완전한 적대 시뮬레이션. 사업 목표를 정해 놓고.
목표를 미리 정하고, 방어 조직에는 알리지 않은 채 처음부터 끝까지 수행하는 적대 시뮬레이션입니다. 여기서 묻는 것은 취약점이 있느냐가 아닙니다. 누군가 이미 안에 들어와 있을 때, 귀사가 알아채고 봉쇄하고 대응하느냐입니다.
레드팀이 재는 것은 탐지력이지, 결함 목록이 아닙니다
모의해킹은 무엇이 악용 가능한지에 답합니다. 레드팀 훈련은 그다음에 무슨 일이 벌어지는지에 답합니다. 누군가 알아채기까지 얼마나 걸리는지, 경보가 사람에게 닿는지, 그 사람이 무엇을 해야 할지 아는지, 압박 속에서 봉쇄가 버티는지. 기술만이 아니라 조직 전체를 시험하며, 절차와 당직 체계, 의사결정도 환경과 똑같이 범위에 들어갑니다.
- 목표는 귀사와 함께 정한 구체적인 사업상의 지점이며, 기술 발견 사항의 목록이 아닙니다.
- 방어 팀에는 알리지 않습니다. 그들의 자연스러운 반응이야말로 측정 대상이기 때문입니다.
- 끝날 때 수행한 모든 행위를 탐지가 실제로 기록한 내용과 맞춰 봅니다.
- 그 결과, 취약점 수정만으로는 결코 메워지지 않는 가시성과 절차의 구멍이 드러납니다.
포함되는 범위
아래 범위는 일반적인 프로젝트의 기본값입니다. 범위 협의 단계에서 모두 조정할 수 있으며, 별도 비용은 없습니다.
- 선정된 대상에 대한 표적 피싱
- 핵심 인물에 대한 공개 정보 수집
- 전화와 메신저를 이용한 신분 위장
- 외부에 드러난 경계
- 유출된 계정 정보와 비밀번호 재사용
- 원격 접속과 협력사 포털
- 통제된 USB 배치와 실물 매체 전달
- 단말과 도메인에서의 권한 상승
- 메모리와 디스크에서 계정 정보 수집
- 시스템 간 신뢰 관계 악용
- 네트워크 구간을 넘나드는 측면 이동
- 저장소, 배포 파이프라인, 비밀값 접근
- 조용한 지속성 확보와 접근 복구
- 목표로 지정한 데이터베이스 도달
- 회계 또는 결제 시스템 접근
- 민감 데이터 묶음의 반출 모의
- 관리 콘솔 장악
- 핵심 운영 환경 도달
- 피해를 주지 않고 영향 입증
- 최초 탐지까지 걸린 시간
- 발생한 경보의 품질과 전달 경로
- 상급 보고와 당직 인력 소집
- 적용된 봉쇄 조치의 실효성
- 사고 중 내부 소통
- 조사에 쓸 수 있는 기록과 흔적
- 합의된 규칙 안에서의 EDR·백신 우회
- 명령 제어 채널과 통제된 지속성
- 액티브 디렉터리 권한 상승과 위임 악용
- 커버로스팅과 메모리에서의 계정 정보 추출
- 구내망과 클라우드 사이의 이동
- 흔적 정리와 환경 원복
수행 방식
범위에 맞춰 조정정식 레드팀
사전 통보 없는 훈련입니다. 목표는 정해 두고, 규칙 안에서 경로는 자유롭게 잡습니다. 업무 시간 외에 벌어지는 일까지 포함해, 현실에 가까운 조건에서 방어 운영을 측정합니다.
퍼플팀
공격과 방어가 같은 자리에서 기법을 하나씩 수행하며 모니터링에 무엇이 잡히는지 바로 확인합니다. 기습성은 줄고, 탐지 규칙과 적용 범위를 다듬는 데 무게가 실립니다.
침해 가정
이미 침투가 일어났다고 보고, 부여된 접근 권한에서 시작합니다. 진입 단계를 줄이고 측면 이동과 탐지, 봉쇄에 역량을 집중할 수 있습니다.
적대 훈련이 값을 하는 시점
레드팀은 바탕이 이미 있다고 전제합니다. 모니터링도 대응 계획도 없다면 훈련이 재는 것은 공백이고, 같은 노력이면 모의해킹이 더 많은 것을 돌려줍니다.
제품을 들이고, 규칙을 켜고, 대시보드도 만들었지만, 실제 공격이 움직일 수 있는 경보를 낸다는 증거는 없습니다. 훈련은 그 짐작을 측정으로 바꿉니다.
승인된 문서, 설계된 흐름, 종이 위의 당직표. 상급 보고가 정말 일어나는지, 얼마나 걸리는지는 사전 통보 없는 훈련에서만 드러납니다.
모의해킹 주기를 몇 번 마치고 나면 질문이 달라집니다. 알려진 결함을 다 고친 상태에서, 아무도 예상하지 못한 경로로 목표에 닿는 사람이 여전히 있을까?
일부 산업과 계약은 취약점이 없다는 사실이 아니라 탐지와 대응 역량의 증빙을 요구합니다. 이 훈련이 만들어 내는 것이 바로 그것입니다.
진행 방식
[진행 절차]목표 설정과 규칙
소수의 인원과 함께 구체적 목표, 금지 사항, 손대지 않을 시스템, 계획을 벗어났을 때 훈련을 중단하는 방법을 정합니다. 누가 알고 있는지도 기록합니다. 보통은 아주 적은 인원입니다. 그래야 나머지 조직이 진짜 반응을 보입니다.
조직에 대한 정보 수집
공개된 정보를 모읍니다. 사람, 직책, 협력사, 사용 기술, 주소, 과거 유출, 디지털 흔적. 공격자가 진입로를 고르기 전에 갖추는 자료와 같으며, 그것만으로도 가장 약한 고리를 가리키는 경우가 많습니다.
최초 접근 확보
정한 경로를 실행합니다. 위장 시나리오, 드러난 자산, 재사용된 계정 정보, 또는 협력사 경유. 모든 시도에 시각을 기록해, 나중에 방어 측이 무엇을 봤는지와 나란히 대조할 수 있게 합니다. 실패한 시도까지 포함해서입니다.
이동과 권한 상승
첫 거점에서 목표를 향해 나아갑니다. 권한을 올리고, 계정 정보를 모으고, 구간을 넘고, 시스템에 닿습니다. 눈에 띄지 않는 것을 늘 염두에 둡니다. 너무 요란하면 측정하려던 것과 다른 질문에 답하게 되기 때문입니다.
목표 도달
목표에 닿으면 피해 없이 입증합니다. 접근했다는 증적은 남기되, 민감 데이터를 실제로 반출하지 않고 파괴적 변경도 하지 않습니다. 중요한 것은 그 경로가 존재함을 보이고, 어떻게 지나왔는지를 기록하는 일입니다.
함께하는 재구성
가장 값진 산출물은 마지막 자리입니다. 공격 시간표와 방어 시간표를 나란히 놓습니다. 경보는 울렸는데 아무도 보지 않은 지점, 기록 자체가 없던 지점, 봉쇄가 통한 지점. 여기서 우선순위가 매겨진 탐지 개선 목록이 나옵니다.
작업의 근거가 되는 공개 기준
훈련은 널리 인정된 적대 시뮬레이션 프레임워크를 따릅니다. 그래서 결과를 시간에 따라 비교할 수 있고, 규제기관과 감사인도 읽어낼 수 있습니다.
- MITRE ATT&CK
- 수행한 모든 기법에 식별자가 붙습니다. 이를 바탕으로 탐지 적용 범위 표를 만들고 훈련 간 진전을 추적할 수 있습니다.
- TIBER-EU
- 위협 인텔리전스 기반 점검에 대해 역할과 단계, 안전장치를 규정한 유럽 프레임워크입니다. 운영 환경에서의 적대 훈련에 관한 유럽 금융권의 기준입니다.
- CBEST 및 동종 제도
- 각국의 인텔리전스 주도 점검 제도도 같은 논리를 따릅니다. 실제 위협 정보에서 목표를 고르고, 통제된 상태로 수행하며, 마지막에 함께 재구성합니다.
- NIST SP 800-53 / CSF
- 탐지와 대응 통제 항목은, 발견된 구멍을 귀사 거버넌스 조직이 이미 쓰는 용어로 설명할 어휘를 제공합니다.
- 사이버 킬 체인
- 공격을 단계로 보는 모형입니다. 조직이 사슬의 어느 지점에서 진행을 끊었는지, 혹은 끊지 못했는지를 보여주는 데 쓰입니다.
- 교전 규칙
- 시작 전에 서명하는 문서로 범위, 금지 사항, 시간대, 비상 연락처, 중단 기준을 담습니다. 승인된 훈련과 실제 사고를 가르는 것이 바로 이 문서입니다.
산출물
두 갈래 · NDA공격 서술
첫 접촉부터 목표 도달까지 시간 순으로 짚는 완결된 기록입니다. 기술 식별자가 아니라 판단과 결과를 다루기 때문에, 이사회가 처음부터 끝까지 읽어 내려가는 문서가 됩니다.
나란히 놓은 시간표
수행한 모든 행위를 시각과 함께, 방어 측이 기록한 것·경보한 것·지나친 것과 나란히 보여줍니다. 훈련의 핵심이며 대개 가장 빠른 변화를 이끌어 냅니다.
탐지 적용 범위 표
사용한 기법을 식별자별로 정리해, 무엇이 탐지됐고, 무엇이 기록만 되고 경보는 없었으며, 무엇은 흔적조차 남기지 않았는지 보여줍니다.
대응 평가
상급 보고가 실제로 어떻게 굴러갔는지. 누가 호출됐고, 얼마나 빨랐으며, 어떤 결정이 내려졌고, 봉쇄가 실제로 무엇을 끊었는지.
탐지 개선 권고
구체적인 규칙 조정, 빠져 있는 로그 수집원, 보강할 적용 범위를, 어느 것이 경로를 가장 먼저 끊었을지에 따라 순서대로 제시합니다.
재구성 워크숍
방어 팀과 함께 훈련을 단계별로 되짚는 작업 자리이며, 질문할 시간을 넉넉히 둡니다. 지식 전달로 보면 보고서의 어느 장보다 값어치가 큽니다.
자주 묻는 질문
모의해킹은 넓이를 취합니다. 범위 안의 공격면을 훑어 악용 가능한 결함을 되도록 많이 찾습니다. 레드팀은 목표를 향해 깊이를 취하고, 조직이 어떻게 반응하는지를 측정합니다. 전자는 무엇이 취약한지에 답하고, 후자는 누군가 그것을 악용했을 때 무슨 일이 벌어지는지에 답합니다.
알리지 않습니다. 그게 핵심입니다. 훈련을 아는 사람은 소수—대개 보안 책임자와 법무—이며 서명된 승인서를 갖고 있습니다. 대응이 외부로 번지면 언제든 중단할 수 있습니다. 나머지 인원은 모르는 상태로 반응하고, 진짜 반응을 재는 방법은 그것뿐입니다.
교전 규칙이 금지 행위, 손대지 않을 시스템, 즉시 중단 기준을 정해 둡니다. 기간 내내 양측 비상 연락망이 열려 있고, 상황을 끝내야 할 때 서명된 승인서를 제시합니다.
실제로 움직일 수 있는 경보를 내는 모니터링이 없고 운영 중인 대응 계획도 없다면, 훈련이 재는 것은 이미 알고 계신 빈자리입니다. 그런 경우에는 모의해킹과 탐지 규칙 구축이 더 많은 것을 돌려줍니다. 레드팀은 시험해 볼 방어가 있을 때 의미가 있습니다.
사회공학이 범위에 들면 보냅니다. 다만 분명한 안전장치를 둡니다. 어떤 결과도 징계 목적으로 개인 단위로 정리되지 않으며, 개인이 드러나는 형태로 보고하지도 않습니다. 중요한 것은 통제 수단과 절차의 유효성이지, 누가 클릭했는지의 명단이 아닙니다.
모의해킹보다 훨씬 깁니다. 눈에 띄지 않으려면 속도를 늦춰야 하고, 목표에는 스캔이 아니라 경로를 밟아 도달하기 때문입니다. 기간은 목표와 함께 정합니다. 마무리 재구성 단계에서 수행 자체만큼 얻는 것이 많은 경우도 흔합니다.
가능하고, 이 방식의 값어치가 드러나는 지점이 바로 거기입니다. 기법을 식별자로 기록해 두므로 다음 훈련에서 무엇이 탐지 가능해졌는지, 무엇이 여전히 보이지 않는지, 반응 시간이 나아졌는지가 드러납니다. 인상이 아니라 측정된 진전입니다.