Yoo HeehyeonYoo Heehyeon

1. 업무적 종류

레드팀 수행 방식은 범위와 가정에 따라 크게 두 가지로 분류된다.

1.1. 풀체인 레드팀(Full Chain Red Teaming)

풀체인 레드팀은 외부 공격자 관점에서 정찰부터 초기 침투, 내부 이동, 목표 달성까지 전 과정을 처음부터 끝까지 수행하는 방식이다.

핵심 특징은 아래와 같다.

• 주로 블랙박스(Blackbox) 형태로 진행한다.
• 탐지 우회(Evasion)에 비중을 많이 둔다.
• 조직 전반의 탐지 및 대응 역량을 검증하는 데 적합하다.
• 실제 침해 사고와 가장 비슷한 시나리오를 경험할 수 있다.

1.2. 침해 가정 레드팀(Assumed Breach Red Teaming)

침해 가정 레드팀은 이미 내부망이 뚫렸거나 특정 자산이 탈취됐다고 가정하고, 초기 침투를 생략한 채 내부 확산부터 시작하는 방식이다.

이 방식이 나온 배경은 비교적 분명하다.

• 초기 침투는 피싱, 제로데이 같은 변수 때문에 시간과 비용이 많이 든다.
• 첫 단계에서 실패하면 이후 단계 검증 자체가 불가능해질 수 있다.
• 경계 보안은 언젠가 뚫린다는 전제 아래, 내부 침입 이후의 탐지 및 대응 능력(Defense in Depth)에 더 집중하게 된다.

실제로는 내부망 PC에 C2 에이전트가 올라간 상태에서 시작해, 권한 상승(Privilege Escalation), 횡적 이동(Lateral Movement), 정보 수집을 수행한다.

해외에서는 효율성 때문에 이 방식을 선호하는 흐름이 강하다. 국내는 아직 도입 초기라 풀체인 방식이 더 흔하다.

2. 커리어 종류

2.1. 인하우스(In-house)

인하우스는 조직 내부 정규직 보안팀으로 소속돼 자사 보안을 계속 평가하는 형태다.

주요 특징은 아래와 같다.

• 조직의 비즈니스와 인프라를 깊게 이해해야 한다.
• 경영진과 유관 부서와의 협업이 중요하다.
• 예시로는 월트 디즈니(Walt Disney), 프랑스 중앙은행 같은 조직이 있다.

2.2. 컨설팅(Consulting)

컨설팅은 보안 업체나 회계법인 소속으로 여러 고객사에 레드팀 서비스를 제공하는 방식이다.

이쪽은 아래 성격이 뚜렷하다.

• 다양한 산업군과 환경을 경험할 수 있다.
• 회사 서비스 품질과 리더 역량에 따라 경험의 폭이 크게 달라진다.
• 유명 C2(Command & Control) 프레임워크나 도구가 컨설턴트 출신 인력에 의해 나오는 경우도 많다.

2.3. 프리랜싱(Freelancing)

완전한 독립 프리랜서보다는, 전문 업체와 계약(Contractor)해서 특정 프로젝트에 참여하는 형태가 더 흔하다.

소셜 엔지니어링(Social Engineering), 악성코드 개발(Malware Development)처럼 특수한 강점이 있을 때 움직일 수 있는 영역이다.

3. 국내외 동향

3.1. 해외

해외 시장은 이미 어느 정도 성숙한 편이다.

• 2010년대 중반부터 본격화돼 10년 이상 누적된 경험이 있다.
• TIBER-EU, DORA(Digital Operational Resilience Act) 같은 프레임워크와 요구사항이 정리돼 있다.
• 채용도 Red Team Operation과 R&D(Tooling, Exploit Dev)로 세분화돼 있다.
• 기술적으로는 Cobalt Strike, Brute Ratel, Nighthawk 같은 상용 C2 활용과 EDR 우회, AD 공격 역량까지 요구된다.

3.2. 국내

국내는 아직 태동기에서 초기 성장기로 보는 편이 맞다.

• 2023년 전후로 본격 도입되기 시작했다.
• 주로 대기업 인하우스 팀이나 대형 회계법인, 컨설팅 펌 중심으로 서비스가 열리고 있다.
• 아직 이를 직접 규정하는 법규나 컴플라이언스는 뚜렷하지 않다.
• 글로벌 흐름과는 다른 국내 특유의 환경이 형성될 가능성도 있다.

3.3. 요구 역량 변화

이제는 단순 웹, 모바일 모의해킹만으로는 부족하다. 아래 같은 심층 역량이 같이 요구된다.

• 로우 레벨 지식: C/C++, Assembly, OS Internals(Windows PE, API 등)
• 개발 능력: 커스텀 임플란트(Implant), 로더(Loader)를 만들 수 있는 악성코드 개발 역량
• 인프라 이해: 클라우드, AD, 컨테이너 환경에 대한 공격 경험과 구조 이해