보안 테스트 비교

취약점 점검, 침투 테스트, 레드팀 작전은 흔히 섞여 쓰이지만 목적과 깊이가 완전히 다르다.

한눈에 비교

구분	취약점 점검	침투 테스트	레드팀 작전
목적	취약점을 찾아 우선순위 매기기	실제 공격으로 침투 경로 검증	공격자를 흉내 내 방어 역량 측정·훈련
취약점 공격	없음	폭넓게 사용	목표 달성에 필요한 만큼만
초점	기술적 결함	취약점의 비즈니스 위험도	사람·프로세스·기술 전체
결과물	취약점 목록	발견 항목 + 위험도	관찰(observation) 중심 이야기
비유	공격 표면 줄이기	공격 경로 검증	보안 운영 전체 시험
주된 동기	정기 점검	감사·규제 요건(PCI, HIPAA 등)	실제 위협 대응 능력 확인

NIST 보안 프레임워크 기능별 커버리지

NIST 사이버보안 프레임워크의 5단계(식별·보호·탐지·대응·복구) 중 각 테스트가 어디까지 다루는지 비교:

테스트 유형	식별	보호	탐지	대응	복구
취약점 점검	●	●	◐	◐	◐
침투 테스트	●	●	●	◐	◐
레드팀 작전	●	●	●	●	●

• 취약점 점검은 주로 예방(식별·보호)만 본다.
• 침투 테스트는 탐지 일부를 더하지만 대응·복구는 거의 건드리지 않는다.
• 레드팀 작전만이 탐지→대응→복구까지 보안 운영 전체를 시험한다.

왜 구분이 중요한가

• 취약점 점검·침투 테스트의 사후 조치는 공격 표면을 줄일 뿐, 공격자가 실제로 얼마나 활동할 수 있는지는 알려주지 않는다.
• 구멍을 하나씩 메우는 식(두더지 게임)도 좋지만, 다음 공격이 탐지될지는 알 수 없다.
• 레드팀은 취약점을 발견해도 목표와 무관하면 쓰지 않는다 — 취약점은 결과물이 아니라 부산물이다.

레드팀은 공격 활동이 아니다

공격 기법을 쓰지만 본질은 방어 지원 활동이다. "Red cannot exist without Blue."