안녕하세요! Hackerstory 공부방의 IT/보안 튜터 정다은입니다. 👋

지난 1강에서는 레드팀의 정의와 단순한 침투 테스트나 보안 진단이 왜 현실의 위협을 모두 막아주지 못하는지에 대해 알아보았습니다.

이번 2강에서는 레드팀 운영의 핵심 엔진이라고 할 수 있는 '공격자 관점(Adversarial Mindset)'과 '위협(Threat)'의 진정한 의미에 대해 자세히 다루어보겠습니다. 방어자의 시각에서 벗어나 실제 공격자는 조직을 어떻게 바라보고 요새를 우회하는지, 그들의 사고방식을 파악해 봅시다!

2. 공격자 관점(Adversarial Mindset)과 위협 이해

보안을 담당하다 보면 **"우리 회사는 최신 방화벽도 설치했고 EDR 솔루션도 도입했으니 안전해"**라는 착각에 빠지기 쉽습니다. 하지만 실제 공격자들은 여러분이 돈을 들여 구축한 거대한 방화벽 정문을 향해 정면 공격을 퍼붓지 않습니다.

공격자의 관점을 이해하려면 가장 먼저 **인식(Perception)과 현실(Reality)**의 갭을 파악해야 합니다.

1. 위협 주체(Threat Actor)란 누구인가?

보안 분야에서 말하는 **위협 주체(Threat)**는 단순히 자동화된 스캐너 툴이나 호기심에 악성코드를 돌려보는 스크립트 키디(Script Kiddie)가 아닙니다.

레드팀이 에뮬레이션(모사)해야 하는 **지속적 위협 주체(APT, Advanced Persistent Threat)**는 다음과 같은 특성을 가집니다:

1. 명확한 목적(Intent): 금전적 이득, 지적 재산 탈취, 국가기밀 수집, 시스템 파괴 등 뚜렷한 목표를 가집니다.
2. 충분한 자원과 역량(Capability): 제로데이(Zero-day) 취약점을 발굴하거나 맞춤형 악성코드를 개발할 수 있는 기술력과 시간을 보유하고 있습니다.
3. 운영 보안(OpSec) 준수: 자신의 정체가 발각되지 않도록 철저하게 흔적을 지우며, 방어 체계의 탐지를 우회하는 방식을 사용합니다.

즉, 위협은 **'기술'이 아니라 '사람(인간 공격자)'**입니다.

2. 공격자 관점(Adversarial Mindset)의 핵심 원리

방어자(Blue Team)와 공격자(Red Team/Adversary)의 사고방식에는 근본적인 차이가 존재합니다.

[방어자의 관점] 
"모든 자산에 보안 정책을 적용하고, 취약점 패치를 100% 완료해야 해!" (점선 면적 중심)

[공격자의 관점] 
"가장 약한 고리 하나만 찾으면 된다. 사람, 프로세스, 기술 중 무엇이든 상관없다." (선 및 경로 중심)

Joe Vest와 James Tubberville의 저서 『Red Team Development and Operations』에서는 많은 조직이 인식의 오류(Perception vs. Reality) 때문에 가짜 안전감을 느낀다고 지적합니다.

공격자가 조직을 침투할 때 사용하는 사고방식의 3가지 핵심 요소를 살펴봅시다.

① 최저 저항 경로 (Path of Least Resistance)

공격자는 어렵고 복잡한 수단을 고집하지 않습니다. 100억 원짜리 방화벽을 뚫는 대신, 외주업체 직원의 이메일 계정을 피싱하여 로그인하는 것이 훨씬 쉽다면 주저 없이 후자를 선택합니다. 공격자는 **기술(Technology)**뿐만 아니라 **사람(People)**과 **프로세스(Process)**의 빈틈을 종합적으로 노립니다.

② 취약점 중심이 아닌 '목표 중심' 사고

보안 진단팀은 "이 서버에 CVE 취약점이 몇 개 있는가?"를 찾지만, 공격자는 **"이 시스템을 이용해 내부 망 깊숙이 들어가서 핵심 DB(고객 정보)에 접근할 수 있는가?"**를 생각합니다. 단일 취약점의 위험도가 낮아 보이더라도, 여러 작은 허점을 체인처럼 연결(Vulnerability Chaining)하여 최종 목적을 달성합니다.

③ 시스템의 정상 기능을 악용 (Living off the Land)

악성 파일을 함부로 다운로드하여 실행하면 최신 백신(AV)이나 EDR에 걸릴 확률이 높습니다. 따라서 공격자는 파워셸(PowerShell), WMI, certutil 등 운영체제에 기본 탑재된 정상 관리 도구를 활용하여 공격 행위를 감춥니다. 방어자 눈에는 정상적인 IT 관리자의 작업처럼 보이게 만드는 것입니다.

3. 실전 예시: 방어자의 착각 vs 공격자의 시각

이해를 돕기 위해 한 기업의 실제 공격 시나리오를 방어자와 공격자의 시각으로 비교해 보겠습니다.

🛡️ 방어자(보안팀)의 생각:

"우리 회사는 내부 망 접근 시 IP 제한이 걸려 있고, 모든 PC에 EDR 솔루션이 설치되어 있어. 서버실 접근은 인가된 담당자만 가능하니까 외부 공격자가 내부 핵심 DB에 접근하는 건 불가능해."

🗡️ 공격자(레드팀)의 시각:

1. [인간 노림] 임직원 대상 스피어 피싱 이메일을 발송하여 내부 직원의 사번과 비밀번호를 획득한다.
2. [프로세스 허점] 해당 직원의 계정으로 VPN에 접속한다. (2차 인증이 미비하거나, 사용자 승인 허점을 이용)
3. [정상 도구 활용] EDR 탐지를 피하기 위해 별도 악성코드를 깔지 않고, 윈도우 내장 명령어로 네트워크 내부를 탐색(Reconnaissance)한다.
4. [권한 상승] 패치되지 않은 내부 단말 하나를 찾아 도메인 관리자 권한을 탈취한다.
5. [목표 달성] 핵심 DB에 접근하여 데이터 백업본을 암호화하여 외부로 유출한다.

[방어자] 방화벽/EDR 모니터링 중 ──> 이상 없음 (착각)
[공격자] 정상 권한 계정 + 내장 도구 사용 ──> 유유히 내부 망 침투 및 데이터 탈취 완료 (현실)

이처럼 공격자는 방어자가 구축해 놓은 규칙의 밖에서 생각하며, 정상과 악성의 경계를 무너뜨리는 방식으로 접근합니다.

4. 챕터 요약 (Summary)

1. 위협(Threat)은 '사람'이다: 위협 주체는 단순 취약점이 아니라 명확한 목적, 자원, 기술을 가진 실제 공격자(APT 등)를 의미합니다.
2. 공격자 관점의 핵심: 가장 약한 고리(최저 저항 경로)를 찾고, 사람·프로세스·기술 전체를 공격 대상으로 삼습니다.
3. 목표 지향적 행동: 단일 취약점의 유무보다, 여러 작은 허점을 연결하여 조직에 실제 '비즈니스 타격'을 주는 것에 집중합니다.
4. Living off the Land: 방어 도구를 우회하기 위해 OS 내장 정상 도구를 적극적으로 악용합니다.

🚀 다음 챕터 예고

공격자가 어떻게 생각하고 움직이는지 기본 시각을 갖추었다면, 이제 레드팀이 이러한 위협을 실제로 어떻게 계획하고 모사하는지 체계적인 프레임워크를 알아야 합니다.

다음 3강에서는 **"위협 에뮬레이션과 레드팀 수행 수명주기(Red Team Engagement Lifecycle)"**를 다룹니다. 공격 목표 설정부터 사전 조사(Reconnaissance), 침투(Get In), 거점 확보 및 유지(Stay In), 목적 달성(Act)으로 이어지는 레드팀의 실전 수명주기와 기획 방법을 학습해 보겠습니다.

다음 강의에서 만나요! 궁금한 점은 댓글로 편하게 남겨주세요. 😊