[실전 레드팀 개발 및 운영(Red Team Development & Operations) 가이드] 3강 — 3. 레드팀 프로젝트 기획 및 범위 설정 (Engagement Planning)

⚡ 정다은 · 2026-09-26 14:00 · 조회 34

[Red Team 실무 3강] 레드팀 프로젝트 기획 및 범위 설정 (Engagement Planning)

안녕하세요! Hackerstory 공부방의 IT/보안 튜터, 정다은입니다. 👋

지난 1강과 2강을 통해 '레드팀의 기본 개념과 기존 보안 테스트와의 차이점', 그리고 **'공격자 관점(Adversarial Mindset)의 원리'**를 함께 살펴보았습니다. 공격자의 눈으로 조직을 바라보는 감각을 익히셨다면, 이제 이를 실제 프로젝트로 실행에 옮기는 '기획과 범위 설정(Engagement Planning)' 단계를 배울 차례입니다!

"공격자처럼 행동하라"고 해서 레드팀이 아무런 제약 없이 마구잡이로 서버를 침해할 수 있는 것은 아닙니다. 실전 레드팀 수행에서 가장 중요한 것 중 하나는 안전하고 통제된 환경 내에서 조직의 실제 방어 역량을 정확히 측정하는 것입니다.

오늘 강의에서는 프로젝트 성공의 열쇠인 예산, 기간, 인력, 장비 비용 산정 방식부터 성공적인 프로젝트 범위(Scope) 정의 방법까지 차근차근 풀어드리겠습니다.

1. 개념 설명: 레드팀 프로젝트 기획(Engagement Planning)이란?

(1) 기획의 핵심: Realism(실제성)과 Safety(안전성)의 균형

레드팀 수행은 단순한 취약점 점검이나 점침(Penetration Testing)과 다릅니다. 실제 위협 주체(Threat Actor)의 행동을 에뮬레이션(Emulation)해야 하기 때문에 충분한 시간과 자원이 필요합니다.

그러나 무제한적인 범위와 기간을 허용할 수는 없으므로, **비즈니스 중단을 방지(Safety)**하면서도 **실제 공격과 유사한 환경(Realism)**을 만들어내는 기획(Planning) 과정이 필수적입니다.

       [ Realism (실제 공격과 유사함) ]
                     VS
       [ Safety & Cost (비즈니스 안전 및 비용) ]
                     ↓
   👉 이 둘의 최적 접점을 찾는 과정 = Engagement Planning

(2) 자원 및 비용 산정의 4대 요소

레드팀 프로젝트를 기획할 때는 다음 4가지 핵심 자원을 산정해야 합니다.

구성 요소	주요 고려 사항	상세 내용
1. 기간 (Duration)	공격 수명주기(Kill Chain) 보장	정찰, 초기 침투, 권한 승격, 횡적 이동(Lateral Movement) 등을 수행하려면 최소 3~6주 이상의 기간이 필요함.
2. 인력 (Staffing)	역할 분담 및 역량	레드팀 리드, 인프라 담당, 공격 수행자(Operator), 보고서 작성자 등 기술 수준별 인원 산정.
3. 장비/인프라 (Infrastructure)	C2 및 공격 도구 인프라	외부 VPS 서버 구매, 도메인 등록, C2 프레임워크 라이선스, 피싱 디바이스(필요시) 등.
4. 예산 (Budget)	인건비 + 인프라비 + 예비비	프로젝트 전체에 소요되는 직/간접적 비용 총합 산정.

(3) 프로젝트 범위(Scope) 및 교전 수칙(Rules of Engagement, ROE) 정의

프로젝트의 범위를 정할 때는 **"무엇을 할 수 있고, 무엇을 해서는 안 되는가?"**를 명확히 문서화해야 합니다.

In-Scope (수행 범위):
- 공격 대상이 되는 자산 (IP 대역, 도메인, 임직원 대상 스피어피싱 등)
- 에뮬레이션할 위협 주체(TTPs)의 수준
Out-of-Scope (제외 범위):
- 서비스 거부 공격(DoS/DDoS)
- 운영에 치명적인 영향을 주는 핵심 DB/OT 시스템 직접 파괴
- 지정된 범위 외의 제3자 시스템(클라우드 공용 인프라 등)
교전 수칙 (ROE - Rules of Engagement):
- 비상 정지 절차 (Emergency Stop): 방어팀(Blue Team)과의 충돌이나 실제 장애 발생 시 정지 신호 및 연락망 정의.
- 디콘플릭션(De-confliction): 블루팀이 감지한 이상징후가 레드팀의 행위인지 진짜 해커의 공격인지 확인하는 프로세스.

2. 실전 예시: "A-금융사 레드팀 프로젝트 기획서" 작성해보기

이해를 돕기 위해, 실제 기업 환경을 가정한 프로젝트 산정 예시를 함께 보겠습니다.

🎯 프로젝트 개요

목표: 금융사의 내부망 자금 이체 시스템 접근 권한 확보 가능 여부 검증 (위협 에뮬레이션)
기간: 총 4주 (20 영업일)

💡 Resource & Cost 산정 예시

① 인력 및 기간 산정

프로젝트 리드 (1명): 프로젝트 총괄, ROE 준수 관리, 고객사 소통 (100% 투입)
Senior Operator (1명): C2 구축, 초기 침투, 내부망 권한 승격 담당 (100% 투입)
Junior Operator (1명): OSINT 정찰, 피싱 템플릿 제작, 로깅 정리 (100% 투입)
👉 총 인원: 3명 × 4주 = 12 Man-Weeks

② 인프라 및 장비 비용 산정

외부 VPS 서버: 공격용/C2 서버/리다이렉터 총 6대 ($150)
도메인 구매: 신뢰도 높은 C2용 도메인 3개 ($50)
SSL/TLS 증명서: 도메인 암호화용 ($0, Let's Encrypt 활용)
피싱 전용 하드웨어: (필요시) Rubber Ducky 등 physical tool ($100)
👉 인프라 총비용: 약 $300 (한화 약 40만 원) + C2 라이선스 비용 별도

📝 범위 및 ROE 정의 예시

[In-Scope 대상]
- A-금융사 임직원 대상 메일 (스피어피싱 50건 제한)
- 외부 노출 웹/VPN 로그인 페이지 정찰 및 침투
- 내부망 진입 후 Active Directory(AD) 권한 침입

[Out-of-Scope (절대 금지)]
- 고객 거래용 메인 DB 서버 직접적인 DELETE/UPDATE 쿼리 실행
- 랜섬웨어 형태의 파일 암호화 행위
- 콜센터 및 고객 지원용 번호 대상의 보이스 피싱(Vishing)

[비상 연락 체계 (De-confliction)]
- 레드팀 리드 연락처: 010-XXXX-XXXX
- A-금융사 CISO / CSERT 팀장 연락처: 010-YYYY-YYYY
- 이슈 발생 시 "RED-STOP" 코드워드를 전송하면 즉시 모든 C2 세션을 종료함.

3. 강의 요약 (Takeaway)

오늘 배운 내용을 핵심만 다시 정리해볼까요?

기획의 목적: 레드팀은 무제한 해킹이 아니며, **실제 공격의 유사성(Realism)**과 **조직 비즈니스의 안전(Safety)**을 균형 있게 맞추는 기획이 필수적입니다.
비용 및 자원 산정 4요소: 기간, 인력, 장비/인프라, 예산을 체계적으로 계산해야 프로젝트 중단 없는 에뮬레이션이 가능합니다.
범위(Scope) 및 ROE 설정: 안전한 실행을 위해 In-Scope, Out-of-Scope를 명확히 구분하고, 비상시를 위한 비상 정지 절차 및 De-confliction 프로세스를 문서화해야 합니다.

🔮 다음 챕터 예고

레드팀 프로젝트의 범위와 예산이 정해졌다면, 이제 어떤 위협을 어떻게 시나리오로 만들 것인가를 고민해야 합니다!

다음 4강에서는 **"위협 에뮬레이션 시나리오 설계 및 MITRE ATT&CK 프레임워크 활용법"**을 다룹니다. 실제 존재하는 APT 공격 그룹(예: APT29, Lazarus 등)의 공격 기법을 분석하고, 이를 표준화된 프레임워크인 MITRE ATT&CK에 매핑하여 맞춤형 공격 시나리오를 구성하는 실무 노하우를 공개할 예정입니다.

궁금한 점이 있으시다면 언제든 댓글로 남겨주세요. 다음 강의에서 만나요! 🚀

♥ 추천 0