Microsoft ARTEX 악용 보고서, 금융사를 겨냥한 공격 확산 추적
Microsoft는 사이버 범죄자들이 2026년 10월부터 금융 기관을 상대로 ARTEX를 사용하기 시작했으며, 이를 통해 해당 프레임워크의 문서화된 활용 범위가 이전의 스파이 활동을 넘어 확장됐다고 밝혔다. Microsoft ARTEX 악용 보고서는 Microsoft가 캄보디아 기반으로 설명하는 금전적 동기의 그룹 Storm-3358을 지목한다. 이들의 활동은 익숙한 보안 문제에 새로운 압박을 가한다. 공격자는 작업을 자동화할 수 있지만, 방어자는 이를 평가하고 차단하는 데 여전히 시간이 필요하다.
ARTEX는 결과에 따라 도구를 선택하고 실행할 수 있는 에이전트를 통해 보안 테스트를 조율하는 AI 기반 침투 테스트 프레임워크다. 정당한 목적이 범죄적 악용을 막아주지는 않는다. 핵심 충돌은 자동화된 공격 실행과 침해를 차단하는 데 필요한 인간의 판단 및 조직 간 인계 절차 사이에 있다.
Microsoft의 이전 보고는 ARTEX를 ConnectWise 공급망 침해와 관련된 별도의 위협 행위자 Storm-0940과 연결했다. 이 이력은 맥락을 제공하지만, 두 그룹이 동일한 운영자를 공유한다는 증거는 아니다. 이 보고서들은 함께 금융사에 실질적인 질문을 제기한다. 기존 보안 통제가 공격의 다음 중대한 단계 이전에 이를 중단할 수 있는가 하는 문제다.
Microsoft ARTEX 악용 보고, 금전적 동기의 캠페인 식별
최신 보고서는 ARTEX 채택 증거에 구체적인 범죄 작전을 추가한다.
11월 6일 공개된 Microsoft의 금융 부문 공격 분석은 Storm-3358이 주로 동남아시아의 금융 기관을 표적으로 삼았다고 설명한다. Microsoft는 다른 지역의 대형 금융 기관도 더 적은 규모로 표적이 됐다고 식별했다.
Microsoft에 따르면 이 그룹은 ARTEX와 기존 자동화 도구를 결합해 외부에 노출된 시스템을 스캔하고 애플리케이션 취약점을 악용한다. 이러한 취약점에는 익명 파일 업로드와 서버 측 요청 위조가 포함되며, 후자는 공격자가 선택한 요청을 서버가 수행하도록 속이는 기법이다. Microsoft는 손상된 시스템에 지속적으로 접근할 수 있게 하는 악성코드인 원격 접근 트로이목마의 배포도 보고했다.
표적화와 확인된 피해는 구분할 필요가 있다. 이 보고서는 관측된 활동과 기법을 입증하지만, 피해자, 손실 또는 성공한 침해에 대한 완전한 집계를 제공하지는 않는다. 독자는 진행 중인 캠페인에 관한 설명을 근거 없는 재정적 영향 추정으로 바꾸지 않아야 한다.
Microsoft ARTEX 악용 조사 결과는 AI 보안 사고를 손쉽게 분류하는 방식에도 이의를 제기한다. 이 사례는 공격자가 일반적인 엔터프라이즈 시스템을 상대로 AI를 사용하는 상황에 관한 것이다. 금융 기관은 이러한 위협에 노출되기 위해 AI 에이전트를 직접 배포할 필요가 없다.
이는 주의를 기울여야 할 내부 팀의 범위를 바꾼다. 조직은 AI 거버넌스를 기술 위원회에 맡기고 애플리케이션 보안은 엔지니어링 부서에 둘 수 있다. 여기서 관련 노출 지점은 외부에서 접근 가능한 소프트웨어, 자격 증명, 접근 권한이 만나는 모든 곳이다.
업무 시간 외에 발견된 애플리케이션 취약점의 운영상 영향을 생각해 보자. 최초 경보는 모니터링 팀에 도달할 수 있지만, 차단에는 애플리케이션 소유자의 판단이 필요하다. 공격자가 그 인계 과정 중에도 계속 테스트를 수행한다면 조직의 대응 절차는 실질적인 보안 경계의 일부가 된다.
이 시나리오는 분석을 위한 예시이며, 공개된 Storm-3358 사고가 아니다. 이는 완전히 새로운 공격 기법이라는 주장을 하지 않으면서도, 보고된 자동화와 익숙한 취약점의 조합이 주목받아야 하는 이유를 설명한다.
뉴스 가치의 핵심은 ARTEX가 모든 방어를 무력화한다는 증명이 아니라 금전적 동기의 그룹이 이를 채택했다는 데 있다. 금융사는 이제 의심스러운 활동을 얼마나 신속하게 승인된 대응으로 전환할 수 있는지 점검해야 할 또 하나의 문서화된 이유를 갖게 됐다. 중요한 척도는 대시보드가 이를 기록하는지가 아니라 공격이 실제로 중단되는지다.
금융사는 팀 간 인계 과정에서 압박을 받는다
조직이 접근 권한이 확대되기 전에 대응할 수 없다면 경보의 보호 가치는 제한적이다.
압박은 보안 운영, 애플리케이션 엔지니어링, ID 관리, 그리고 비즈니스 소유자 전반에 걸쳐 발생한다. 각 그룹은 사고의 서로 다른 부분을 통제한다. 이들의 조율이 탐지를 차단으로 이어지게 할지, 아니면 단지 발생한 일을 기록하는 데 그치게 할지를 결정한다.
금융 기관의 경우 차단 결정에는 보안뿐 아니라 서비스 가용성도 포함될 수 있다. 애플리케이션을 비활성화하면 정상 업무가 중단될 수 있다. 계정을 제한하면 비즈니스 프로세스에 영향을 줄 수 있다. 공격자가 AI를 사용한다고 해서 이러한 절충이 사라지는 것은 아니다.
따라서 함의는 순전히 기술적이라기보다 조직적이다. 팀은 의심스러운 행동이 언제 개입을 정당화하는지 판단할 명확한 근거가 필요하다. 이러한 근거가 없으면 자동화는 더 빠르게 경보를 생성할 수 있지만, 근본적인 의사결정 대기열은 그대로 남는다.
Microsoft의 별도 조사는 시간 압박의 구체적인 사례를 제공한다. 11월 5일 발표된 노출된 애플리케이션 시크릿 연구는 에이전트가 GitHub 발견 단계에서 Azure Key Vault 데이터 탈취까지 5분 만에 이동한 사례를 설명한다. Key Vault는 시크릿, 키, 인증서를 관리하는 클라우드 서비스다.
이 관측은 공개된 Storm-3358 타임라인이 아니라 자격 증명 악용 연구에 속한다. 이를 ARTEX 공격의 보편적 기준으로 삼아서는 안 된다. 그 의미는 더 좁다. 유용한 발견과 중대한 후속 조치가 같은 짧은 조사 시간 안에 발생할 수 있다는 점이다.
개발자에게 이는 자격 증명 노출이 단지 민망한 코드 변경이 아니라 권한과 관련된 사고임을 뜻한다. 시크릿은 소프트웨어가 서비스에 접근할 수 있게 해 주는 인증 자료다. 눈에 보이는 위치에서 이를 제거하는 것만으로는 어떤 접근 권한을 부여했는지, 또는 누군가 이미 이를 사용했는지에 대한 답이 되지 않는다.
Microsoft는 노출된 자격 증명이 폐기되거나 교체되기 전까지 계속 사용 가능하다고 밝혔다. 운영상 결과는 리포지터리 정리를 넘어선다. 조사자는 자격 증명의 권한 범위를 이해하고, 삭제를 접근 종료의 증거로 취급하기보다 해당 자격 증명과 연관된 활동을 조사해야 한다.
금융 부문 구매자는 보안 제품을 평가할 때도 같은 논리를 적용해야 한다. 의심스러운 요청을 식별하는 시연은 질문의 일부에만 답한다. 구매자는 조사 결과가 접근을 제한할 권한이 있는 사람에게 어떻게 전달되는지도 이해해야 한다.
유용한 구분은 정보와 개입 사이에 있다. 정보는 팀이 공격을 이해하도록 돕는다. 개입은 공격자가 다음에 할 수 있는 일을 바꾼다. 보안 프로그램에는 둘 다 필요하지만, 이를 서로 바꿔 쓸 수 있는 결과로 보고해서는 안 된다.
따라서 ARTEX 금융 부문 공격은 각 팀이 보유한 도구뿐 아니라 팀들을 연결하는 절차에도 압박을 가한다. 신속한 조사는 그 결과가 부재중인 승인자를 기다린다면 가치를 잃는다. 반대로 명확한 권한 체계는 새 제품이 전체 문제를 해결한다고 가정하지 않고도 기존 통제를 더 유용하게 만들 수 있다.
핵심 메커니즘은 낯선 취약점이 아니라 자동화된 후속 실행이다
중요한 변화는 반복되는 인간 개입을 줄이면서 발견 사항을 후속 행동과 연결할 수 있는 능력이다.
스캐너는 잠재적 문제를 식별할 수 있지만 이를 어떻게 추적할지는 결정하지 못한다. 에이전트형 워크플로는 결과를 해석하고 다음 행동을 선택하는 의사결정 과정을 더한다. 이 구분은 소프트웨어가 기존 도구의 사용을 조율할 때 왜 전통적 도구가 다른 운영상 과제를 만들 수 있는지 설명하는 데 도움이 된다.
Google Threat Intelligence Group과 Mandiant는 10월 30일 에이전트형 공격 프레임워크에 관한 연구에서 이러한 발전을 설명했다. 이들의 사고 대응 업무는 여러 공격 단계에서 ARTEX와 다른 프레임워크가 악용된 사실을 식별했다. 연구진은 익숙한 취약점이 변화하는 실행 속도 및 규모와 결합된다고 설명한다.
이들의 관측은 마찰 없는 자율성이라는 주장도 복잡하게 만든다. 한 사례에서 ARTEX 활동은 240개의 로그 이벤트를 생성했으며, 에이전트들이 서로 간섭한 것과 관련 있을 수 있는 오류가 발생했다. 이 증거는 무시나 공포 조장보다 더 유용한 해석을 뒷받침한다. 자동화된 지속성은 눈에 띄는 실수와 공존할 수 있다.
방어자에게 실수는 누군가 또는 무언가가 그 중요성을 인식할 때만 가치가 있다. 실패한 행동은 공격자가 목표에 도달하기 전에 악의적인 의도를 드러낼 수 있다. 모든 실패를 무해한 잡음으로 취급하면 그 주변의 더 넓은 순서를 놓칠 위험이 있다.
그러나 오류가 존재한다고 해서 공격이 무해하다는 뜻은 아니다. 워크플로는 반복해서 실패하면서도 작동하는 경로를 찾을 수 있다. 분석상 질문은 공격자의 실행이 정교해 보이는지가 아니라 환경이 진행을 막는지 여부다.
이것이 요청 수를 세는 것만으로 불완전한 그림이 되는 이유이기도 하다. 대량의 요청은 아무런 결과 없이 차단될 수 있다. 더 작은 순서의 요청은 유효한 권한을 사용해 민감한 리소스에 도달할 수 있다. 심각도는 행동, 권한, 비즈니스 영향 간의 관계에 따라 달라진다.
경쟁 맥락은 Microsoft를 넘어선다. Google과 Mandiant는 사고 대응 관측을 통해 이 발전을 조명하는 반면, Microsoft는 캠페인 추적과 방어 지침을 제시한다. 이러한 관점은 채택 문제에서 겹치지만, 공개된 연구가 보안 제품의 통제된 비교는 아니다.
인용된 어떤 보고서도 Microsoft, Google 또는 다른 공급업체가 경쟁사보다 ARTEX 활동을 일관되게 더 신속히 차단한다고 입증하지 않는다. 엔터프라이즈 구매자는 유용한 위협 연구와 제품 우수성의 증거를 구분해야 한다. 공급업체가 공격을 가시화한다고 해서 비교 우위의 방어 성능이 자동으로 입증되는 것은 아니다.
이 메커니즘은 일반적인 정책 가정에도 한계를 둔다. 직원의 AI 사용을 제한한다고 해서 외부 행위자가 노출된 애플리케이션을 상대로 에이전트를 사용하는 일을 직접 막지는 못한다. 내부 AI 거버넌스와 외부 공격 방지는 교차하지만, 서로 다른 위험 원인을 다룬다.
따라서 이러한 에이전트형 AI 보안 위험의 함의는 구체적이다. 조직은 일반적인 취약점을 가치 있는 접근 권한과 연결하는 경로를 점검해야 한다. 해당 경로가 계속 열려 있다면, 개별 기법이 익숙하더라도 더 빠른 공격자 의사결정은 중요해질 수 있다.
별개 캠페인은 공동 운영자를 입증하지 않고도 채택을 보여준다
여러 조사에서 동일한 프레임워크가 나타난다는 사실은 더 폭넓은 채택을 뒷받침하지만, 자동으로 동일 그룹에 귀속되지는 않는다.
Microsoft의 10월 21일 연구는 Microsoft가 중국 국가 연계로 평가하는 Storm-0940이 산업 전반의 공격에서 ARTEX를 사용했다고 설명한다. 해당 공급망 침해 분석은 이 행위자를 하위 환경에 영향을 주는 손상된 애플리케이션 접근 권한과 연결한다. Microsoft는 일부 공격이 3시간 이내에 권한 있는 클라우드 접근에 도달했다고 보고했다.
그 보고서에는 필요한 단서도 포함되어 있다. 인증에 성공했다는 사실만으로 고객 데이터에 접근했거나 탈취했다는 점이 입증되는 것은 아니다. 이 구분은 금융 부문 보도에도 반영되어야 한다. 공격자는 의도한 모든 작업을 완료하지 않고도 서비스에 도달할 수 있다.
따라서 Storm-3358과 Storm-0940은 같은 더 큰 흐름 안에서 서로 다른 사례를 보여준다. 보고된 동기와 활동은 다르다. 도구를 공유한다는 사실만으로 이러한 차이가 사라지거나 공조가 입증되는 것은 아니다.
CrowdStrike는 10월 7일 South Korean finance에 대한 조사로 또 다른 관점을 더한다. 연구진은 금융 부문 활동과 관련된 공격자 통제 인프라에서 ARTEX 구성 자료와 AI 세션 이력을 발견했다. CrowdStrike는 이 캠페인을 특정 공격자로 귀속하지 않았으며, 운영자에 대한 평가는 중간 수준의 신뢰도로 제시했다.
이러한 흔적은 AI가 침해 과정 어딘가에 등장했다는 일반적인 주장 이상의 의미를 지닌다. 도구와 운영 환경을 연결하기 때문이다. 그렇더라도 이 도구를 사용하는 모든 공격자의 신원을 밝혀주지는 않는다.
이 구분은 조직이 새로운 사고 보고서를 해석하는 방식에 영향을 미친다. 프레임워크 이름의 일치는 조사관이 질문을 설정하는 데 도움이 될 수 있다. 그러나 인프라, 자격 증명, 활동 패턴, 특정 귀속을 뒷받침하는 증거를 검토하는 일을 대체해서는 안 된다.
금융 부문 패턴도 신중하게 다뤄야 한다. 금융 조직이 관련된 여러 보고서는 이 부문이 이 이야기와 관련 있음을 보여준다. 그렇다고 금융 부문이 ARTEX 노출이 가장 높거나, 손실률이 가장 크거나, 유독 취약한 기술 스택을 보유한다는 사실이 입증되는 것은 아니다.
서로 다른 연구자들은 환경의 서로 다른 부분을 본다. 사고 대응 업무는 도움을 요청하는 조직에서 시작된다. 클라우드 텔레메트리는 제공업체가 파악할 수 있는 범위 안의 활동을 보여준다. 어느 쪽도 자동으로 모든 공격이나 모든 조직을 대표하지는 않는다.
이러한 선택 문제는 겉보기 증가세를 평가할 때 중요하다. 추가 보고는 공격 증가, 탐지 역량 향상, 가시성 확대 또는 이들의 조합을 반영할 수 있다. 현재 이용 가능한 증거는 문서화된 사용이 더 넓어졌음을 뒷받침하지만, 전체 도입률은 아직 분명하지 않다.
독자에게 가장 강력한 결론은 여전히 실용적이다. ARTEX를 이용한 금융 부문 공격은 더 이상 시연에만 국한된 가상적 오용 시나리오가 아니다. 공개 기록은 실제 운영 환경에서의 사용을 설명하지만, 확산 정도, 운영자 관계, 총체적 영향에 대해서는 상당한 불확실성을 남긴다.
증거는 보편적 자율성이나 방어 실패를 입증하지 않는다
관측된 침해는 대응 조치를 정당화하지만, 선별된 사례만으로 전형적인 성공률을 확립하거나 기존 방어 체계가 구식임을 증명할 수는 없다.
Microsoft의 ARTEX 악용 보고서는 대표적인 성능 연구가 아니라 캠페인 증거를 제공한다. 동일한 운영자가 ARTEX 없이 어떤 성과를 냈을지를 보여주는 기준선은 제시하지 않는다. 따라서 이 프레임워크가 정확히 어느 정도의 개선을 가져왔는지에 대한 주장은 제한된다.
유용한 비교는 초기 접근 권한, 표적 조건, 운영자 역량, 측정 대상 목표를 고려해야 한다. 노출된 서비스를 찾는 일은 관리자 권한을 얻는 일과 다르다. 접근 권한 획득은 데이터 유출과도 다르다. 이러한 결과를 하나의 성공 범주로 묶으면 중요한 차이가 가려진다.
자율성에도 명확한 정의가 필요하다. 다음 명령을 선택하는 에이전트는 인간의 사전 준비, 감독 또는 수정이 전혀 필요 없는 작업과는 다르다. 보고서는 상당한 자동화 활동을 보여주지만, 모든 캠페인에서의 인간 기여를 전부 기록하지는 않는다.
이 불확실성이 공격자들이 이러한 프레임워크를 사용하고 있다는 증거를 약화시키지는 않는다. 다만 독자가 독립성과 신뢰성에 관해 내려야 할 결론을 제한한다. 부분 자동화된 작업도 자율 해킹에 대한 가장 강한 해석을 충족하지 않으면서 심각한 압박을 만들 수 있다.
CERT-EU의 11월 5일 ARTEX threat assessment는 배포 관련 단서를 추가하면서 도입 우려를 뒷받침한다. 이 기관은 원본 저장소가 10월에 사용할 수 없게 되었고, 독립적인 포크가 계속 유통되고 있다고 밝혔다. 포크는 별도로 유지 관리되는 소프트웨어 프로젝트의 복사본이다.
CERT-EU에 따르면 이러한 복사본 간에는 기능과 통합 방식이 다를 수 있다. 이는 프레임워크 이름이 하나의 고정된 구현을 가리키지 않는다는 의미다. 한 배포 환경에 대한 결론이 다른 곳에서 이용 가능한 모든 버전에 관한 주장으로 자동 전환되어서는 안 된다.
같은 주의는 방어 제품의 주장에도 적용된다. 기능 설명만으로 고객이 이를 활성화했는지, 적절히 구성했는지, 실행 가능한 대응 프로세스에 연결했는지는 입증되지 않는다. 제품의 이용 가능성과 운영상 보호는 별개의 문제다.
Microsoft는 공격자에게 오해를 유발하거나 가치 없는 표적을 제공하는 기만 기법을 논의한다. 테스트에서 이점이 발견됐지만, 공개 보고서는 손실의 보편적 감소를 입증하지 않는다. 이러한 결과는 공격자가 미끼를 마주치는 즉시 에이전트가 멈춘다는 보장보다는 추가 평가를 뒷받침한다.
따라서 회의적인 입장은 위협을 심각하게 받아들이는 태도와 양립할 수 있다. 조직은 연구에서 설명된 구체적인 접근 경로를 조사하는 한편, 멈출 수 없는 에이전트에 관한 광범위한 주장은 검증해야 한다. 확산 정도의 불확실성이 알려진 노출을 안전하게 만들지는 않는다.
이러한 에이전트형 AI 보안 위험 역시 연구자들이 관측한 사실과 다음에 일어날 것으로 예상하는 일을 구분하는 보도가 필요하다. 전망은 준비를 이끌 수 있지만, 여전히 전망이다. 증거의 경계가 분명히 드러날 때 그 유용성은 더 커진다.
측정 가능한 결과, 더 폭넓은 도입, 방어 성과를 주시하라
다음으로 유용한 증거는 단순히 추가 AI 도구의 이름을 언급하는 것이 아니라, 공격자가 무엇을 달성하고 무엇이 이를 신뢰성 있게 차단하는지를 보여줄 것이다.
첫 번째로 주시할 신호는 완료된 공격 단계에 대한 더 나은 측정이다. 향후 공개 자료는 시도된 접근, 성공한 인증, 확대된 권한, 확인된 데이터 탈취를 구분해야 한다. 이러한 구분은 캠페인 간 비교를 더 의미 있게 만든다.
비슷한 사고들에서 이 단계들 사이의 간격이 짧아졌음을 보여주는 보고서는 자동화가 대응 시간을 압축하고 있다는 주장을 강화할 것이다. 활동이 강제된 경계에서 반복적으로 중단된다는 증거는 그 결론에 단서를 더할 것이다. 어느 결과든 또 하나의 고립된 속도 주장보다 더 많은 정보를 제공한다.
금융 기관의 경우, 관련 측정은 운영상 의사결정과 연결되어야 한다. 조사관이 영향을 받은 리소스를 식별하는 데 얼마나 걸렸는가? 권한을 가진 담당자는 언제 조치했는가? 차단 조치는 공격자의 접근을 제거했는가, 아니면 눈에 보이는 증상만 처리했는가?
이 질문들은 모든 공격이 동일한 순서를 따른다고 가정할 필요가 없다. 특정 결과가 왜 발생했는지 이해할 만큼 충분한 맥락을 보고에 담아야 한다는 뜻이다. 그 맥락이 없으면, 가장 빠르게 공개된 사례가 쉽게 오해를 부르는 업계 기준점이 될 수 있다.
두 번째 신호는 서로 다른 공격자와 구현 환경 전반에 걸친 문서화된 도입이다. 연구자들은 공유 도구와 공유 운영자를 계속 구분해야 한다. 추가적인 금전적 동기의 그룹이 실제 운영상 사용과 연결된다는 증거는 더 폭넓은 도입 평가를 강화할 것이다.
반대로 활동이 좁은 범위의 운영자에게 집중된다는 증거는 보편적 확산에 대한 주장을 완화할 것이다. 두 가능성 모두 현재 보도와 양립할 수 있다. 빠진 요소는 정의된 사고 집합 안에서 이러한 프레임워크가 얼마나 흔히 등장하는지를 설명하는 더 명확한 분모다.
소프트웨어 변형도 여기서 주목할 가치가 있다. 서로 다른 ARTEX 복사본이 다르게 동작한다면, 연구자들은 자신이 검토한 구현을 밝혀야 한다. 그렇지 않으면 한 버전과 관련된 개선이나 실패가 다른 버전에 대한 대중의 이해를 왜곡할 수 있다.
세 번째 신호는 독립적으로 평가 가능한 방어 성능이다. 조직에는 현실적인 조건에서 통제 수단이 중대한 행동을 차단한다는 증거가 필요하다. 유용한 결과는 공격자의 초기 위치, 관련 통제 수단, 진행이 멈춘 지점을 설명할 것이다.
이 기준은 기존 보안 제품과 방어용 AI 에이전트에 똑같이 적용된다. 더 빠른 요약은 분석가에게 도움이 될 수 있지만, 그 자체로 더 빠른 차단을 입증하지는 않는다. 설득력 있는 평가는 지원 기능을 공격자가 선택할 수 있는 옵션을 바꾸는 결과와 연결한다.
Microsoft의 ARTEX 악용 조사 결과는 모든 답을 제공하지 않으면서도 이러한 질문의 시급성을 보여준다. 이는 범죄적 도입과 익숙한 악용 경로를 문서화하며, 주변 연구는 별도의 캠페인 전반에 걸친 자동화의 증거를 더한다. 가장 강력한 대응은 이 증거를 정확하게 활용하는 것이다.
이러한 동향을 추적하는 조직은 출처 사실, 내부 평가, 배정된 조치 사이의 구분을 보존해야 한다. 검색 가능한 team knowledge base는 민감한 사고 자료가 확립된 접근 규칙을 따르는 한 이 작업을 지원할 수 있다. 문서는 또 하나의 경고를 단순히 보관하기보다, 다음 대응자가 결정을 내리는 데 도움이 되어야 한다.
다음 보안 논의는 조직이 이미 이해하고 있는 구체적인 노출 지점에서 시작하라. 누가 이를 제한할 수 있는지, 그 사람이 어떤 증거를 필요로 하는지, 팀은 접근이 실제로 종료됐음을 어떻게 확인하는지 물어보라. 그런 다음 그 프로세스를 원래 연구에서 설명한 공격 단계와 비교하라. 검토 전반에서 시도된 활동과 완료된 피해의 구분을 명확히 유지하라. 목표는 더 빨리 내릴 수 있는 결정, 더 좁힐 수 있는 권한, 또는 담당자가 필요한 미해결 의존성을 식별하는 것이다. 자동화된 공격자가 계속 활동하는 동안 현재 대응 과정의 어느 부분이 여전히 인계 대기 상태에 머물겠는가?
