레드 팀 보고서 작성

레드 팀 보고서는 식별된 취약점의 비즈니스 위험을 경영진에게 전달하고(경영진 요약), 방어 담당자가 발견 사항을 재현하고 탐지를 개선할 수 있게 하며(기술 세부 정보), 개선을 위한 실행 계획을 제공합니다(권고 사항).

표준 레드 팀 보고서 구성:

1. 표지 및 범위 정의
2. 경영진 요약
3. 방법론 개요
4. 공격 과정 / 킬 체인
5. 심각도 평가가 포함된 발견 사항 목록
6. 발견 사항별 기술 세부 정보
7. 권고 사항 및 로드맵
8. 부록: 증거, 침해 지표(IOC), 도구 목록

경영진 요약은 마지막에 작성하십시오. 다음 내용을 포함해야 합니다:

• 활동 목표 및 범위
• 비즈니스 관점의 주요 발견 사항("4시간 만에 도메인 관리자 권한을 확보했습니다")
• 전반적인 위험 상태 평가
• 개선 우선순위 3가지

전문 용어를 사용하지 마십시오. 독자가 기술 지식이 없는 경영진이라고 가정하십시오.

공격 과정은 활동을 시간순으로 설명합니다:

1. 최초 접근 경로(첫 거점을 확보한 방법)
2. 지속성 및 탐색
3. 권한 상승 단계
4. 측면 이동 경로
5. 달성한 목표(액세스한 데이터, 침해한 도메인)

각 단계를 MITRE ATT&CK 기법 ID에 매핑합니다.

각 발견 사항에는 다음이 포함되어야 합니다:

• 제목: 명확하고 구체적인 이름
• 심각도: 치명적/높음/중간/낮음/정보(CVSS 점수가 해당되는 경우 포함)
• 설명: 발견된 내용
• 영향: 악용될 경우의 비즈니스 위험
• 재현 단계: 상세한 기술적 입증
• 증거: 스크린샷, 로그
• 권고 사항: 구체적인 해결 방법

CVSS(공통 취약점 평가 시스템)는 0~10의 표준화된 심각도 점수를 제공합니다. 구성 요소는 공격 경로, 복잡도, 필요한 권한, 사용자 상호 작용, 범위, 기밀성/무결성/가용성 영향입니다. 일관되고 근거를 제시할 수 있는 심각도 평가를 위해 CVSS 3.1을 사용하십시오.

사용한 모든 기법을 ATT&CK에 매핑하여 방어 담당자에게 실행 가능한 인텔리전스를 제공하십시오:

• T1566.001 — 첨부 파일을 이용한 스피어피싱(최초 접근)
• T1059.001 — PowerShell(실행)
• T1003.001 — LSASS 메모리(자격 증명 접근)

ATT&CK 매핑은 블루 팀이 관찰된 TTP(전술·기술·절차)에 대한 탐지 규칙을 작성하는 데 도움이 됩니다.

스크린샷에는 다음이 포함되어야 합니다:

• 터미널에 표시된 날짜/시간
• 침해된 시스템의 호스트 이름
• 명령 및 전체 출력
• 맥락이 사라지도록 자르지 않은 화면

중요한 요소를 강조하도록 스크린샷에 주석을 추가하십시오. 증거는 발견 사항의 진위를 입증합니다.

좋은 권고 사항은 다음과 같습니다:

• 구체적: "보안을 개선하십시오"가 아니라 "PowerShell AMSI와 제한된 언어 모드를 활성화하십시오"라고 작성
• 우선순위가 지정됨: 위험을 기준으로 무엇을 먼저 해결할지 제시
• 실행 가능함: 독자가 정확히 무엇을 해야 하는지 알 수 있음
• 현실적임: 운영상의 제약을 고려함

실시간 활동 결과 보고 발표는 서면 보고서를 보완합니다. 실시간 스크린샷을 보여 주며 고객에게 공격 과정을 설명하고, 각 단계를 어떻게 탐지할 수 있었는지 시연하며, 질문을 받습니다. 이는 변화를 이끌어 내는 데 서면 보고서보다 더 큰 효과를 내는 경우가 많습니다.

레드 팀 보고서에는 민감한 취약점 정보가 포함되어 있습니다. 그에 따라 처리하십시오:

• 보고서를 암호화하십시오(PGP 또는 암호로 보호된 PDF)
• 보안 채널을 통해 전송하십시오
• 필요한 사람에게만 배포하십시오
• 보고서 보관 및 폐기 정책을 정의하십시오
• 암호화되지 않은 보고서는 절대 이메일로 보내지 마십시오

레드 팀 보고서에서 초기 접근부터 목표 달성까지 레드 팀이 진행한 과정을 정확히 보여 주는 MITRE ATT&CK 매핑 단계가 포함된 섹션은 무엇입니까?

레드 팀 보고서는 비즈니스 대상(경영진 요약), 기술 대상(공격 내역 및 발견 사항), 방어 대상(ATT&CK 매핑)에 활용됩니다. 각 발견 사항에는 심각도, 영향, 재현 단계, 증거, 구체적인 권장 사항이 포함됩니다. MITRE ATT&CK 매핑은 공격 관점의 발견 사항을 방어를 위한 탐지 기회로 전환합니다. 보고서를 민감한 문서로 간주하여 암호화하고 처리하십시오.