위협 인텔리전스 리포트 생산

시작

사용자가 제공한 질문, 링크, 캡처, 파일과 기존 사례를 먼저 확인한다. 최신 사건·자료·공식 입장·IOC는 반드시 현재 출처로 검증한다. 직접 볼 수 없는 비공개 출처의 내용을 본 것처럼 쓰지 않는다.

다음 세부 자료는 필요한 경우에만 읽는다.

• 조사·검증 기준과 판정법: references/verification.md
• 결과물별 구조와 문체: references/output-formats.md
• 실제 사용 예시와 대화 방식: references/examples.md

기본 원칙

1. 게시글과 행위자의 표현은 검증 전까지 주장으로 취급한다.
2. 사실, 관찰, 분석, 추정, 미확인을 문장 수준에서 구분한다.
3. 최초 출처와 재게시 출처를 구분하고, 사건 발생일·게시일·확인일을 혼동하지 않는다.
4. 단일 출처보다 공식 자료와 독립 출처를 교차검증한다. 기술 주제는 벤더 원문, 공식 권고, 연구 보고서 등 1차 자료를 우선한다.
5. 진짜/가짜 이분법을 강요하지 않는다. 확인, 부분 확인, 과거 자료 재포장, 합성 또는 조작 정황, 미확인을 사용한다.
6. 자극성보다 재현성을 우선한다. 결론마다 근거와 한계를 붙인다.
7. 개인정보·피해자 정보·악용 가능한 세부사항은 최소화하고 마스킹한다. 불법 접근, 구매, 탈취, 악성코드 실행을 제안하거나 대신하지 않는다.
8. Attribution은 보수적으로 한다. 동일 계정·PGP·지갑·문구·인프라 재사용은 연관성 단서이지 실제 신원이나 국가 배후의 확정 증거가 아니다.

워크플로

1. 정보 요구사항 고정

사용자의 최종 의사결정을 한 문장으로 정의한다. 예:

• 이 유출 주장이 신규·실제 유출인지 판정한다.
• 캠페인의 TTP와 조직 영향도를 요약한다.
• 공개 게시가 가능한 수준의 검증된 사실을 만든다.

대상, 기간, 독자, 결과물, 마감이 이미 명확하면 질문하지 말고 진행한다. 결과를 바꾸는 정보만 부족할 때 한 번에 한 가지를 묻는다.

2. 수집 계획 수립

출처를 원 주장, 원본 증거, 공식 확인, 독립 분석, 맥락 자료로 나눈다. 검색 전에 확인할 가설과 반증 조건을 적는다. 무작정 관련 링크를 모으지 않는다.

3. 원본과 타임라인 보존

가능한 범위에서 URL, 채널/계정, 게시물 ID, 작성 시각, 확인 시각, 타임존, 제목, 파일명, 해시, 캡처를 기록한다. KST와 원문 타임존을 명시한다. 원본과 마스킹·번역·가공본을 구분한다.

4. 주장-증거 원장 작성

핵심 주장마다 다음을 기록한다.

주장	출처	직접 관찰	교차검증	반증/한계	상태

출처가 같은 문장을 반복 인용한 여러 기사라면 독립된 증거 여러 개로 세지 않는다.

5. 검증 수행

references/verification.md의 해당 체크리스트를 적용한다. 특히 유출 데이터는 형식, 값의 현실성, 중복, 신선도, 원천, 피해성을 확인한다. example.com, 규칙적으로 연속되는 전화번호, 존재하지 않는 주소, 과도하게 깔끔한 분포는 합성 정황이지만 단독 확정 근거로 쓰지 않는다.

6. 판정과 신뢰도 부여

판정은 근거를 먼저 제시한 뒤 쓴다. 신뢰도는 높음/중간/낮음으로 표시하고, 무엇이 확인되면 판정이 바뀌는지도 명시한다. 위험도는 진위와 별도로 평가한다. 가짜 주장도 평판·고객 문의·조사 비용을 만들 수 있다.

7. 독자별 인텔리전스로 변환

원 자료를 요약하는 데서 멈추지 말고 다음을 연결한다.

• 무슨 일이 있었는가
• 무엇이 확인되었고 무엇이 미확인인가
• 누구에게 왜 중요한가
• 예상되는 피해 또는 공격 경로는 무엇인가
• 지금 확인하거나 대응할 일은 무엇인가

IOC는 맥락, 최초/최종 관측 시각, 신뢰도, 권고 사용법을 함께 제공한다. 공개 게시물에는 악용 가능성이 큰 값과 개인정보를 넣지 않는다.

8. 결과물 작성

사용자가 지정한 형식을 따른다. 형식이 없으면 먼저 간결한 분석 요약을 만들고, 필요할 때 상세 리포트 또는 게시용 초안을 덧붙인다. 템플릿은 references/output-formats.md를 사용한다.

9. 게시 전 게이트

실제 게시·전송은 사용자의 명시적 요청과 최종 확인 후에만 한다. 그 전에는 검토 가능한 초안으로 제공한다. 게시 전 다음을 확인한다.

• 제목과 첫 문장이 증거보다 강하지 않은가
• 사건일과 보도일이 정확한가
• 원 주장과 확인된 사실이 구분되는가
• 피해자·개인정보·접근 정보가 노출되지 않는가
• 출처 링크가 각 핵심 주장 가까이에 있는가
• 불확실성과 정정 조건이 포함되었는가
• 영문과 국문이 같은 강도의 결론을 말하는가

10. 피드백 반영

사용자의 수정은 일회성 문구 변경과 재사용 가능한 선호로 구분한다. 반복되는 선호만 이 스킬의 향후 업데이트 후보로 정리한다. 새 대표 사례가 제공되면 다음을 추출한다.

• 유지할 구조와 문체
• 반드시 확인하는 증거
• 피해야 할 표현
• 채널별 길이와 형식
• 이전 기준에서 달라진 점

사용자 확인 없이 새 선호를 영구 규칙으로 단정하지 않는다.

완료 기준

결과물에는 최소한 핵심 결론, 근거, 불확실성, 영향, 권고, 출처가 있어야 한다. 근거가 부족하면 억지로 완성된 리포트처럼 만들지 말고 현재 판정, 정보 공백, 다음 확인 항목을 제공한다.