1. 작전 계획 수립

목표와 범위를 완전히 이해하고, 필요한 자원을 파악하고, 견고한 계획을 세우지 않으면 전문적인 작전은 불가능하다.

범위·기간·인원

• 레드팀은 컴퓨터 대수가 아닌 시나리오 기준으로 범위를 산정한다. 1,000대 vs 14,000대를 일일이 보는 취약점 점검과는 다르다.
• 기간은 목표와 범위가 정해진 후에 정한다. 기한을 먼저 박으면 범위가 왜곡된다. 통상 2~4주.
• 표준 팀: 4명(작전 요원 3 + 팀장 1). 최소 2명의 전담 요원.
• 기간과 인원은 서로 어느 정도 맞바꿀 수 있다 — 인원을 늘리면 기간 단축 등. 다만 한계가 있다.
• 사전 공개 정보 수집·인프라 준비·사후 분석/보고 시간을 비용에 반드시 포함 — 경험 없는 팀이 가장 많이 빠뜨리는 부분.

수행 빈도

유형	설명	적합한 조직
단발	한 번만 수행	레드팀 입문 조직
정기	연 1~2회	성숙한 조직. 형식적인 연례행사가 되지 않도록 주의
상시	목표를 수주~수년에 걸쳐 분산 수행	심각한 위협에 직면한 성숙 조직. 가장 많은 자원 필요

사전 통보 여부 (공개 vs 비공개)

선택 기준

• 보안 운영 전체의 실력을 재는 것이 목표 → 비공개 (가장 현실적인 결과)
• 특정 도구·절차·기술의 성능을 재는 것이 목표 → 공개 (방어팀을 포함해 범위를 정밀 설계)

• 공개: 조직이 미리 패치·비밀번호 변경 등 준비를 해서 결과가 왜곡될 수 있으나, 핵심 자산이 범위에 빠지지 않고 깊이 있는 규칙 합의가 가능.
• 비공개: 실제 태세를 그대로 재지만, 기획에 참여하는 사람이 적어 핵심 자산이 빠질 수 있고 과잉 반응 리스크가 있다.

역할과 조직 구도

역할	설명
화이트셀 (White Cell)	심판·조정자. 양측 활동을 대조 분석하고 규칙 준수를 감독, 점수 산정. 방어팀에 정보를 직접 주지 않는다
작전 통제 그룹 (ECG)	작전 전체에 최종 책임. 일정·목표 승인, 방어팀에 투입할 정보 결정. 수석 관리자+IT 담당+양측 연락 담당으로 구성
신뢰 대리인 (TA)	대상 조직 내부에서 작전을 아는 사람. 방어팀의 자해적 대응·돌이킬 수 없는 피해 방지. 정보 보호 서약 체결
참관인	각 팀의 행동·반응을 기록만 한다. 개입 금지
레드셀	공격 측 — 팀장 + 작전 요원들
블루셀	방어 측 전체 — 블루팀, 내부 직원, 경영진

ROE (작전 규칙 문서)

작전의 법. 어기면 조직과 요원 모두가 위험해진다.

본문(표준 양식): 레드팀 수행 방법, 활동 유형, 사용 장비·소프트웨어, 활동 구분 절차, 모방 가능한 위협 수준, 역할·책임, 법적 요건(PCI·HIPAA 등), 책임 면책 조항.

부속서(작전별로 작성):

• 대상 정보 (조직명, 연락처, ECG/화이트셀/TA 명단)
• 허가된 대상 범위 — 네트워크(IP 범위, 금지 목록, 작업 허용 시간대) / 물리(구역, 출입 금지 구역)
• 허가 행동 / 금지 행동
• 추가 승인 절차와 담당자 연락처

범위 변경 = ROE 재작성

네트워크 공격만이던 범위에 물리 침입이 추가되면 ROE를 반드시 갱신한다. 최종 ROE는 대상 조직의 수석 관리자(신뢰 대리인)가 서명해야 한다.

위험 관리

레드팀 활동으로 대상 환경에 생길 수 있는 위험을 다룬다(발견된 취약점이 아니라 작전 자체의 위험). 목표는 위험 제거가 아니라 불필요한 위험 제거.

1. 잠재 문제·위험 요소 식별 (인명·장비·업무 중단)
2. 대상 환경에 대한 직접 영향 평가
3. 완화 조치 개발
4. 위험 수용 여부 결정
5. 조치 시행
6. 남은 위험 확인 (수용 가능해질 때까지 반복)
7. 작전 내내 지속 평가

위협 계획

흉내 낼 공격자를 세 가지로 분석:

• 의도 (왜) — 정보 탈취, 코드 조작(공급망 공격), 평판·영업 타격 등. 기술적 결함 지적보다 조직에 직접 타격을 주는 의도를 우선 고려.
• 능력 (무엇을 할 수 있는가) — 자금·기술력·대상 지식. 공격자의 능력을 과소평가하는 것이 흔한 실수.
• TTP (어떻게) — 초기 침입 선호 방식, 남기는 흔적(IOC) 경향, C2 방식, 지속성 기법.