레드팀, 예상을 뛰어넘는 충격적인 발견을 공개하다

많은 기업이 전문적인 공격 테스트를 받기 전까지는 잘못된 보안 가정 하에 운영되고 있습니다.

저는 30년 가까이 공격 보안 평가를 수행하면서 현실적인 위협 행위자의 전술에 직면했을 때 조직의 신뢰가 어떻게 사라지는지 목격했습니다. 레드팀 모의 공격은 단순히 방어 체계를 평가하는 것이 아니라 디지털, 소셜, 물리적 공격 벡터를 포괄하는 광범위한 교전 규칙으로 활동하는 숙련된 공격자가 달성할 수 있는 모든 범위의 접근을 보여줍니다. 저희의 운영은 경영진이 상상도 하지 못했던 치명적인 보안 격차를 일상적으로 드러냅니다.

저희 팀은 포괄적인 테스트를 통해 다음과 같은 놀라운 수준의 액세스 권한을 확보했습니다:

• 제조 장비를 위한 산업 제어 시스템
• 암호화 서명 인프라
• 재무 및 보상 시스템
• 독점 지적 재산 저장소
• 핵심 뱅킹 플랫폼
• 물리적 보안 감시 네트워크
• 경영진 커뮤니케이션
• 의료 진단 장비 및 보호 대상 데이터
• 민감한 문서 저장소
• 기업 VPN에 연결된 보조 거주지
• 완전한 Active Directory 자격 증명 데이터베이스

저희는 온프레미스와 클라우드 환경 간에 공격을 쉽게 전환했습니다. 역설적이게도 규모가 큰 조직일수록 공격하기 쉬운 표적이 되는 경우가 많으며, 광범위한 공격 표면은 보안 예산만으로는 해결할 수 없는 방어 문제를 야기합니다. 이는 공격과 방어 사이의 근본적인 비대칭성을 반영합니다. 이러한 취약점은 가상의 시나리오가 아니라 실제 존재하는 위험이며, 더 많은 기업에 영향을 미치는 실질적인 위험입니다.

초기 액세스 설정

침해는 첫 번째 진입 지점을 제공하는 공격 벡터인 거점을 통해 시작됩니다. 이를 네 가지 주요 범주로 분류합니다:

1. 소셜 엔지니어링 전술

소셜 엔지니어링은 효과적이기는 하지만 기술적으로 가장 정교하지 않은 접근 방식입니다. 공격자들이 이 방법을 성공적으로 사용하는 것을 보았습니다:

• 경영진을 사칭하여 사기 거래를 승인합니다.
• AI 합성 음성을 활용하여 인증 절차 우회 이러한 방법은 기술적인 기술보다는 인간의 본성을 악용하는 데 더 많이 의존합니다.

2. 인증정보 공격 기법

비밀번호 스프레이는 오늘날에도 무서운 효과를 발휘합니다. 다음과 같은 기본적인 인증정보 조합을 사용하여 공격에 성공하는 경우가 많습니다:

• "Summer2025!" (적절한 제어 없이 0.1%의 사용자가 선택한 것일 가능성이 높음)
• "여름2025!" (긴 비밀번호를 요구하는 조직의 경우) 이러한 공격은 취약하지만 허용된 비밀번호 정책에 대해 수집된 사용자 이름을 활용합니다.

3. 멀티팩터 인증 우회 공격

MFA는 보안에 있어 상당한 진전을 이루었지만, 불완전한 구현으로 인해 다음과 같은 취약점이 발생합니다:

• 알림 피로도 익스플로잇
• 조건부 액세스 규칙의 취약점
• 휴면 등록 프로세스 한 참여에서는 침해된 이메일에서 발견된 반년 된 등록 링크를 사용하여 악성 디바이스를 등록했습니다.

4. 기술적 취약점 악용

사용자 지정 애플리케이션은 특히 취약한 것으로 나타났습니다:

• 인젝션 공격(SQL, 명령어 등)
• 디렉토리 트래버스 결함
• 권한 에스컬레이션을 가능하게 하는 논리 오류
• 역직렬화 취약성 레거시 타사 구성 요소는 패치가 적용되지 않은 경우 원격 코드 실행 위험을 초래하는 경우가 많습니다.

규정 준수와 현실의 격차

기존의 보안 감사는 종종 잘못된 확신을 제공합니다. 레드팀 운영을 통해 극명한 차이를 발견할 수 있습니다:

• 체크박스 규정 준수
• 진정한 방어 효과

많은 고객이 이론적인 취약점을 보여주는 포괄적인 모의 침투 테스트 보고서를 제출하지만, 인증되지 않은 외부 위치에서 시작된 실질적인 침해가 발생하기 전까지는 그 보고서가 신뢰할 수 없습니다. 보안 성숙도를 구축하는 조직에게 포괄적인 취약성 평가는 표적화된 레드팀 연습보다 더 큰 가치를 제공합니다.

AI를 통한 공격 역량 강화

공격 보안에서 인간의 전문성은 여전히 대체할 수 없지만, 인공지능은 우리의 역량을 강화합니다:

• 신속한 익스플로잇 프로토타이핑
• 공격 표면 분석 자동화
• 소셜 엔지니어링을 위한 설득력 있는 음성 합성
• 고급 피싱 콘텐츠 생성 버그 바운티 플랫폼에서 높은 순위를 차지하는 자율적 공격 AI의 등장은 혁신적인 변화를 예고합니다.

협업적 위협 완화

교전 중 공격적인 역할을 수행하지만, 저희는 방어 팀에 대한 엄청난 존중을 유지하고 있습니다. 공격자는 단 한 번의 공격만 성공하면 되는 반면, 방어자는 완벽한 경계를 유지해야 하는 불균형은 여전히 극명합니다. 저희 보고서는 이러한 점을 의도적으로 강조합니다:

• 관찰된 보안 강점
• 포괄적인 취약성 체인
• 잠재적인 비즈니스 영향 우리의 임무는 노출이 아닌 교육과 개선에 중점을 둡니다.

결론적 관점

전문적인 적대적 평가는 조직이 불편한 보안 진실에 직면하도록 만듭니다. 규정 준수 인증 뒤에는 종종 불편한 진실이 숨어 있습니다:

• 취약한 시스템
• 잘못된 구성
• 인식되지 않은 위험

중요한 취약점을 발견할 때 우리의 목적은 비판이 아니라 실제 공격자가 공격하기 전에 방어를 강화하는 것입니다. 사이버 보안에서 객관적인 현실 점검은 이론적 보안과 운영 복원력 사이의 필수적인 가교 역할을 합니다.