Yoo HeehyeonYoo Heehyeon

1. 레드팀(Red Team)의 정의

레드팀은 조직의 관리적, 기술적 보안 수준을 실제 공격자 관점에서 점검하는 목표 기반 침투 테스트다. 공격자의 전술, 기법, 절차(TTPs)를 그대로 흉내 내거나 비슷하게 재현해서, 방어 체계가 실제 상황에서 어떻게 반응하는지 본다.

단순히 취약점을 많이 찾는 작업과는 결이 다르다. 사람(People), 절차(Process), 기술(Technology)이 함께 실제 공격을 버틸 수 있는지까지 묶어서 검증하는 데 목적이 있다.

1.1. 주요 특징

레드팀의 핵심 성격은 아래처럼 정리할 수 있다.

• 목표 기반(Objective-based): 취약점을 많이 찾는 것보다, 랜섬웨어 유포, 자금 이체(SWIFT), 중요 데이터 유출처럼 공격자가 실제로 노릴 목표를 두고 진행한다.
• 포괄적 평가: 기술적 방어 체계뿐 아니라 보안 조직의 탐지 역량, 대응 속도, 절차의 실효성까지 함께 본다.
• Offensive Security 내 위치:
  • Operation: 취약점 진단, 모의해킹(Penetration Testing), 레드팀(Red Teaming)
  • R&D: 취약점 연구(Vulnerability Research), 익스플로잇 개발, 악성코드 개발(Malware Development)

2. 필요성 및 배경

2.1. IT 환경의 복잡성 증대

예전보다 IT 환경이 훨씬 복잡해졌다. 클라우드, 컨테이너, IoT, OT 같은 기술 스택이 빠르게 늘면서 방어해야 할 공격 표면도 같이 커졌다.

2.2. 공격 체계의 고도화

지금의 공격은 단편적인 1회성 시도에 그치지 않는다. 보통 아래처럼 유기적인 공격 체인(Kill Chain)으로 이어진다.

• 초기 침투(Initial Access): 피싱, VPN 취약점 등을 이용해 첫 발판을 만든다.
• 내부 확산: 클라우드를 장악한 뒤 온프레미스로 이동하거나, AD(Active Directory)를 잡고 전체 시스템을 통제한다.
• 최종 목표: 데이터 유출, 시스템 파괴 같은 실제 피해로 이어진다.

2.3. 체크리스트 보안의 한계

규제 준수 중심의 체크리스트 보안은 최소 기준을 맞추는 데는 유용하다. 다만 실제 공격자는 고립된 장비 하나보다 영역 사이의 연결 지점을 노리기 때문에, 관리 절차의 빈틈이나 인적 실수까지 포함한 실전형 검증이 필요하다.

3. 레드팀 프로세스(TIBER-EU 기반)

유럽 중앙은행(ECB)의 TIBER-EU(Threat Intelligence-based Ethical Red Teaming) 프레임워크를 기준으로 보면, 표준적인 절차는 준비, 테스트, 마무리 단계로 나뉜다.

3.1. 준비 단계(Preparation Phase)

준비 단계에서는 아래 항목을 먼저 정리한다.

• 목표 및 목적 설정: 조직에 가장 큰 피해를 줄 수 있는 시나리오를 정한다. 예를 들어 OT망 제어권 탈취나 금융 전산망 침투 같은 경우다.
• 위협 모델링(Threat Modeling): CTI(Cyber Threat Intelligence)를 바탕으로, 동종 업계를 노리는 공격 그룹의 TTPs를 식별하고 시나리오를 만든다.
  • 예: IT 기업을 노리는 특정 APT 그룹이 오픈소스 C2를 쓰고 소스코드 탈취를 목표로 한다는 정보가 있으면, 그 흐름에 맞춰 시나리오를 설계한다.
• 이해관계자 선정: 레드팀 리더, 블루팀 리더(필요 시), 화이트팀, CISO 등 핵심 인력을 정한다.
• 교전 수칙(Rules of Engagement, ROE) 수립: 법적, 윤리적 한계와 함께, 크리티컬 취약점 발견 시 중단 여부나 데이터 유출 허용 범위 같은 운영 규칙을 합의한다.

3.2. 테스트 단계(Testing Phase)

테스트 단계에서는 공격자 라이프사이클을 따라 실제 공격을 수행한다.

1. 공격 인프라를 준비한다. C2 서버, 리다이렉터, 피싱 도메인 등이 여기에 포함된다.
2. 무기화(Weaponization)를 진행한다. 악성코드나 페이로드를 만든다.
3. 정찰(Reconnaissance)을 수행한다. OSINT 등으로 타깃 정보를 모은다.
4. 초기 침투(Initial Access)를 시도한다. 피싱이나 취약점 공략으로 내부망에 들어간다.
5. 거점을 확보하고 실행한다. C2 에이전트를 실행하고 지속성을 만든다.
6. 내부 정찰과 권한 상승을 수행한다. AD 정보 수집, 로컬 또는 도메인 권한 탈취가 여기에 해당한다.
7. 횡적 이동(Lateral Movement)으로 주요 서버나 다른 망으로 움직인다.
8. 최종 목표(Action on Objectives)를 수행한다. 데이터 유출 같은 실제 목표가 여기에 포함된다.

3.3. 마무리 단계(Closing Phase)

마무리 단계에서는 결과를 운영 개선으로 연결해야 한다.

• 보고서 작성: 취약점 목록보다 공격 경로(Attack Path)와 사용한 TTPs를 중심으로 적는다.
  • 발견점(Findings): 기술적 취약점뿐 아니라, 패스워드를 평문 파일로 저장하는 관행 같은 관리적 문제도 같이 담는다.
• 디브리핑(Debriefing): 레드팀과 블루팀이 함께 결과를 리뷰한다.
• 탐지 및 대응 평가:
  • MTTD(Mean Time To Detect): 공격을 탐지하는 데 걸린 평균 시간
  • MTTR(Mean Time To Respond): 탐지 후 대응과 복구까지 걸린 평균 시간
  • 어떤 단계를 탐지했고, 어떤 단계를 놓쳤는지 분석해 방어 체계를 보완한다.