4. 작전 종료·정리

실행이 끝난 뒤의 종료·정리·브리핑 절차. 작전의 성패가 이 단계의 브리핑 품질에 달린 경우가 많다.

흔적 정리

철수 전에 작전의 모든 흔적을 제거한다 — 도구, 설치 파일, 보안 설정 변경분 포함. 이 절차는 ROE에 미리 문서화되어 있어야 한다.

변경 제거 체크리스트

• 파일시스템 변경 원상 복구
• 접근 수단·백도어 제거
• 요원이나 도구가 올린 파일 제거
• 설치물이 만든 부산물 제거 (다른 곳에 복사·이동됐는지 전체 확인)
• 레지스트리 키 제거·복원
• 수정된 파일·시작 파일 원본 복원
• 시작 스크립트 점검
• 실행 메커니즘·설치 메커니즘 제거
• 설치물이 만든 로그를 레드팀 저장소로 옮긴 뒤 대상에서 삭제
• C2 지속성 수단 제거, C2 통신 종료
• 남은 연결 시도가 없는지 계속 감시
• 남긴 모든 흔적(이름·해시·위치·정리 상태) 목록을 신뢰 대리인에게 전달

자동 소멸 장치

공격 도구와 지속성 수단에는 시간 기반(작전 기간이 지나면 실행 안 됨)과 대상 기반(다른 환경에서는 실행 안 됨) 자동 소멸 코드를 넣어두는 것이 좋다. 제거가 불가능한 항목은 시스템명·IP·경로·변경 내용을 TA에게 알린다.

예외: 훈련용으로 남기기

조직이 훈련·탐지 튜닝용으로 일부 흔적을 남기길 원할 수 있다. 종료 전에 승인·문서화 필수.

기록 마감

• 모든 작전 로그 완성 확인
• 로그 통합
• 자동 수집 데이터 통합
• 대상에서 가져온 데이터 통합
• 팀장 검토·승인
• 전체 데이터 압축·해시 처리한 아카이브 생성 → 승인된 장소에 보관

매일 종료 전에 로그를 점검하는 습관을 들이면 누락을 크게 줄일 수 있다.

보고서 전 브리핑

경영진 브리핑 (Executive Outbrief)

실행 종료 후 1~2일 안에 실시. 최종 보고서가 나올 때까지 조직을 기다리게 하지 않는다.

• 의사결정권자(경영진) + 핵심 보안·기술 인력 참석
• 시간 순서대로 '이야기'를 들려준다 — 기술적 세부가 아니라 업무·매출·평판에 대한 영향(비용 추정 포함) 중심
• "지금은 요약 브리핑이며, 전체 상세는 최종 보고서에 있다"고 명시

기술 브리핑 (Tech-on-Tech)

레드팀과 블루팀이 각자의 행동을 단계별로 함께 리뷰하는 양방향 기술 교류. 최종 보고서보다 더 가치 있는 경우가 많다 — 모든 작전의 필수 단계로 삼아야 한다.

• 레드팀: 사용한 기법과 의도한 흔적 설명 → 각 행동을 한 이유 → 결과와 다음 행동의 연결 → 각 공격을 막을 방어 방법 제안
• 블루팀: 자기들의 방어 절차 설명 → 탐지한 경고·이상 징후 → 레드팀 활동에 대한 대응 과정 리뷰 → 어떻게 탐지·차단·활용할 수 있었는지 논의 → 정식 보고서 전에 사후 분석에 활용

반발·부정적 반응에 대한 대응

"우리가 접근을 열어줬잖아" "진짜 해커는 그렇게 안 해" 같은 반발은 미성숙한 조직에서 흔하다. 긴장을 풀 세 가지 질문:

1. 그 행동이 합의된 범위 안이었는가? — 범위 안이면 문제없는 행동. 정보를 제공받아 시작한 경우(침해 가정 모델)는 미리 밝힌다
2. 전제 조건에 동의하는가? — 가정을 나열해서 합의를 구하거나, 최소한 왜 그렇게 했는지 이해시킨다
3. 실제 공격자가 쓰는 기법인가? — 실제 사건·알려진 기법과 연결하면 타당성이 입증된다

추가 원칙:

• 사실만으로 이야기하라 — 자랑하거나 상대를 깎아내리지 않는다. 조직이 부실했어도 사실 자체가 충분하다
• 개인에게 책임 돌리지 않기 — "회계팀 Bob이 클릭해서"가 아니라 조직의 통제 실패다
• 적대적인 청중이 있으면 정보 전달 전에 감정부터 가라앉힌다