레드티밍이란

정의

레드티밍(Red Teaming): TTP(전술·기법·절차)를 사용해 실제 공격자를 흉내 내는 활동. 목표는 환경을 지키는 사람, 프로세스, 기술이 제대로 작동하는지 훈련하고 측정하는 것.

위협 모방(threat emulation), 모의 적대 행위 등으로도 불린다.

문제 의식: 공격자가 빠진 보안 설계

많은 조직이 감사·규제 준수·패치 관리·취약점 점검·침투 테스트를 수행한다. 그런데도 실제 침해는 계속 발생한다. 이유는:

• 보안 체계를 설계하는 사람들 중 실제 공격자가 어떻게 움직이는지 본 사람이 없는 경우가 많다.
• 위협(threat)은 '사건'이 아니라 지능적인 사람(공격자)이다. 공격자는 방어가 있다는 걸 전제하고 행동을 바꾼다.
• 공격은 스캔 → 취약점 공격 → 끝이 아니다. 목표를 향해 나아가면서 상황 파악을 반복하는 통제된 단계의 연속이다.

피싱 클릭은 사용자의 잘못이 아니다

피싱 메일 한 통이 조직 전체 침해로 이어졌다면, 그것은 링크를 클릭한 직원이 아니라 한 번의 클릭을 막지 못한 보안 체계의 실패다. 직원은 클릭하게 되어 있다 — 그게 사람이다.

실제 vs 인식 (Is vs Should be)

작전 시나리오 설계의 핵심 사고방식:

구분	의미	예시
인식 (Should be)	조직이 믿고 있는 보안 상태	"회계 시스템 접근자는 5명이다"
실제 (Is)	실제 보안 상태	실제로는 20개 계정이 관리자 권한 보유

레드팀의 역할은 '해킹이 가능하다'는 걸 뽐내는 게 아니라, 이 차이를 독립적이고 편견 없이 측정하는 것이다.

레드팀의 목표

1. 방어에 쓰이는 사람·프로세스·기술의 실제 효과 측정
2. 블루팀(방어팀) 훈련 — 실전 연습 없이 실제 공격 대응을 기대할 수 없다
3. 특정 위협이나 공격 시나리오에 대한 방어 태세 검증 — 아직 알려지지 않은 제로데이류 공격(EternalBlue 같은)도 미리 시뮬레이션 가능

레드팀 활동 유형

• 탁상 훈련 — "만약 ~라면?" 토론, 실제 기술 테스트 없음
• 물리적 침입 — 시설·건물 대상
• 사람 공격 — 사회공학으로 직원을 속이는 방식
• 모의 대항 훈련 — 레드팀 vs 블루팀 워게임
• 전면 모의 작전 — 실제 공격에 가장 가까운 종합 시나리오

레드팀의 특성

• 독립성: 대상 조직의 편견·가정에 얽매이지 않아야 정확한 평가가 나온다. 외부 팀이거나 조직과 분리된 내부 팀.
• 목표 지향: 발견한 취약점을 전부 쓰지 않는다. 목표 달성에 필요한 것만 쓰고 나머지는 기록한다.
• 이야기 중심: 개별 발견 항목이 아니라 공격자의 행동 전체 — 하나의 '이야기'를 문서화한다.