[실전 레드팀 개발 및 운영] 4강. 교전 수칙(ROE)과 위험 관리

안녕하세요! Hackerstory IT/보안 튜터 정다은입니다. 👋

지난 3강에서는 레드팀 프로젝트의 목표를 정의하고 전체적인 범위를 설정(Engagement Planning)하는 방법을 배웠습니다. 목표와 범위를 정했다면, 이제 실제 공격을 수행하기 전에 반드시 갖춰야 할 **'안전장치'**를 마련해야 합니다.

실제 해커처럼 침투하되, 고객사의 실제 비즈니스에 치명적인 장애를 일으키거나 법적 문제를 발생시켜서는 안 됩니다. 바로 이 아슬아슬한 선을 완벽하게 통제해 주는 것이 **교전 수칙(ROE, Rules of Engagement)**과 **운용 위험 관리(Operational Risk Management)**입니다.

오늘은 전문적인 레드팀 운영의 핵심이자, 팀과 고객 모두를 보호하는 ROE 작성법과 사전 통지 절차, 그리고 위험 관리 기법을 자세히 알아보겠습니다.

1. 개념 설명: 교전 수칙(ROE)과 위험 관리란?

(1) 교전 수칙(ROE, Rules of Engagement)이란?

ROE는 레드팀 작전 중 허용되는 공격 행위와 금지되는 행위, 그리고 비상 상황 발생 시 대응 절차를 정의한 문서화된 규정입니다.

일반적인 침투 테스트(Penetration Testing)는 시스템의 약점을 찾는 것이 목적이므로 대상과 방법이 비교적 명확합니다. 하지만 레드팀 운영은 조직 전체(사람, 프로세스, 기술)를 대상으로 은밀하게 수행되므로, 통제되지 않은 공격은 운영 중단(Downtime), 데이터 손실, 법적 분쟁이라는 심각한 부작용을 낳을 수 있습니다.

💡 Joe Vest & James Tubberville의 제언 "우수한 레드팀 작전은 위협을 사실적으로 모의하되, 비즈니스 영향도를 완벽하게 통제하는 전문성에서 시작된다."

ROE 문서에 반드시 포함되어야 할 핵심 항목

1. 공격 허용 범위 및 금지 행위 (Allowed vs Prohibited TTPs): 랜섬웨어 실행 금지, DB 직접 삭제 금지, 운영 서버 DoS 공격 금지 등.
2. 작전 수행 시간대: 비즈니스 시간 내 수행 여부, 야간/주말 작업 가능 여부.
3. 화이트 셀(White Cell / Trusted Agents) 지정: 작전 수립 및 비상 통제를 담당할 최소한의 고객사 내부 관리자 명단.
4. 비상 정지 절차 (Emergency Stop / Red Button): 시스템 장애나 실제 해킹 정황 포착 시 즉각 작전을 중단하는 절차.
5. 대역 외 통신 채널 (Out-of-Band Communication): 보안이 확보된 별도의 비상 연락망(예: 암호화 메신저, 직통 전화번호).

(2) 운용 위험 관리 및 사전 통지 절차 (De-confliction)

레드팀 운영 시 발생할 수 있는 가장 큰 리스크는 **"공격 수행 중 실제 위협 주체(진짜 해커)의 공격과 겹치는 상황"**입니다. 이를 통제하기 위해 충돌 해결(De-confliction) 절차와 사전 통지 프로세스가 필수적입니다.

[SOC / 블루팀] 이상 징후 감지 및 대응 개시
       │
       ▼
[화이트 셀(신뢰 인원)] 상황 전달 및 레드팀에 확인 요청
       │
       ├─► (A) 레드팀 공격 기록과 일치? ──► "모의 공격 상황임" 확인 후 대응 훈련으로 전환 (De-confliction)
       │
       └─► (B) 레드팀 공격 기록과 불일치? ──► "실제 침해 사고 발생!" 즉시 작전 중단 및 진짜 침해 대응 지원

• 화이트 셀(White Cell) 기밀 유지: 블루팀(보안관제 및 대응팀)에게는 작전 사실을 비밀로 하되, 화이트 셀(보안 책임자급 소수 인원)만 작전 상황을 실시간 모니터링합니다.
• 충돌 해결(De-confliction): 블루팀이 공격을 감지하고 대응에 들어갔을 때, 화이트 셀이 이것이 레드팀의 모의 공격인지 실제 침해사고인지 대조하여 확인하는 절차입니다.

2. 실전 예시: ROE 체계와 충돌 해결 시나리오

개념을 이해했으니, 실제로 작성되는 ROE의 매트릭스 형태와 충돌 해결 절차를 예시로 살펴보겠습니다.

[예시 1] ROE 핵심 매트릭스 예시 문서

레드팀 작전 전, 아래와 같이 공격 기법별 통제 기준을 명확히 정의하고 합의해야 합니다.

[예시 2] 실전 상황별 충돌 해결(De-confliction) 시나리오

상황: 레드팀이 고객사 내부망 권한을 획득하고 C2(Command & Control) 서버와 통신을 시도하던 중, 보안운영센터(SOC)의 블루팀이 해당 C2 IP로의 이상 트래픽을 감지했습니다.

[시나리오 흐름]

1. [블루팀 Action] 
   - SOC 분석가가 내부 PC에서 이상 외부 IP(192.0.2.45)로의 C2 통신 감지.
   - 보고서 작성 및 즉시 해당 단말 격리 조치 진행.

2. [화이트 셀 Intercept] 
   - SOC 팀장이 화이트 셀 멤버인 CISO에게 "실제 C2 통신 공격 감지" 보고.
   - 화이트 셀은 즉시 레드팀의 '작전 타임라인 로그'를 조회.

3. [De-confliction 프로세스 수행]
   - 레드팀 로그 확인: 14:23:10초, 레드팀이 해당 단말에서 C2 비콘(Beacon)을 전송한 기록 존재.
   - 화이트 셀 판단: "해당 건은 레드팀 모의 공격 상황임" 확인.

4. [결과 처리 및 훈련 연계]
   - 화이트 셀은 블루팀의 차단 및 대응 시간을 측정(Detection/Response Time 데이터 확보).
   - 블루팀에게는 "모의 훈련 진행 중 감지 성공"임을 알리고, 실시간 대응 능력 평가 자료로 활용.

만약 이 과정에서 레드팀 로그에 없는 IP나 시간대의 공격이라면? 즉시 진짜 해킹으로 간주하고, 레드팀 작전을 일시 중지(Emergency Stop)한 뒤 실제 침해사고 대응 체계로 전환합니다.

3. 핵심 요약 및 정리를 위한 팁

오늘 배운 교전 수칙(ROE)과 위험 관리의 핵심을 정리해 보겠습니다.

1. ROE는 단순 계약서가 아닌 필수 안전장치이다: 레드팀 활동이 실제 고객 시스템에 비즈니스 차질을 주지 않도록 통제선을 명확히 정해야 합니다.
2. 화이트 셀(White Cell)의 역할이 승패를 좌우한다: 보안관제(블루팀) 몰래 실전성을 유지하되, 리스크를 통제할 최소한의 '신뢰 인원' 배치가 필수적입니다.
3. 충돌 해결(De-confliction) 프로세스를 사전 구축하라: 오탐과 진탐, 실제 공격과 모의 공격이 엉키지 않도록 비상 연락망과 타임라인 대조 절차를 상시 준비해야 합니다.
4. 모든 공격 행위는 시간 단위로 기록(Logging)되어야 한다: 레드팀이 수행한 모든 명령어와 공격 타임라인 로그는 사후 증빙 및 De-confliction의 핵심 자료입니다.

👨‍🏫 정다은 튜터의 한마디 & 다음 챕터 예고

레드팀 분야에서 초보자가 흔히 하는 오해 중 하나는 "레드팀은 마음대로 제약 없이 공격하는 사람들"이라는 점입니다. 하지만 진정한 프로페셔널 레드팀은 가장 정교하고 완벽하게 통제된 상태에서 실제 공격자를 에뮬레이션하는 팀입니다. 명확한 ROE와 위험 관리가 담보될 때, 비로소 고객사는 마음 놓고 실전과 같은 모의 공격을 받아들일 수 있습니다!

다음 시간에는 드디어 이론을 넘어 실전 인프라 구축으로 들어갑니다.

👉 다음 챕터 미리보기: 5강. 공격 인프라 구축과 C2(Command & Control) 환경 설계

• 레드팀의 은밀한 침투를 지원하는 공격용 인프라(지능형 리디렉터, 도메인 전면화) 구성법과 은밀한 명령 제어를 위한 C2 프레임워크 설계 기법을 학습합니다.

다음 시간에도 흥미진진한 실무 이야기로 찾아오겠습니다. 궁금한 점은 댓글로 자유롭게 남겨주세요! 수고 많으셨습니다. 😊