운영 보안(OPSEC) 기초

작전 보안(OPSEC)은 중요 정보를 식별하고 위협을 분석하며 대응책을 적용하여 공격자로부터 민감한 정보를 보호하는 과정입니다. 원래 군사 개념이었지만 이제는 보안 전문가, 기자, 활동가에게 필수적입니다.

공식적인 OPSEC 과정:

1. 중요 정보 식별 — 무엇을 보호해야 합니까?
2. 위협 분석 — 누가 이 정보를 원합니까?
3. 취약점 분석 — 정보가 어떻게 노출될 수 있습니까?
4. 위험 평가 — 가능성과 영향은 어느 정도입니까?
5. 대응책 적용 — 위험을 허용 가능한 수준으로 줄입니다

겉보기에 무해한 정보라도 개별 조각을 조합하면 민감한 세부 정보가 드러날 수 있습니다. 카페, 근무 일정, 동네, 자동차 모델을 각각 따로 게시하더라도 표적 프로필이 만들어집니다. 공격자는 공개 소스 데이터를 집계하여 실행 가능한 정보로 만듭니다.

디지털 흔적을 줄이는 방법:

• 목적에 따라 가명과 별도의 이메일 주소를 사용하십시오
• 소셜 미디어에 공개하는 정보를 최소화하십시오
• 개인 정보 보호 검색 엔진을 사용하십시오(DuckDuckGo, 브레이브)
• 데이터 중개업체 사이트의 정보 제공을 거부하십시오
• 앱 권한을 정기적으로 검토하십시오

구획화는 서로 다른 신원, 도구, 활동을 분리하여 상호 오염을 제한합니다. 보안 연구자는 서로 다른 페르소나나 고객 업무에 별도의 장치, 브라우저, 이메일 계정을 사용할 수 있습니다.

보안 통신 채널을 선택하는 방법:

• 시그널 — 사라지는 메시지를 지원하는 종단 간 암호화 메신저
• ProtonMail — 암호화된 이메일
• 가능하면 민감한 논의에 이메일을 사용하지 마십시오
• 누구와 언제 대화했는지와 같은 메타데이터가 내용만큼 많은 정보를 드러내는 경우가 많다는 점을 알아 두십시오

물리적 OPSEC 방법:

• 공공장소에서 노트북에 화면 보안 필터를 사용하십시오
• 사용하지 않을 때는 마이크와 카메라를 비활성화하십시오
• 공공장소에서 어깨너머로 엿보는 행위를 주의하십시오
• 디스크 암호화를 사용하십시오(BitLocker, FileVault, LUKS)
• 민감한 문서를 파쇄하십시오

주목할 만한 OPSEC 실패 사례:

• 사부(LulzSec): 한 번 토르 사용을 잊음 → IP 노출 → 체포
• 로스 울브리히트(실크 로드): 실크 로드를 만들기 몇 년 전부터 여러 사이트에서 같은 사용자 이름을 사용함
• APT 그룹: 이전 작전에 연결되는 악성 코드나 인프라를 재사용함

보안 평가 작업 중 침투 시험자는 실제 공격자를 모사하고 고객 시스템이 실제 공격자에게 우발적으로 노출되는 것을 방지하기 위해 OPSEC를 실천합니다:

• VPN이나 익명화 인프라를 사용하십시오
• 도구 식별 서명을 교체하십시오
• 시험 후 흔적을 정리하십시오
• 보고를 위해 모든 작업을 문서화하십시오

OPSEC 상태는 위협 모델에 따라 달라집니다:

• 일반 사용자: 기본적인 비밀번호 관리 + MFA
• 보안 전문가: 구획화 + 강력한 암호화
• 기자/활동가: 모든 작업에 토르 사용 + 민감한 업무를 위한 네트워크 분리 장치

위협 모델에 맞지 않는 과도한 OPSEC는 오히려 불필요한 불편을 초래합니다.

효과적인 OPSEC는 점검 목록이 아니라 사고방식입니다. "나는 어떤 정보를 누구에게 공개하고 있으며, 그들은 그 정보로 무엇을 할 수 있는가?"라고 끊임없이 질문하는 것입니다. 이러한 공격자 관점의 자기 평가는 연습을 통해 습관이 됩니다.

OPSEC는 중요 정보를 식별하고, 위협과 취약점을 분석하며, 위험을 평가하고, 대응책을 적용하는 5단계 과정을 통해 민감한 정보를 보호합니다. 주요 방법으로는 구획화, 디지털 흔적 줄이기, 보안 통신(Signal, ProtonMail), 물리적 보안이 있습니다. OPSEC 상태는 실제 위협 모델에 맞아야 합니다.