CISA 레드 팀, 두 핵심 인프라 조직 동시 침투 평가에서 탐지 역량 격차 확인
- 미국 사이버안보·인프라 보안국(CISA)은 2026년 8월 25일 자 권고문 AA26-237A ‘A Tale of Two SOCs’에서 Government Services and Facilities Sector ‘Organization A’와 Water and Wastewater Systems Sector ‘Organization B’ 두 핵심 인프라 조직을 대상으로 유사한 레드 팀 침투 시나리오를 동시에 수행해 두 조직 모두 도메인 수준과 민감 비즈니스 시스템(SBS) 및 클라우드 자원까지 완전 장악했음에도 방어·탐지 성과가 극명하게 갈렸다고 밝혔다.
- Organization A에서는 웹 애플리케이션의 기본 자격증명을 가진 내장 계정을 식별해 초기 침투 후 내부 주소로 피싱 이메일을 발송해 4대 워크스테이션에 상주했고, 디폴트 Machine Account Quota와 오구성된 Active Directory Certificate Services(AD CS) 템플릿을 남용하는 Certighost와 동일 계열의 인증서 기반 도메인 장악 기법으로 권한을 상승한 뒤 복호화된 데이터베이스 설정 파일과 만료되지 않도록 설정된 정적 Amazon Web Services(AWS) 접근 키 등 평문 자격증명을 활용해 3개의 민감 비즈니스 시스템을 추가로 침해하면서 Entra ID에서 Primary Refresh Token과 고권한 애플리케이션을 악용해 보안팀 이메일까지 열람했다.
- Organization B에서는 동일한 유형의 피싱 기반 공격이 수행되자 보안운영센터(SOC)가 초기 페이로드 실행마다 이를 즉시 식별해 2분에서 20분 사이에 해당 워크스테이션을 격리하고 명령제어(C2) 통신을 차단해 확산을 막았으며, 이후 CISA 신뢰 에이전트가 비특권 지정 호스트에 레드 팀 페이로드를 직접 실행하는 ‘가정 침해’ 모델로 전환해 SCCM 설정 파일에 포함된 도메인 서비스 계정 평문 자격증명을 이용해 도메인 컨트롤러 권한을 가진 계정으로 DCSync 공격을 수행해 krbtgt 비밀을 탈취했으나 OT 비무장지대의 베스천 호스트는 인터넷 아웃바운드 차단으로 C2 채널 형성을 막아 운영기술(OT) 네트워크로의 확산은 저지했다.
- CISA는 두 조직의 평가에서 Organization A가 System Center Configuration Manager(SCCM) 서버 관련 실제 경보를 시스템 소유자를 확인하지 못해 오탐으로 기각하고 다수의 엔드포인트 보안 도구와 여러 SOC를 운영하면서도 상호 가시성을 공유하지 못한 채 수천 건의 정상 업무 활동에서 생성된 높은 심각도로 분류된 오탐 경보에 묻혀 레드 팀 활동을 전혀 탐지하지 못한 반면, Organization B는 SOC 분석가에게 명확한 격리 권한과 절차를 부여해 초기 침입 단계부터 적극 대응하고 OT 베스천 호스트의 인터넷 차단 구성으로 핵심 설비를 보호해 같은 기술적 취약점을 안고도 결과가 달라졌다는 점을 강조하며 ‘탐지 도구의 효과는 이를 뒷받침하는 사람·프로세스·절차에 달려 있다’고 단언했다.
- AA26-237A 권고문은 2026년 8월 25일 공개됐고, 평가 대상은 Government Services and Facilities Sector 조직 1곳과 Water and Wastewater Systems Sector 조직 1곳으로 모두 도메인 전체와 클라우드 자원, 민감 비즈니스 시스템까지 침해됐으며, Organization B의 워크스테이션 격리까지 걸린 시간은 최소 2분에서 최대 20분으로 구체적으로 제시되고, 레드 팀은 SCCM 설정 파일의 도메인 서비스 계정, krbtgt 비밀, AWS 정적 접근 키와 Entra ID Primary Refresh Token 등 여러 종류의 자격증명을 연쇄적으로 악용해 단계별 침투 경로를 구성했다.
- CISA가 핵심 인프라 조직 A와 B에 대한 ‘A Tale of Two SOCs’ 평가에서 동일한 레드 팀 기술로 두 조직을 모두 도메인 수준까지 침투하고 SBS·클라우드·OT 비무장지대 베스천 호스트에 이르렀음에도 Organization A는 탐지·대응 실패로 장기 은닉을 허용하고 Organization B는 2~20분 이내 격리와 OT 인터넷 차단으로 피해를 제한한 사실은 상하수도, 공공 서비스, 시설 관리 등 국가 기반 서비스의 보안 리스크가 기술 도구보다 SOC 인력 권한, 경보 처리 프로세스, 자격증명 관리와 OT 네트워크 설계에 좌우된다는 점을 보여주며, 이는 상하수도·사회기반시설을 포함한 한국 핵심 인프라 부문에서도 다중 SOC·다수 도구의 비통합 운영과 평문 자격증명, 베스천 호스트 아웃바운드 정책 미흡이 결합될 경우 유사한 도메인 장악과 OT 위협 시나리오가 현실화될 수 있으므로 SOC 권한 구조 재설계, 경보 운영 통합, AD CS·SCCM·클라우드 자격증명 점검을 국가 차원에서 선제적으로 추진해야 한다.
한국 핵심 인프라 SOC는 도구 추가보다 경보 통합, 분석가 권한 부여, AD·SCCM·클라우드 자격증명 점검과 OT 베스천 호스트 아웃바운드 차단 정책을 우선 과제로 설정해 ‘두 개의 SOC 이야기’에서 드러난 사람·프로세스 격차를 제도적으로 메워야 한다.
주요 용어: CISA(미국 사이버안보·인프라 보안국), 레드 팀 평가(공격자 관점 모의침투), SOC(보안운영센터), SBS(민감 비즈니스 시스템), 베스천 호스트(보안 강화 중계 서버)
출처: The Hacker News