안녕하세요! Hackerstory 공부방의 IT/보안 튜터 정다은입니다. 👋

지난 시간까지 우리는 레드팀 프로젝트의 범위(Scope)를 설정하고, 안전하면서도 효과적인 교전 수칙(ROE) 및 위험 관리 방안을 작성하는 법을 배웠습니다.

이제 준비작업은 끝났습니다! 이번 5강부터는 본격적으로 공격자의 관점에 깊이 몰입해보려고 합니다. 레드팀이 단순한 침투 테스트(Penetration Testing)와 가장 다른 점은 **"실제 위협 주체(Threat Actor)의 행위를 정교하게 모사(Emulation)한다"**는 것입니다.

무작정 시스템의 취약점을 찾아서 뚫고 들어가는 것이 아니라, **"우리 조직을 실제로 노리는 블랙햇(Black Hat)은 누구이며, 그들은 어떤 방식으로 공격하는가?"**를 정의해야 합니다. 이것이 바로 이번 챕터에서 다룰 **'위협 프로파일링 및 분해(Threat Profiling & Decomposition)'**입니다.

5. 위협 프로파일링 및 분해 (Threat Profiling & Decomposition)

1. 개념 설명: 위협 프로파일링과 분해란 무엇인가?

실제 보안 현장에서 조 Vest와 James Tubberville은 그들의 저서 Red Team Development and Operations에서 이렇게 강조합니다.

"조직은 단순히 기술뿐만 아니라 사람과 프로세스에 대한 평가를 함께 진행할 때 보안 태세를 비약적으로 향상시킬 수 있다. 시나리오 기반 테스트와 레드팀 기법은 실제적이고 단호한 위협에 맞서 조직이 어떻게 대응하는지 측정하는 데 사용된다."

실제 위협 주체를 모사하려면 먼저 그들의 **트레이드크래프트(Tradecraft, 공격 수법 및 운용 습관)**를 명확히 이해해야 합니다.

① 위협 프로파일링 (Threat Profiling)

위협 프로파일링이란 우리 조직이 속한 산업군, 보유한 자산, 지리적/정치적 상황을 고려하여 공격할 가능성이 높은 실제 위협 주체(APT 그룹, 사이버 범죄 조직 등)를 선정하고 그들의 특성을 정의하는 과정입니다.

• 동기(Motivation): 금전적 이득, 정탐(Espionage), 파괴 및 교란 등
• 역량(Capability): 제로데이 보유 여부, 커스텀 악성코드 개발 능력, 툴킷 수준
• 인프라 및 도구(Infrastructure & Tools): C2 서버 구성 방식, 사용하는 파일리스(Fileless) 공격 기법 등

② 위협 분해 (Threat Decomposition)

위협 프로파일링을 통해 특정 위협 주체(예: FIN7, APT29 등)를 선정했다면, 사이버 위협 인텔리전스(CTI) 보고서에 포함된 거대한 공격 행위를 레드팀이 실제로 실행할 수 있는 최소 단위의 공격 요소(TTP: Tactics, Techniques, Procedures)로 쪼개는 작업이 필요합니다. 이를 위협 분해라고 합니다.

레드팀의 기본 실행 방법론인 "Get In(침투), Stay In(지속성 유지), Act(목표 달성)" 프레임워크에 맞춰 공격 행위를 단계별로 분해합니다.

 [ CTI 보고서 / 위협 프로필 ]
          │ (분해: Decomposition)
          ▼
 ┌─────────────────────────────────────────┐
 │ 1. Get In  : 초기 침투 기법 (Initial Access)│
 │ 2. Stay In : 지속성 및 은닉 (Persistence) │
 │ 3. Act     : 데이터 탈취 및 내부 이동   │
 └─────────────────────────────────────────┘

2. 예시: 실제 위협 분석 및 분해 과정

이해를 돕기 위해 금융 기업인 **'해커뱅크(Hacker Bank)'**를 대상으로 레드팀 수행을 준비한다고 가정해 보겠습니다.

Step 1. 위협 프로파일링 (Threat Profiling) 작성

해커뱅크의 CTI 분석 결과, 최근 금융권을 집중 공격하는 가상의 위협 주체 **'APT-RedFox'**를 모사 대상으로 선정했습니다.

• 위협 주체 명칭: APT-RedFox
• 공격 동기: 금융 자산 탈취 및 내부 결제망 교란
• 주요 타깃: 동아시아 금융기관 SWIFT 및 내부 계정 관리 시스템
• 트레이드크래프트 요약:
  • 사회공학적 피싱 메일에 악성 LNK 파일 첨부
  • 정식 윈도우 프로세스를 활용한 DLL 사이드로딩(DLL Side-loading)으로 은닉
  • PowerShell 및 C2(Command & Control) 통신을 통한 셸코드 실행

Step 2. 위협 분해 (Threat Decomposition) - MITRE ATT&CK 매핑

위의 위협 프로필을 바탕으로 레벨별 TTP를 구체적 실행 단위로 분해합니다.

Step 3. 오퍼레이션 실행 계획으로의 전환 (Execution Mapping)

위에서 분해한 TTP는 레드팀 오퍼레이터가 직접 코딩하거나 툴에 적용할 수 있는 형태로 재구성됩니다.

# 예시: 위협 분해 결과에 기반한 2단계(Stay In) DLL 사이드로딩 및 C2 연결 시뮬레이션 명령
# [T1574.002 및 T1071.001 모사]

1. 정상 파일(target_app.exe)과 악성 DLL(msimg32.dll)을 동일 디렉터리에 배치
2. target_app.exe 실행 시 악성 DLL의 DllMain() 호출
3. 메모리 내에서 C2 서버(https://c2.hackerstory-demo.com)로 비대칭 암호화 패킷 전달

이처럼 단순한 "악성코드 실행"이라는 거대한 개념을 실제 공격자가 사용하는 바이너리, 명령어, 통신 패턴 수준으로 잘게 쪼개는 것이 위협 분해의 핵심입니다.

3. 요약 및 정리

오늘 배운 내용을 핵심 포인트로 정리해 봅시다!

1. **위협 프로파일링(Threat Profiling)**은 실제 우리 조직을 위협할 수 있는 공격자(APT 등)의 동기, 역량, 공격 수단(Tradecraft)을 선별하고 정의하는 과정입니다.
2. **위협 분해(Threat Decomposition)**는 CTI에 명시된 거대한 공격 기법을 Get In, Stay In, Act 단계에 맞춰 MITRE ATT&CK 프레임워크 기반의 세부 TTP로 쪼개는 작업입니다.
3. 이를 통해 레드팀은 임의의 취약점 공격이 아닌, **"방어팀(SOC/Blue Team)이 실제 위협 주체를 상대로 탐지 및 대응(Detection & Response)을 제대로 수행할 수 있는가?"**를 철저히 검증할 수 있습니다.

다음 챕터 예고 🚀

위협 프로필을 작성하고 TTP를 깔끔하게 분해했다면, 이제 이 파편화된 공격 요소들을 하나로 묶어 하나의 완벽한 공격 시나리오 스토리라인으로 엮어내야 합니다.

다음 6강에서는 **"위협 에뮬레이션 시나리오 설계 및 매핑 (Threat Emulation Scenario Design & Mapping)"**을 다룹니다. 분해된 TTP를 안전하면서도 방어팀의 역량을 최대한으로 끌어올릴 수 있는 '실전 공격 시나리오 시퀀스'로 조립하는 노하우를 공개할 예정이니 많이 기대해 주세요!

오늘 강의 노트가 도움이 되셨다면 댓글과 좋아요 부탁드립니다. 궁금한 점은 언제든 댓글로 남겨주세요! 이상, Hackerstory 튜터 정다은이었습니다. 감사합니다! 😊