.
위협정보에는 개인정보(Personally Identifiable Information, PII)가 포함될 수 있다.
대표적인 예시는 다음과 같다.
- 이메일 주소.
- 사용자 계정정보.
- IP 주소와 사용자 식별정보의 결합.
- 개인의 통신 및 접속 기록.
- 로그에 포함된 개인정보.
- 침해사고 피해자 정보.
조직은 개인정보의 수집·이용·제공에 관한 법적 근거와 보호 요구사항을 검토해야 한다.
또한 필요한 경우 다음과 같은 방법을 사용할 수 있다.
- 불필요한 개인정보 필드 제거.
- 식별정보 마스킹.
- 데이터 익명화.
- 공유 대상 제한.
- 암호화된 전송.
- 접근 권한 관리.
- 정보 보존 기간 설정.
NIST는 가능한 경우 개인정보의 식별과 보호를 자동화하는 방법도 고려하도록 권고한다.
TLP(Traffic Light Protocol)는 민감한 정보의 공유 범위를 표시하기 위한 체계이다.
NIST SP 800-150 제3.4.2절은 정보 공유 범위를 지정하는 방법의 하나로 TLP를 설명한다.
다만 원문에는 2016년 당시의 TLP 1.0이 수록되어 있으며, 이후 FIRST가 TLP 2.0을 발표하였다.
2026년 10월 기준 적용되는 FIRST의 TLP 표준은 2022년 8월 발표된 2.0이다.[3]
| 표시 | 공유 범위 | 설명 |
|---|---|---|
| TLP:RED | 지정된 개별 수신자 | 해당 정보 교환에 참여한 개인에게만 제공하며 추가 공유 금지 |
| TLP:AMBER | 조직 및 고객 중 알 필요가 있는 대상 | 보호 목적상 필요한 범위에서 제한적으로 공유 |
| TLP:AMBER+STRICT | 수신 조직 내부 | 알 필요가 있는 조직 내부 구성원에게만 공유 |
| TLP:GREEN | 관련 공동체 | 공동체 내부에서 공유할 수 있으나 공개 채널 배포 금지 |
| TLP:CLEAR | 공개 가능 | 관련 법령 및 저작권 등 일반적인 제한을 제외하고 재배포 가능 |
TLP 2.0에서 TLP:WHITE는 TLP:CLEAR로 변경되었으며, TLP:AMBER+STRICT가 추가되었다.
TLP는 정보의 공유 범위를 표시하는 체계이지 법적 비밀등급이나 정보보안 등급을 완전히 대체하는 제도는 아니다.
또한 TLP 표시만으로 정보의 암호화, 저장, 보존, 파기 등의 기술적 보호조치가 자동으로 결정되는 것은 아니다.
조직은 별도의 정보 취급 정책과 법적 요구사항을 함께 적용해야 한다.
NIST SP 800-150 제4장은 이미 구축된 공유관계에 참여하여 위협정보를 실제로 활용하는 방법을 설명한다.
주요 활동은 다음과 같다.
- 지속적인 의사소통.
- 보안 경보의 수신 및 대응.
- 위협지표의 수신 및 활용.
- 위협정보의 정리와 저장.
- 위협지표의 생산 및 배포.
정보 공유 공동체에 참여한 조직은 다른 구성원과 정기적으로 의사소통해야 한다.
주요 활동은 다음과 같다.
- 위협정보 교환.
- 공동 분석.
- 사고 대응 경험 공유.
- 위협정보의 정확성에 관한 피드백.
- 정보 공유 절차 개선.
- 공동체의 기술 및 운영 요구사항 확인.
NIST는 정기적인 회의와 연락을 통해 신뢰관계를 강화할 수 있다고 설명한다.
위협정보 공유는 단순히 데이터를 송수신하는 활동이 아니라 조직 간 지속적인 협력관계를 유지하는 활동이다.
조직은 외부에서 수신한 보안 경보를 검토하여 실제 대응 필요성을 판단해야 한다.
주요 절차는 다음과 같다.
- 정보 출처의 신뢰성 확인.
- 경보 내용과 영향받는 제품 확인.
- 조직 내부의 해당 자산 존재 여부 확인.
- 취약점 및 공격 가능성 분석.
- 업무 영향과 대응 우선순위 판단.
- 보안 패치·설정 변경·탐지 규칙 적용 등 조치 수행.
모든 보안 경보에 동일한 우선순위를 적용할 필요는 없다.
해당 제품의 사용 여부, 시스템의 중요도, 공격 가능성, 대응 조치의 운영 영향 등을 종합적으로 고려해야 한다.
외부에서 수신한 위협지표는 일반적으로 다음과 같은 처리 과정을 거칠 수 있다.[1]
| 단계 | 영문 | 내용 |
|---|---|---|
| 검증 | Validation | 정보의 무결성과 출처 확인 |
| 복호화 | Decryption | 암호화된 정보 복원 |
| 압축 해제 | Decompression | 압축된 데이터 복원 |
| 내용 추출 | Content Extraction | 필요한 지표 식별 및 추출 |
| 우선순위 결정 | Prioritization | 중요도·신뢰도·관련성에 따른 처리 순서 결정 |
| 분류 | Categorization | 민감도와 정보 취급 요구사항 확인 |
이러한 단계는 실제 시스템과 운영 요구사항에 따라 순서가 달라지거나 일부가 생략될 수 있다.
NIST는 가능한 경우 자동화된 방법을 활용하여 처리 시간을 줄이도록 권고한다.
그러나 자동화 과정에서도 정보의 출처와 신뢰성, 공유 제한사항을 확인해야 한다.
NIST SP 800-150 제4.3절은 활용 가치가 높은 위협지표의 특성을 다음과 같이 설명한다.
| 특성 | 영문 | 설명 |
|---|---|---|
| 적시성 | Timely | 대응할 수 있는 충분한 시간을 확보하도록 신속하게 제공 |
| 관련성 | Relevant | 수신 조직의 시스템과 위협 환경에 적용 가능 |
| 정확성 | Accurate | 오류와 모호성이 적고 정보가 정확함 |
| 구체성 | Specific | 탐지 대상과 조건을 명확하게 설명 |
| 실행 가능성 | Actionable | 수신 조직이 실제 탐지·차단·대응에 활용 가능 |
위협정보는 시간이 지날수록 가치가 감소할 수 있다.
예를 들어 공격자가 일시적으로 사용한 서버의 IP 주소는 며칠 뒤 다른 목적으로 사용될 수 있다.
따라서 지표를 수집한 시점과 공유한 시점, 마지막으로 관측한 시점 등을 함께 관리하는 것이 중요하다.
조직의 운영 환경과 관련이 없는 지표를 대량으로 수집하면 분석 부담이 증가한다.
예를 들어 특정 운영체제에서만 발생하는 취약점에 관한 정보는 해당 운영체제를 사용하지 않는 조직에서 즉각적인 대응 필요성이 낮을 수 있다.
조직은 자산 목록과 업무 특성을 고려하여 관련성이 높은 정보를 우선적으로 처리해야 한다.
잘못된 위협지표는 정상적인 시스템을 공격 대상으로 오인하게 만들 수 있다.
특히 IP 주소나 도메인 기반 차단은 정상 서비스에 영향을 미칠 수 있으므로 정보의 정확성과 신뢰도를 확인해야 한다.
필요한 경우 독립적인 검증이나 추가 분석을 수행해야 한다.
위협정보는 실제 보안 활동으로 연결될 수 있어야 한다.
예를 들어 악성 IP 주소만 제공하는 것보다 다음과 같은 정보가 함께 제공되면 활용 가치가 높아질 수 있다.
- 공격 유형.
- 관련 악성코드.
- 관측 시각.
- 공격에 사용된 서비스.
- 관련 취약점.
- 탐지 방법.
- 권고 대응 조치.
이러한 맥락 정보는 수신 조직이 적절한 대응 방법을 결정하는 데 도움을 준다.
NIST SP 800-150 제4.4절은 수집한 위협정보를 체계적으로 저장하고 관리하는 방법을 설명한다.
위협정보는 공개 저장소, 상용 서비스, 협력기관, 내부 보안 장비 등 다양한 출처에서 수집될 수 있다.
조직은 수집된 정보를 검색·분석·연계할 수 있도록 관리체계를 마련해야 한다.
NIST가 제시하는 위협지표 관리 항목에는 다음과 같은 정보가 포함된다.
- 지표의 출처.
- 지표의 사용 및 공유 규칙.
- 정보 수집 일시.
- 지표의 유효기간.
- 관련 공격 대상 및 산업.
- 관련 CVE·CPE·CWE·CCE.
- 관련 공격자 및 공격 조직.
- 공격자의 별칭.
- 관련 TTP.
- 공격 목적.
- 공격 대상 시스템.
모든 지표에 이러한 정보가 존재하는 것은 아니다.
확인되지 않은 항목을 임의로 채우기보다 정보의 부재와 불확실성을 명확하게 관리해야 한다.
출처 추적(Provenance)은 위협정보가 어디에서 생성되었고 어떤 과정을 거쳐 수집·가공되었는지 기록하는 활동이다.
주요 관리 대상은 다음과 같다.
- 최초 정보 제공자.
- 정보 수집 방법.
- 정보 수집 시점.
- 정보 처리 및 변환 이력.
- 추가 분석 결과.
- 정보 수정 및 갱신 이력.
출처 추적은 정보의 신뢰성을 판단하고 공유 제한사항을 준수하는 데 필요하다.
또한 여러 기관에서 동일한 지표를 제공한 경우 해당 정보가 서로 독립적으로 관측된 것인지, 하나의 원본 정보가 여러 경로로 재배포된 것인지 구분하는 데 도움이 된다.
위협정보는 장기간 보존하면 과거 공격을 분석하는 데 활용할 수 있다.
그러나 정보의 보존에는 저장 비용과 개인정보 보호, 계약상 의무 등의 문제가 수반된다.
조직은 다음 사항을 고려하여 보존 정책을 수립해야 한다.
- 정보의 분석 가치.
- 법적 보존 의무.
- 개인정보 보호 요구사항.
- 계약상 제한사항.
- 사고 조사 및 증거 보존 필요성.
- 지표의 유효기간.
보존 기간이 종료된 정보는 관련 정책에 따라 보관하거나 파기해야 한다.
침해사고의 증거로 사용될 수 있는 정보는 증거의 무결성과 관리 이력을 유지할 필요가 있다.
NIST SP 800-150 제4.5절은 조직이 자체적으로 위협지표를 생산하고 다른 조직에 제공하는 방법을 설명한다.
모든 조직이 외부에 위협정보를 제공해야 하는 것은 아니지만, 자체적으로 분석한 정보를 공유하면 공동체 전체의 위협 대응 능력을 높일 수 있다.
위협지표를 생산할 때는 지표 자체뿐 아니라 해석과 활용에 필요한 메타데이터를 함께 제공하는 것이 바람직하다.
주요 메타데이터는 다음과 같다.
- 지표의 의미.
- 관측 시점.
- 수집 방법.
- 관련 공격 유형.
- 다른 지표와의 관계.
- 정보의 신뢰도.
- 공유 제한사항.
- 권고 대응 방법.
지표를 추가 분석하거나 다른 정보와 결합하는 과정에서 민감도가 높아질 수 있다는 점에도 주의해야 한다.
예를 들어 개별적으로는 민감하지 않은 정보라도 여러 자료를 결합하면 특정 개인이나 조직을 식별할 수 있다.
NIST는 위협정보 공유체계에 다음과 같은 기능을 마련하도록 권고한다.
- 지표 신규 등록.
- 기존 지표 갱신.
- 메타데이터 수정.
- 잘못된 지표의 철회.
- 수신자의 오류 신고.
- 추가 정보 요청.
- 지표 품질 개선을 위한 피드백.
특히 잘못된 지표가 이미 다른 조직에 배포된 경우 이를 정정하거나 철회할 수 있어야 한다.
자동화된 공유체계에서는 이러한 갱신과 철회 정보가 수신 시스템에도 반영되도록 설계하는 것이 중요하다.
NIST SP 800-150은 위협정보의 생산·교환·분석·활용 과정에서 자동화를 활용하도록 권고한다.
자동화는 위협정보를 신속하게 처리하고 수작업으로 인한 오류를 줄이는 데 도움이 된다.
주요 자동화 대상은 다음과 같다.
- 외부 위협정보 수집.
- 정보 형식 변환.
- 지표 추출.
- 중복 지표 식별.
- 지표의 신뢰도 및 관련성 평가 지원.
- 내부 보안 로그와 지표 비교.
- 탐지 규칙 생성 및 갱신.
- 정보 공유 제한사항 적용.
- 위협정보 배포.
- 지표 수정 및 철회 반영.
사이버 위협정보의 자동화된 교환에는 표준화된 데이터 형식과 전송 프로토콜을 활용할 수 있다.
대표적인 기술로 STIX와 TAXII가 있다.
| 구분 | STIX | TAXII |
|---|---|---|
| 정식 명칭 | Structured Threat Information Expression | Trusted Automated Exchange of Intelligence Information |
| 주요 역할 | 위협정보의 구조와 의미 표현 | 시스템 간 위협정보 전송 |
| 기술적 성격 | 위협정보 데이터 모델 및 표현 언어 | 응용 계층 통신 프로토콜 |
| 주요 대상 | 공격자, 악성코드, 침해지표, 공격 캠페인, 취약점 등 | 위협정보 제공·수신 시스템 |
| 표준화 기관 | OASIS | OASIS |
STIX는 사이버 위협정보를 구조화하여 표현하는 표준이다.
TAXII는 이러한 정보를 시스템 사이에서 교환할 수 있도록 지원하는 프로토콜이다.
두 기술은 함께 활용할 수 있지만 반드시 함께 사용해야 하는 것은 아니다.
OASIS는 STIX 2.1과 TAXII 2.1을 표준으로 발행하였다.[4][5]
STIX와 TAXII는 SP 800-150이 강조하는 표준화와 자동화의 목적에 부합하는 기술이지만, 해당 표준을 사용하는 것만으로 위협정보의 정확성이나 공유의 적법성이 보장되는 것은 아니다.
자동화된 위협정보 처리체계에서는 다음 사항을 고려해야 한다.
- 정보 제공자의 신뢰성.
- 수신 데이터의 무결성.
- 데이터 형식의 유효성.
- 공유 제한사항 준수.
- 민감정보 보호.
- 지표의 정확성과 유효기간.
- 자동 차단으로 인한 오탐 및 서비스 장애 가능성.
- 정보 수정 및 철회 반영.
- 처리 이력과 감사 기록.
특히 외부에서 수신한 지표를 별도의 검증 없이 자동 차단 정책에 적용하면 정상 서비스에 영향을 줄 수 있다.
NIST는 조직의 위험 허용 수준과 운영 환경을 고려하여 지표의 활용 방법을 결정하도록 권고한다.[1]
NIST SP 800-150은 침해사고 대응 과정에서 위협정보를 공유하는 활동을 중요하게 다룬다.
한 조직에서 침해사고가 발생하면 조사 과정에서 다음과 같은 정보를 확보할 수 있다.
- 공격에 사용된 IP 주소와 도메인.
- 악성코드 및 파일 해시.
- 공격자가 악용한 취약점.
- 침투 경로.
- 권한 상승 및 내부 이동 기법.
- 명령제어 통신 정보.
- 공격 탐지 방법.
- 사고 대응 및 복구 방법.
이러한 정보를 다른 조직에 공유하면 동일한 공격이 발생했는지 확인하거나 유사한 공격을 예방하는 데 활용할 수 있다.
다음은 NIST SP 800-150의 정보 공유 원칙을 적용한 가상의 사례이다.
- A기관에서 특정 취약점을 악용한 침해사고 발생.
- 사고 조사 과정에서 공격 IP, 악성 파일 해시, 공격 기법 확인.
- A기관이 개인정보와 내부 시스템 식별정보를 제거한 뒤 위협정보 공유.
- B기관이 수신한 지표를 자체 로그와 비교.
- B기관에서 동일한 공격 흔적 발견.
- B기관이 관련 시스템을 조사하고 보안 패치 및 탐지 규칙 적용.
- B기관이 추가로 발견한 지표를 공동체에 공유.
- 다른 참여기관들이 보강된 위협정보를 활용하여 탐지 및 예방 조치 수행.
이러한 과정에서는 정보의 신속한 공유와 함께 정확성, 출처, 민감정보 보호, 공유 범위 통제가 필요하다.
NIST SP 800-61은 침해사고 대응체계와 사고 처리 활동을 다루는 지침이다.
반면 NIST SP 800-150은 위협정보를 조직 내부 및 외부와 공유하기 위한 관계와 절차에 중점을 둔다.
| 구분 | NIST SP 800-61 | NIST SP 800-150 |
|---|---|---|
| 주요 목적 | 침해사고 대응체계 및 사고 처리 지원 | 사이버 위협정보 공유체계 구축 및 운영 |
| 주요 대상 | 침해사고 대응조직과 관련 이해관계자 | 위협정보 생산·수신·공유 조직 |
| 주요 활동 | 사고 대응 계획, 분석, 대응, 복구 등 | 공유 목표 설정, 공유 규칙, 정보 수신·활용·배포 |
| 핵심 관심사항 | 침해사고에 대한 조직의 대응 역량 | 조직 간 협력과 위협정보의 활용 |
SP 800-150은 SP 800-61의 정보 공유 개념을 확장한 문서이지만 SP 800-61을 대체하지 않는다.
NIST SP 800-150은 위협 인텔리전스 자체를 분석하는 방법론보다 위협정보를 안전하고 효과적으로 교환하는 방법에 중점을 둔다.
두 개념은 다음과 같이 구분할 수 있다.
| 구분 | 위협 인텔리전스 | NIST SP 800-150의 정보 공유 |
|---|---|---|
| 주요 목적 | 위협정보를 분석하여 의사결정에 활용할 수 있는 지식 생성 | 위협정보와 분석 결과를 조직 간 교환 |
| 주요 활동 | 수집, 처리, 분석, 해석, 평가 | 공유 목표 설정, 협력관계 구축, 정보 보호, 배포 및 활용 |
| 주요 산출물 | 분석 보고서, 위협 평가, IOC, TTP 분석 결과 | 공유된 위협정보, 정보 공유 규칙, 협력체계 |
| 핵심 과제 | 정보의 정확성, 분석 품질, 위협에 대한 이해 | 신뢰관계, 상호운용성, 민감정보 보호, 활용 가능성 |
위협 인텔리전스 분석 결과는 정보 공유의 대상이 될 수 있으며, 다른 조직에서 수신한 정보는 다시 위협 인텔리전스 분석의 입력 자료로 활용할 수 있다.
따라서 두 활동은 상호 보완적인 관계에 있다.
NIST SP 800-150은 본문 4개 장과 4개 부록으로 구성된다.[1]
| 구분 | 영문 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 문서의 목적, 적용 범위, 대상 독자 |
| 제2장 | Basics of Cyber Threat Information Sharing | 위협정보 유형, 정보 공유의 효과와 과제 |
| 제3장 | Establishing Sharing Relationships | 정보 공유 목표·범위·규칙 수립 및 공동체 참여 |
| 제4장 | Participating in Sharing Relationships | 정보 수신·활용·저장·생산·배포 |
| 부록 A | Cyber Threat Information Sharing Scenarios | 정보 공유 시나리오 |
| 부록 B | Glossary | 주요 용어 정의 |
| 부록 C | Acronyms | 약어 목록 |
| 부록 D | References | 참고 문헌 |
제2장은 사이버 위협정보의 종류와 정보 공유의 기본 개념을 설명한다.
제3장은 공유관계를 구축하기 위한 조직적·법적·기술적 고려사항을 다룬다.
제4장은 실제 공유체계에 참여하여 정보를 수신하고 활용하거나 자체적으로 생산한 지표를 배포하는 방법을 설명한다.
부록 A는 위협정보 공유가 보안 운영과 사고 대응에 어떻게 활용될 수 있는지 보여주는 사례를 제공한다.
NIST SP 800-150은 조직 간 위협정보 공유체계를 설계하고 운영하기 위한 지침이다.
다음과 같은 활동에 활용할 수 있다.
- 산업별 사이버 위협정보 공유체계 구축.
- 정부기관과 민간기업 간 위협정보 교환.
- CSIRT 간 협력체계 수립.
- 보안관제 조직의 외부 위협정보 활용.
- 위협 인텔리전스 플랫폼 운영.
- 침해지표 공유 및 분석.
- 위협정보 자동화 처리체계 설계.
- 정보 공유 규칙과 민감정보 보호 절차 수립.
다만 다음과 같은 한계가 있다.
- 특정 위협정보 공유 플랫폼의 구축을 의무화하지 않는다.
- 특정 데이터 형식이나 전송 프로토콜의 사용을 일률적으로 요구하지 않는다.
- 공유된 위협정보의 정확성을 보장하지 않는다.
- 위협정보를 수신했다는 사실만으로 적절한 대응이 완료되는 것은 아니다.
- 정보 공유에 관한 법적·계약상 의무를 대체하지 않는다.
- 자동화된 정보 공유가 모든 조직에 적합한 것은 아니다.
- 2016년 발행 문서이므로 구체적인 기술 구현에는 최신 표준과 운영 환경을 함께 고려해야 한다.
NIST SP 800-150의 핵심은 위협정보를 단순히 많이 수집하거나 배포하는 것이 아니라, 신뢰할 수 있는 관계를 바탕으로 정확하고 관련성 높은 정보를 안전하게 교환하고 이를 실제 보안 대응에 활용하는 것이다.
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 1.6 1.7 Christopher Johnson, Mark Badger, David Waltermire, Julie Snyder, Clem Skorupka, Guide to Cyber Threat Information Sharing, NIST Special Publication 800-150, National Institute of Standards and Technology, 2016-10.
- ↑ SP 800-150, Guide to Cyber Threat Information Sharing, NIST Computer Security Resource Center, 확인: 2026-10-23.
- ↑ FIRST, Traffic Light Protocol (TLP): FIRST Standards Definitions and Usage Guidance, Version 2.0, 2022-08, 확인: 2026-10-23.
- ↑ OASIS, STIX Version 2.1, OASIS Standard, 2021-06-10.
- ↑ OASIS, TAXII Version 2.1, OASIS Standard, 2021-06-10.