3. 작전 실행¶

실행 단계는 계획의 "왜"와 "어떻게"를 실제로 적용하는 구간 — 인프라 구축부터 공격 활동까지.

데이터 저장소와 폴더 구조¶

수집한 모든 데이터는 암호화된 중앙 저장소에 실시간으로 기록한다. SSH를 통한 원격 폴더 마운트(SSHFS)가 권장 방식.

//repository/작전명/
├── 0-admin/          # 승인된 IP 목록, ROE, 브리핑 자료
├── 1-osint/          # 사전 수집한 공개 정보
├── 2-recon/          # 정찰 데이터 (DNS 조회, Nmap 스캔 등)
├── 3-targets/
│   ├── 도메인명/exfil/      # 도메인 정보 + 빼낸 데이터
│   └── IP_호스트명/exfil/   # 대상별 폴더 — 유출 데이터는 대상마다 분리
├── 4-screenshots/    # 스크린샷 (YYYYMMDD_HHMM_IP_설명.png)
├── 5-payloads/       # 모든 공격 도구 (실행 파일, 스크립트, 피싱 메일)
├── 6-logs/           # 콘솔별 로그, 작전 로그(OPLOG)
└── readme.md

기록(로깅)¶

작전이 끝나면 남는 것은 기록뿐이다. 작전의 질 = 기록의 질.

실패한 행동도 반드시 기록한다 — 실패의 상세 내용이 성공보다 더 가치 있는 경우가 많다.

작전 로그(OPLOG) 필수 기록 항목¶

시작/종료 시각(UTC 권장) · 출발지 IP/호스트명 · 대상 IP/호스트명/포트/시스템명 · 경유지 정보 · 전체 URL · 사용 도구 · 수행한 행동 · 입력한 전체 명령어 · 출력 결과 · 목적(왜 했는가) · 성공/실패 · 시스템 변경 내용 · 스크린샷 파일명 · 요원 이름

자동 수집¶

터미널 로그 자동화 (tmux, script, screen) — 명령마다 요원 IP와 UTC 시각 자동 태깅
상용 도구의 로그를 지정 위치로 수집
자체 제작 도구는 로그 출력 기능을 내장 — 작전 로그 항목을 자동 생성하게 만들면 이상적
스크린샷: 터미널 로그는 요원용, 스크린샷은 경영진을 설득하는 증거. 파일명 YYYYMMDD_HHMM_IP_설명

공작 기법 규칙 (Do's & Don'ts)¶

기본 수행 절차로 항상 적용한다. 예외가 필요하면 선임 요원과 상의하고 사유를 문서화한다.

규칙	이유
모든 행동 기록 (성공+실패)	불완전한 기록 = 불완전한 작전
행동 전 동료 검토 (2인 검증, TPI)	`ifconfig`/`ipconfig` 오타 하나가 조기 발각으로 이어진다. 제2의 요원이 명령과 로그를 확인
도구가 남기는 흔적 파악	예: PsExec — 서비스 파일 복사, 레지스트리 키 생성, prefetch 파일, 로그인 기록, 프로필 폴더 생성. 도구가 아니라 '기법'으로 이해해야 대처법이 보인다
침입 후 상황 파악 먼저	범위 안의 대상인가? 어떤 보호 장치가 있나? 누가 로그인해 있나? 다른 시스템과 기존 연결이 있나?
C2 재접속 최소화	실제 작업용은 1개만 운영, 백업은 휴면·저속으로 유지
평문(비암호화) C2 금지	단, 정상 트래픽에 위장하는 목적은 예외. 내부 통신의 암호화 여부는 환경에 따라 동료와 상의
평문 웹사이트 공격 금지	공격 전 ROE에서 사이트 소유자·호스팅·백엔드 승인 여부를 먼저 확인
이상한 경로에서 실행 금지	`c:\windows\temp` 같은 곳에서 실행하면 이상 징후. 가능하면 파일을 올리지 말고 내장 명령으로 해결
보호 대상 데이터 다운로드 절대 금지	개인정보·의료·카드 정보 등. 접근 증명은 파일명·위치 스크린샷이나 같은 위치에 사본 생성으로 — 데이터 자체는 캡처 금지

활동 구분 절차 (Deconfliction)¶

레드팀 활동과 진짜 공격을 가려내는 절차.

발견된 모든 침해 징후는 일단 정상적인 침해 대응 절차로 보고·대응한다
신뢰 대리인(TA)이 레드팀 팀장에게 출발지·대상·행동·시각·탐지 경로를 통보 → 팀장이 작전 로그로 확인 → 우리 활동인지 회신
레드팀 소행이면 팀장과 TA가 방어팀에 알릴 정보의 수준을 결정 (필요하면 작전 통제 그룹에 상신)

절대 규칙

이 절차를 방어팀이 레드팀을 찾아내는 수단으로 쓰면 안 된다. 그러면 방어팀의 탐지·대응 훈련 자체가 무의미해진다.

고객 데이터 취급¶

개인정보·의료·법적 보호·종교 관련 데이터는 수집 금지. 발견 시: 접근 중단 → 보호 → 작전 통제 그룹 보고 → 반환 또는 폐기
운영 중인 데이터의 수정·삭제, 서비스 중단 공격 금지 (ROE/ECG의 명시 승인 시에만 예외)
물리적 통제: 격리된 작업 공간, 잠금 보관, 이동 시 금고·고정, 방문자 동행
소프트웨어 통제: 모든 시스템 디스크 암호화, 다중 인증 비밀번호 관리, 주고받는 데이터는 해시 기록, 종료 시 도구 완전 제거

실행 개념¶

취약점 공격은 수단일 뿐이다. 한 번 쓰고 백도어(웹쉘 등)로 갈아탄다. 목표와 무관한 취약점은 건드리지 않는다.
공격 코드 없는 침투(Exploitation without Exploits): 코드 결함이 아니라 시스템의 설계·기능·설정을 그대로 이용한다. 평범한 관리자 작업처럼 보여서 흔적이 적다.
웹 애플리케이션 취약점 — 원격 침입의 가장 효과적인 문
설정 오류 — 내부 통신 방치, 평문으로 저장된 비밀번호
감시 부재 — 모니터링이 없으면 시끄러운 도구도 통한다
사회공학 — 피싱·전화·신분 위장 (정치적 부담이 있으면 화이트카드 사용: 미리 약속된 내부자가 의도적으로 클릭)