공격자의 시선에서 바라본 금융보안: 사이버 복원력 강화를 위한 레드티밍 전략

This talk was presented at NetSec-KR 2025.

Transcript

1. 2025-04-17 RED IRIS 팀장 유정각 공격자의 시선에서 바라본 금융보안 사이버 복원력 강화를 위한 레드티밍 전략
2. Red & Blue & Yellow & … 2 개발자 관점 방어자 관점 공격자 관점 관리 • 최신 사이버 위협 동향 반영 • 금융 서비스 최적 시나리오 구성 • 국내 최고 수준 전문가 집단
3. 금융산업을 노리는 공격자들 3 정치 및 사회적 주장 경제적 이득 첩보 활동 및 정치적 영향
4. 공격자가 노리는 대상 및 위협 방식 4 • 임직원 협박 • 임직원 매수 • 사회공학적 기법 • 데이터 파괴 및 유출 • 취약점 공격 • 공급망 공격 • 협력사 경유 공격 • 시설 파괴 • 무단 침입 • 신분증 복제 • 장비 및 자료 반출ㆍ입 • 서비스 방해 공격 • 크리덴셜 스터핑 공격 • 취약점 공격 • 연동 서비스 공격
5. 공격 절차와 기술 • Lockheed Martin Cyber Kill Chain® • MITRE ATT&CK® Matrix 5 https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html https://attack.mitre.org/
6. 복잡성이 증가하는 금융 서비스 환경 6
7. 서비스 대상 침투 시나리오 7 ④ 김철수에 대한 비대면 신원확인 요청 ⑤ 전문조작으로 홍길동 정보와 신분증 전송 ⑥ 비대면 신원확인 절차 통과 ① 김철수에 대한 문자메시지 기반 본인확인 요청 ② 통신사 본인확인 성공한 것으로 전문조작 ③ 문자메시지 기반 본인확인 절차 통과 전문조작 고객: 김철수 홍길동 신분증 확인 홍길동
8. 시스템 대상 침투 시나리오 8 ① 웹쉘 업로드 ② 중앙관리서버 침입 ③ 중앙관리서버를 통해 단말 감염 ➃ 중요자료 유출 ➄ 시스템 파괴
9. RED IRIS 인사이트 리포트 9 https://www.fsec.or.kr/bbs/1011
10. 국내ㆍ외 레드티밍 관련 규제 10 전자금융감독규정 영국 CBEST EU DORA Digital Operational Resilience Act 적용대상 금융회사 및 전자금융업자 금융회사 및 금융 인프라 금융회사 및 ICT 서비스 제공자 수행내용 취약점 분석ㆍ평가 침해사고 대응 및 복구 훈련 Threat Intelligence-Led Assessments TLPT Threat-Led Penetration Testing 수행주기 1회/년 홈페이지 1회/6개월 훈련: 1회/년 1회/년 (권장) 1회/3~5년 1회 이상/3년 시나리오 - - 위협 인텔리전스 기반 위협 인텔리전스 기반 수행방식 자체 전담반 또는 외부 평가전문기관 - TI 서비스 제공자, 외부 전문 레드팀 내ㆍ외부 전문 테스터 감독 및 보고 필요시 개선ㆍ보완 요구 결과 검토 및 승인 결과 검토 및 인증 https://www.law.go.kr/೯੿ӏ஗/੹੗Әਲ਼хةӏ੿ https://www.bankofengland.co.uk/ fi nancial-stability/operational-resilience-of-the- fi nancial-sector/cbest-threat-intelligence-led-assessments-implementation-guide https://www.dora-info.eu/dora/
11. 복원력 확보를 위한 활동 11 Red team exercise Penetration test • Breach & attack simulation exercise • Tabletop exercise • Vulnerability assessment • Vulnerability scan Resilience level Activity type Passive Defensive Active Offensive https://www.gartner.com/document-reader/document/4056399
12. BAS vs Penetration Test vs Red Teaming 12 BAS Breach & Attack Simulation Penetration Test Red Teaming 수행목표 취약점 식별 및 방어 체계 검증 취약점 식별 핵심 자산 침투, 자료 유출 수행범위 공격 벡터에 대한 광범위한 테스트 IT 서비스 및 시스템 중심 시설, 인력, 서비스, 시스템 등 제약 없음 접근방식 자동화 도구 중심 전문가와 도구의 조합 전문가 중심 수행기간 상시 N 주 N 개월 인지수준 방어자 모두 인지 방어자 모두 인지 일부 소수 인지 공격방식 사전 정의된 공격 시나리오 취약점 탐색 및 악용 공격자 유사 TTP 사용 결과물 자동화된 보고서, 대시보드 취약점 상세 보고서 종합적인 침투 경로 및 발견사항
13. 보안 운영 관련 기술 동향 13 https://www.gartner.com/en/documents/4547399 https://www.gartner.com/interactive/hc/5622491
14. 안전하고 편리한 금융 미래를 열어가는 세계 최고의 금융보안 전문기관