Yoo HeehyeonYoo Heehyeon

1. 외부 정찰(External Reconnaissance)이란?

외부 정찰은 공격 대상의 자산과 정보를 모아, 초기 침투(Initial Access)로 이어질 진입점을 찾는 단계다.

• 자산(Asset) 수집: 도메인, IP 대역, 서브도메인, 클라우드 버킷처럼 기술적인 공격 표면을 식별한다.
• 정보(Information) 수집: 임직원 이메일, 기술 스택, 내부 문화, 사용 중인 보안 솔루션처럼 비기술적 맥락도 함께 본다.

[!NOTE]
정찰은 단순한 정보 수집을 넘어, 공격의 "각(Angle)"을 잡는 과정이다. 수집된 정보를 바탕으로 어떤 시나리오가 가능할지(예: 피싱, 웹 취약점, VPN 취약점 등) 끊임없이 가설을 세우고 검증해야 한다.

2. 정찰(Reconnaissance) 프로세스

정찰은 선형적인 과정이 아니라, 지속적으로 정보를 정제하고 확장하는 순환 구조를 가진다.

1. 각(Angle) 잡기(Targeting): 공격 가능한 표면을 넓게 훑고, 가능성 있는 벡터를 먼저 잡는다.
2. 정보 검색(Searching): OSINT 도구와 스캐너를 이용해 구체적인 데이터를 모은다.
3. 정보 정제(Refining): 수집한 Raw Data에서 실제 유효한 자산과 취약점만 골라낸다. 예를 들어 살아 있는 호스트인지, WAF가 있는지 같은 정보를 다시 확인한다.

3. 정찰 기법: 패시브(Passive) vs 액티브(Active)

패시브 정찰(Passive Reconnaissance)

패시브 정찰은 타깃 시스템에 직접 패킷을 보내지 않고, 공개된 정보(OSINT)만으로 정보를 모으는 방식이다. 서버 로그에 흔적이 남지 않으니 발각 가능성이 낮다.

• 주요 대상: Shodan, Censys, Whois, 검색 엔진(Google Dorking), GitHub, LinkedIn 같은 SNS
• 장점: 은밀성 유지(OpSec)에 유리하다.
• 단점: 정보가 오래됐을 수 있고, 오탐(False Positive)도 생길 수 있다.

액티브 정찰(Active Reconnaissance)

액티브 정찰은 타깃에 직접 패킷을 보내 응답을 확인하는 방식이다. 정확도는 높지만, IPS, IDS, 방화벽에 걸릴 위험도 같이 커진다.

• 주요 기법: 포트 스캔, 배너 그래빙, 웹 크롤링, 취약점 스캔
• 도구: Nmap, Masscan, Nuclei, Nikto
• 주의사항: 운영보안(OpSec)을 더 엄격하게 지켜야 한다.

4. 운영보안(OpSec)과 인프라 구축

액티브 스캐닝을 수행할 때는 공격자의 실제 신원(Real IP)이 노출되지 않도록 주의해야 한다.

4.1. 분산 스캐닝(Distributed Scanning)

단일 IP에서 대량 스캔을 하면 금방 차단당한다. 그래서 클라우드 인프라를 이용해 여러 IP로 스캔을 분산시키는 편이 낫다.

• AXIOM: 여러 클라우드 인스턴스(Fleet)를 빠르게 만들고 지울 수 있어, 스캔을 나눠 돌린 뒤 결과를 모으기 좋다.
• SOCKS Proxy: 프록시 서버를 경유하게 만들어 타깃에는 프록시 IP만 보이게 한다.

4.2. 익명화 및 회피

• VPN, Tor 사용: 기본적인 IP 은닉 수단으로 쓴다.
• 스캔 속도 조절: 패킷 속도를 낮추거나 랜덤화해 차단 임계치(Threshold)를 넘지 않게 한다.
• User-Agent 변조: 스캐너 기본 User-Agent를 일반 브라우저처럼 바꿔 봇 탐지를 피한다.

5. 결론

외부 정찰은 레드팀 작전의 첫 단추다. 중요한 건 정보를 많이 모으는 것보다, 실제 침투로 이어질 유효한 정보를 추려내는 능력이다. 여기서 정리한 결과가 다음 단계인 초기 침투 시나리오를 구체화하는 재료가 된다.