본문 바로가기

블로그

LG CNS 기술블로그 DX Lounge에서 최신 IT 소식을 만나보세요!

보안

월급 받고 해킹만? 공격은 최선의 방어! 최정예 화이트해커 RED팀

2023.05.19

스포츠나 전쟁에서 통용되는 ‘공격이 최선의 방어’라는 격언은 사이버 보안에서도 마찬가지입니다. 모의 공격을 통해 취약점을 찾아내고 신속히 보완책을 마련하는 것이 가장 훌륭한 방어일 수 있습니다. DX 전문기업 LG CNS가 RED(모의 군사훈련 시 적군을 부르는 말에서 유래)팀을 꾸린 이유도 바로 여기에 있는데요. 이번 글에서는 고객의 시스템 보안을 책임지는 LG CNS RED팀을 소개해드리겠습니다.

LG CNS의 RED팀을 소개합니다!

LG CNS는 2021년 최정예 화이트 해커 20여 명으로 RED팀을 구성했습니다. RED팀에는 한국 인터넷 진흥원(KISA)이 운영하는 ‘K쉴드’와 ‘SW 보안약점 진단원’, 한국 정보기술 연구원(KITRI) ‘차세대 보안리더 양성 프로그램(BOB)’ 등 정부 기관 인증을 취득한 사이버 보안 전문 인력이 대거 포진해 있는데요. KISA 개발 보안 자문 위원으로도 활동하는 등 업계 최고의 전문성을 자랑합니다. 더욱 강한 보안 방패를 만들기 위해 예리한 전문가로 구성된 칼을 보유한 셈이죠.

[사진 1]

RED팀은 설계, 개발, 운영 단계의 취약점을 점검하는 모의해킹과 SW 보안 관련 영역의 보안성 심의/ 검토, 보안 개발 라이프 사이클(SDLC, Secure Development Life Cycle) 등 예방 차원의 모든 보안활동을 서비스하고 있습니다.

• 설계 단계
설계 단계에서는 소프트웨어 보안의 이슈를 조기에 찾아내어 개발 누락이 발생하지 않도록 합니다.

• 개발 단계
개발 단계에서는 모의해킹을 시도합니다. 소스 취약성 정보를 수집하고 전문가 모의해킹, API 보안 테스트를 수행해 발견된 취약점을 조치 방안과 함께 리포팅합니다.

• 운영 단계
운영 단계에서는 데브섹옵스(DevSecOps, DevOps+Security를 합친 개념. 개발/운영 단계에서 상시 보안성 향상)를 적용해 반복적인 소프트웨어 수정에 따른 점검을 실시합니다. 자동화된 취약점 점검 방식으로 이슈를 트래킹 해 보안 수준을 지속적으로 향상시킵니다. 새로운 위협에 대해 지속적인 대응을 실시합니다.

RED팀만의 핵심 경쟁력은?

1) 신기술 이해도를 바탕으로 한 업무 진행

DX전문기업 LG CNS는 클라우드·블록체인 등과 같은 신기술 분야에서 선도적인 역할을 하고 있습니다. RED팀 역시 다양한 신기술에 대한 이해도를 바탕으로 공격법을 찾아내는데요. 단순 시큐어 코딩(Secure Coding) 가이드에 그치는 것이 아니라, 유관 팀과 협업해 근본적인 해결책을 제공하고 있습니다.

RED팀은 금융·유통·제조·공공 등 다양한 고객사 시스템에서 640건 이상의 취약점을 점검하며 레퍼런스를 축적했는데요. 신기술 기반 DX 환경에 대한 높은 이해도를 바탕으로 공격 시나리오를 구축해 클라우드와 애플리케이션 보안점검 등을 수행했습니다. 대규모 시스템의 소프트웨어 보안점검도 진행했으며, 250여 건의 모의해킹을 통해 시스템 안전성 증명과 사고 예방에 기여했습니다.

LG CNS RED팀 서혁준 팀장은 “팀원이 찾아낸 취약점을 보고 놀랄 때가 많다”면서 “실제 사고로 이어졌으면 크게 문제가 될 수 있을 정도의 취약점도 있었다”고 설명했습니다.

2) 에너지 가득한 젊은 조직

RED팀의 평균 연령은 30대 초반으로, MZ 세대만의 독창성을 십분 발휘하는데요. 좋아하는 일에 빠지면 끝을 보는 몰입도 역시 강점으로 꼽을 수 있습니다. 화이트 해커는 공격 시나리오 구축이 중요한데요. MZ 세대는 유연한 사고를 기반으로 참신한 루트로 취약점을 파고듭니다. 실제 해커의 연령대 역시 10~20대가 대다수이기에 사고방식이 유연한 MZ 세대에게 유리한 것이죠. RED팀은 소프트웨어의 취약점을 찾아내고 싶어서 시간과 관계없이 자율적으로 모의해킹에 몰두할 정도라고 합니다.

LG CNS RED팀 권성민 선임은 “주기적으로 새로운 대상을 새로운 시점으로 바라보는 일이라 지루할 틈이 없다”면서 “동일 기술로 될 때와 안될 때가 있고, 조금만 생각을 바꾸면 취약점 발견에 성공하는 등 찾는 재미가 쏠쏠하다”고 말했습니다. “방어에 집중하는 보안업무보다 선제적 화이트 해커 업무를 하고 싶었기 때문에 재미를 느끼고 있고 업무하는 시간과 성장을 위해 공부하는 시간도 흥미롭다”고 덧붙였습니다.

RED팀 모의해킹 사례

[Case1] A사 모바일앱 취약점 점검

체크리스트 기반의 모바일앱 취약점 점검 외에도 모의해킹 시나리오를 기반으로 점검을 실시했습니다. 모바일앱이 퍼블릭 클라우드와 연동할 경우의 API 보안, IoT 기기와 통신이 연동될 경우의 무선보안 구간 점검 등 다양한 공격 상황에서 취약점을 찾아내 대책을 수립했습니다.

[Case2] B사 홈페이지 취약점 점검

클라우드, 블록체인 등 DX 신기술 기반 환경에서 종합적 모의해킹을 진행했습니다. 이를 통해 다수의 개인정보 유출 가능성 확인하고 시큐어 코딩, 클라우드 전용 모니터링, 24시간 관제 등 토탈 보안 솔루션 제시했습니다.

보안계의 비밀 히어로!

[그림 2]

RED팀은 대중이 영웅이 누군지 모르는 히어로물 영화와 유사합니다. 엄청난 소프트웨어 보안 취약점을 찾아내더라도 어디에 말할 수 없기 때문인데요. 서혁준 팀장은 “세상이 평화를 누릴 수 있도록 취약점 예방에 기여한다는 자부심과 사명감이 있다”면서 “DX 환경에서 시스템이 안전하게 운영될 수 있도록 모든 취약점을 제거하고 고객사에 안전한 시스템을 전달할 수 있도록 핵심 역할을 하겠다”고 말했습니다. 점점 더 복잡해지는 융합보안 환경에서 갈수록 교묘해지는 해커들의 공격을 사전에 차단하고 싶다면, LG CNS의 RED팀과 함께하세요!

인터뷰 ㅣ LG CNS RED팀

● LG CNS 최정예 화이트해커 RED팀이 궁금하다면?

챗봇과 대화를 할 수 있어요