전통적인 모의해킹의 한계
전통적인 모의해킹(Penetration Testing)은 웹, 모바일, 혹은 외부망 등 정해진 스코프(Scope) 내에서 개별적으로 보안 평가를 진행하는 데 초점이 맞춰져 있습니다.- 사일로(Silo)화 된 평가: 모의해킹을 통해 특정 웹 앱에서 SQL 인젝션 취약점을 찾을 수는 있습니다. 하지만, 공격자가 그 웹 앱을 프록시로 삼아 내부망으로 피벗(Pivot)하여 들어올 때 방어팀이 이를 탐지할 수 있는지는 평가하지 못합니다.
- 축구 경기 비유: 모의해킹은 슈팅, 패스, 드리블 등을 개별적으로 훈련하는 것과 같습니다. 이는 필수적인 훈련이지만, 11대 11의 실전 경기를 단 한 번도 뛰어보지 않고 4년 내내 개별 훈련만 한다면 월드컵에서 결코 승리할 수 없습니다.
- 근본적인 한계: 실제 공격이 발생했을 때 조직의 전반적인 보안 통제, 블루팀(방어자)의 대응 능력, 그리고 보안 프로세스들이 ‘유기적으로’ 잘 작동하는지 종합적으로 테스트할 수 없습니다.
레드팀 테스팅: “실전 경기”
레드팀 테스팅은 실제 11대 11 실전 연습 경기입니다. 이는 조직의 사람, 프로세스, 기술을 아우르는 전체적인 방어 능력을 길게는 4~8주에 걸쳐 종합적으로 평가하는 적대적 시뮬레이션(Adversary Simulation)입니다.모의해킹 (Pentesting)
잠긴 문이 몇 개인지 확인하고 취약점을 나열하는 것.
레드팀 (Red Teaming)
알람을 울리지 않고 금고 안의 목표물(데이터)을 탈취하는 것.
레드팀 테스팅의 핵심 속성
- 전사적 & 다중 도메인 (Holistic & Multi-Domain): 실제 공격자들은 웹 앱 하나만 공격하고 멈추지 않습니다. 그들은 클라우드, 모바일, 내부망, 심지어 물리적 보안이나 사회공학적 기법까지 동시다발적으로 엮어서 공격합니다. 레드팀 역시 여러 공격 표면(Attack Surface)을 엮어 체인 형태로 공격을 진행합니다.
- 은닉(Stealth)과 지속성(Persistence): 블루팀에게 들키지 않는 것이 최우선 목표입니다. 레드팀은 SIEM이나 EDR 시스템의 탐지를 우회하며 매우 조용히 움직입니다. 또한, 한 번 확보한 거점을 바탕으로 몇 주에서 몇 달에 걸쳐 지속성(Persistence)을 유지합니다.
- 현실적인 목표 달성: 단순히 CVE 번호를 나열하는 것이 아니라, “SWIFT 인프라에 접근할 수 있는가?”, “블루팀 모르게 더미 고객 데이터를 유출할 수 있는가?”와 같은 실질적이고 치명적인 목표를 달성하는 데 집중합니다.
- Assumed Breach (이미 뚫렸다고 치고): 만약 타겟 기관의 블루팀 방어력이 뛰어나 초기 침투(예: 피싱)에 실패하더라도 훈련을 멈추지 않습니다. 내부망에 미리 비컨(거점)을 하나 심어두고 “이미 뚫렸다”는 가정하에 내부 정찰, 횡적 이동(Lateral Movement), 탐지 및 대응 능력을 평가합니다.