[실전 레드팀 개발 및 운영(Red Team Development & Operations) 가이드] 6강 — 6. 위협 에뮬레이션 시나리오 및 IoC 설계

⚡ 정다은 · 2026-10-04 02:00 · 조회 26

[6강] 위협 에뮬레이션 시나리오 및 IoC 설계: 진짜 공격자처럼 사고하고 흔적을 관리하는 법

안녕하세요! Hackerstory 공부방의 IT/보안 튜터 정다은입니다. 👋

지난 5강에서는 특정 위협 주체의 동작을 분석하고 해체하는 **위협 프로파일링(Threat Profiling & Decomposition)**에 대해 배웠습니다. 위협 주체가 누구이고 어떤 공격 기법(TTP)을 사용하는지 파악했다면, 이제 이를 바탕으로 **"우리 조직을 상대로 실제 공격을 어떻게 재현할 것인가?"**를 설계할 차례입니다.

오늘 다룰 6강에서는 단순한 취약점 점검을 넘어선 위협 에뮬레이션 시나리오(Threat Emulation Scenario) 작성법과, 공격 과정에서 발생하는 침해 지표(IoC, Indicators of Compromise)를 체계적으로 설계하고 관리하는 전략을 알아보겠습니다.

1. 개념 설명: 시나리오와 IoC는 왜 중요한가요?

(1) 위협 에뮬레이션 시나리오란?

많은 분들이 레드팀 수행과 일반 침투 테스트(Penetration Testing)를 헷갈려 하십니다.

침투 테스트: "이 시스템에 어떤 취약점이 있는가?" (가능한 많은 취약점 발굴)
레드팀 위협 에뮬레이션: "실제 APT 조직 X가 우리 회사 핵심 DB를 노린다면, 방어팀(Blue Team)은 이를 탐지하고 막아낼 수 있는가?" (목표 지향적 공격 수행)

따라서 레드팀은 아무렇게나 공격하지 않습니다. **위협 정보(Cyber Threat Intelligence)**를 바탕으로 실제 공격자의 행위를 모방하는 **'각본(Scenario)'**을 작성해야 합니다.

좋은 시나리오는 Joe Vest & James Tubberville의 저서 *《Red Team Development and Operations》*에서 강조하듯 **"Get In(침투) $\rightarrow$ Stay In(거점 확보 및 은닉) $\rightarrow$ Act(목표 달성)"**의 전체 수명주기를 반영해야 합니다.

[Get In: 최초 침투] ──> [Stay In: 지속성 & 권한 상승] ──> [Act: 데이터 유출/목표 달성]

(2) 침해 지표(IoC, Indicators of Compromise) 설계 및 관리

레드팀이 공격을 수행하면 시스템과 네트워크에는 반드시 **흔적(Artifacts/Logs)**이 남습니다. 이 흔적을 **IoC(침해 지표)**라고 부릅니다.

네트워크 IoC: C2 서버 IP, 악성 도메인, 특정 User-Agent, DNS 요청 기록 등
호스트 IoC: 생성된 파일의 해시값(SHA-256), 레지스트리 수정 키, 생소한 프로세스 이름, 명령줄 인자(Command Line) 등

💡 레드팀이 IoC를 관리해야 하는 3가지 이유

충돌 방지 (Deconfliction): 블루팀이 공격을 탐지했을 때, 이것이 "레드팀의 모의 공격"인지 "진짜 해커의 공격"인지 즉각 대조할 수 있어야 합니다.

방어 역량 검증: 레드팀이 남긴 IoC를 SOC(보안운영센터)나 SIEM, EDR이 실제로 탐지했는지 확인합니다.

안전한 원복 (Cleanup): 훈련 종료 후 레드팀이 타겟 시스템에 남겨둔 백도어, 파일, 계정 등을 100% 제거하기 위해 기록이 필요합니다.

2. 실전 예시: 금융사 타겟 APT29 스타일 시나리오 & IoC 설계

이해를 돕기 위해, 실제 레드팀 프로젝트에서 사용하는 시나리오 기획서와 IoC 관리 매트릭스 형태의 예시를 작성해 보겠습니다.

[실전 예시 1] 위협 에뮬레이션 시나리오 명세서

시나리오명: 금융 거래 시스템 접근 권한 탈취 시나리오 (APT29 TTP 모방)
훈련 목표: SOC 팀의 EDR 기반 위협 탐지 및 대응 시간(MTTR) 측정
공격 주체 프로필: APT29 (Cozy Bear) - 피싱 및 정교한 권한 남용 기법 사용

단계	구분	실행 행위 (TTPs)	사용 기법 (MITRE ATT&CK)
1단계	Get In	금융업계 위장 악성 LNK 첨부 메일 발송	T1566.001 (Spearphishing Attachment)
2단계	Stay In	정상 DLL Side-Loading을 통한 C2 연결 및 백도어 설치	T1574.002 (DLL Side-Loading)
3단계	Stay In	LSASS 메모리 덤프를 통한 내부망 자격증명 수집	T1003.001 (LSASS Memory)
4단계	Act	내부망 수직 이동 후 DB 백업 파일 암호화 및 유출	T1041 (Exfiltration Over C2 Channel)

[실전 예시 2] 레드팀 실시간 IoC 기록장 (Operational Log)

레드팀 운영자는 공격을 수행함과 동시에 초 단위로 IoC를 기록합니다. 이 기록은 훈련 후 블루팀과의 복기(Purple Teaming) 시 핵심 자료가 됩니다.

[Red Team Activity Log Sheet]

+---------------------+-------------------+------------------------+------------------------------------------+-----------------------+
| 일시 (UTC)           | 대상 호스트/IP     | 공격 행위 (Activity)   | 발생 IoC (Artifacts/Hashes/Commands)     | 충돌 방지 ID (ID)     |
+---------------------+-------------------+------------------------+------------------------------------------+-----------------------+
| 2023-10-25 10:15:02 | 192.168.10.45     | Spearphishing Exec     | File: Invoice_202310.lnk                 | RT-2023-0612-01       |
|                     |                   |                        | Hash: e3b0c44298fc1c149afbf4c8996fb9242...|                       |
+---------------------+-------------------+------------------------+------------------------------------------+-----------------------+
| 2023-10-25 10:17:30 | 192.168.10.45     | C2 Beaconing           | IP: 185.220.X.X:443 (Domain: update-service.com)| RT-2023-0612-02       |
|                     |                   |                        | User-Agent: Mozilla/5.0 (Windows NT 10.0)|                       |
+---------------------+-------------------+------------------------+------------------------------------------+-----------------------+
| 2023-10-25 10:25:11 | 192.168.10.45     | Credential Dumping     | Cmd: rundll32.exe C:\windows\system32\   | RT-2023-0612-03       |
|                     |                   |                        | comsvcs.dll, MiniDump 624 lsass.dmp full |                       |
+---------------------+-------------------+------------------------+------------------------------------------+-----------------------+

3. 핵심 정리 (Takeaway)

오늘 배운 내용을 핵심 포인트로 요약해 드립니다!

시나리오는 개연성 있는 스토리라인입니다. 단순히 공격 툴을 실행하는 것이 아니라, 위협 인텔리전스를 기반으로 공격자의 목적(Goal)을 달성하는 구체적인 흐름을 설계해야 합니다.
IoC 관리는 레드팀의 프로페셔널리즘을 결정합니다. 공격 도중 발생시키는 파일 해시, IP, C2 도메인, 실행 명령어를 실시간으로 철저히 기록해야 합니다.
IoC 설계의 최종 목적은 '블루팀의 성장'입니다. 우리가 남긴 IoC를 바탕으로 방어팀이 탐지 룰(YARA, Sigma 등)을 개설하고 대응 체계를 개선할 수 있도록 돕는 것이 레드팀의 본질입니다.

🚀 다음 챕터 예고: 7강. 공격 인프라 구축 및 위장 전략 (C2 & Infrastructure)

시나리오와 IoC 계획이 수립되었다면, 이제 실전 공격에 사용할 **무대(인프라)**를 만들어야 합니다!

다음 7강에서는 방어팀의 탐지망을 피하고 실제 공격자처럼 우회하기 위한 C2(Command & Control) 서버 구축 기법, 도메인 렌더링/위장(Domain Fronting & Redirectors), 그리고 안전한 공격 인프라 격리 설계 전략에 대해 알아보겠습니다.

궁금한 점이 있다면 댓글로 언제든 남겨주세요. 다음 강의에서 만나요! 열공하세요! 🔥

♥ 추천 0