Yoo HeehyeonYoo Heehyeon

1. 개요

레드팀 작전에서 가장 먼저 해야 할 일은 안정적이고 은밀한 공격자 인프라를 만드는 것이다. 집이나 회사 IP를 그대로 쓰면 작전 자체가 바로 흔들린다.

대표적으로 아래 문제가 생긴다.

1. 작전 보안(OpSec) 실패: 공격자 신원이 바로 드러나고 차단되기 쉽다.
2. 콜백(Callback) 불가: NAT 환경이나 ISP 방화벽 때문에 피해 시스템의 Reverse Shell 신호를 제대로 받지 못할 수 있다.
3. 가용성 저하: 레드팀 작전은 24x7 기준으로 돌아가야 하는데, 개인 PC는 전원이나 네트워크 문제로 쉽게 끊긴다.

따라서 실제 공격자와 유사한 환경을 모사하기 위해 별도의 인프라를 구축해야 한다.

2. 인프라 공간의 3단계 구분

레드팀 인프라는 보안 등급과 접근 권한에 따라 세 가지 공간으로 구분된다.

2.1. 레드팀 공간(Red Team Space)

레드팀 공간은 레드팀이 물리적, 논리적으로 완전히 통제하는 영역이다. 오퍼레이터 노트북이나 사내 보안 룸이 여기에 해당한다.

• 역할: 탈취 정보 같은 민감 데이터를 보관하고, 핵심 공격 도구를 실행하며, 작전을 지휘한다.
• 보안 기준: 외부 인터넷에서 직접 접근할 수 없어야 하며, 가장 높은 수준의 보안을 유지해야 한다.

2.2. 그레이 공간(Grey Space)

그레이 공간은 레드팀 공간과 타깃 공간 사이에 놓이는 중립 지대다. 인터넷 위에 있고 외부에서도 접근할 수 있다.

• 역할: 공격 트래픽의 경유지(Proxy)다. 타깃이 역추적하면 먼저 이 공간에 닿게 된다.
• 구성 요소: 리다이렉터, 페일로드 호스팅 서버, 피싱 사이트 등이 여기에 포함된다.
• 운영 전제: 언제든 차단되거나 폐기(Burn)될 수 있다고 보고 운영한다.

2.3. 타깃 공간(Target Space)

타깃 공간은 실제 공격 대상의 네트워크와 시스템이다. 악성코드(Agent, Beacon)가 실행되는 곳이기도 하다.

3. 주요 구성 요소(Components)

전통적인 레드팀 인프라는 보통 아래 서버들로 구성된다.

3.1. C2 서버(Command & Control)

감염된 에이전트에게 명령을 내리고 결과를 받는 중앙 통제 서버다. 작전의 심장부라서, 실제 IP나 위치가 드러나면 안 된다.

3.2. 리다이렉터(Redirector)

타깃과 C2 서버 사이에서 트래픽을 중계하는 중간자 역할을 한다. 타깃이 리다이렉터로 신호를 보내면, 리다이렉터가 이를 뒤에서 C2 서버로 넘긴다. 결국 C2의 실제 위치를 숨기는 보호막에 가깝다.

3.3. 페일로드 서버(Payload Server)

초기 침투용 악성코드나 문서 파일을 호스팅하고, 피해자가 이를 내려받게 만드는 서버다.

3.4. 오퍼레이터 서버(Operator Server)

공격자가 C2 서버나 타깃 네트워크에 접근할 때 쓰는 점프 호스트다. 오퍼레이터의 실제 IP를 숨기기 위해, 실무에서는 이 서버를 경유해 작전을 수행한다.

4. 인프라 구축 트렌드

4.1. 전통적 인프라(Traditional)

전통적인 방식은 AWS EC2, Azure VM, VPS 같은 자원을 임대해서 직접 리눅스 서버를 운영하는 형태다.

• 장점: 통제권이 분명하고 설정 자유도가 높다.
• 단점: 구축과 운영 부담이 크고, IP 평판 관리도 필요하다.

4.2. 인프라 없는 인프라(Infrastructure-less)

최근에는 서버를 직접 오래 굴리지 않고, 신뢰받는 클라우드 서비스를 악용해 탐지를 피하는 방식도 늘고 있다. 이른바 Living Off Trusted Sites에 가깝다.

• 서버리스(Serverless) 활용: Cloudflare Workers, AWS Lambda 등을 리다이렉터처럼 쓴다. 타깃 입장에서는 workers.dev 같은 정상 도메인으로 보이므로 차단이 쉽지 않다.
• 스토리지(Storage) 활용: Azure Blob Storage, AWS S3 등을 C2 채널처럼 쓴다. 공격자가 스토리지에 명령 파일을 올리면, 감염된 PC가 이를 읽고 실행한 뒤 결과 파일을 다시 올리는 비동기 구조다.