공격·방어 협업 및 탐지 검증
Purple Teaming & Detection Validation
공격 담당자와 방어 담당자가 함께, 우리 탐지 체계가 실제 공격 기법을 잡아내는지 확인하고 그 자리에서 고쳐 나갑니다.
평가가 아니라 협업입니다. 관제·탐지·대응 담당자와 같은 시간에 같은 기록을 보며, 공격 기법을 통제된 방식으로 재현하고 탐지·경보·기록이 어떻게 반응하는지 확인합니다. 놓친 지점은 탐지 규칙과 경보 기준, 보호조치를 함께 조정하고 다시 확인합니다.
우리가 대비한다고 믿는 공격을, 탐지 체계가 실제로 잡아내는가? 검토 완료
기법별 탐지 여부와 고친 내용, 남은 공백을 함께 정리합니다.
이런 상황에 적합합니다
- 탐지 체계를 새로 만들었거나 바꿨을 때
새 탐지 규칙이나 보안 장비, 관제 체계가 실제 공격 기법을 잡아내는지 확인하려는 경우입니다.
- 레드팀 평가에서 드러난 공백을 메울 때
평가에서 놓친 지점을 방어팀과 함께 고치고, 다시 확인하려는 경우입니다.
- 탐지 범위를 근거로 설명해야 할 때
어떤 공격 기법을 탐지하고 어떤 것은 아직 못 하는지를 기법 단위로 정리하려는 경우입니다.
레드팀 평가와 무엇이 다른가
둘은 이어서 씁니다. 레드팀 평가로 공백을 찾고, 공격·방어 협업으로 그 공백을 메운 뒤 다시 확인합니다.
| 구분 | 레드팀 평가 | 공격·방어 협업 및 탐지 검증 |
|---|---|---|
| 진행 방식 | 방어팀에 알리지 않거나 최소한만 알리고 진행 | 공격·방어 담당자가 처음부터 공개적으로 함께 진행 |
| 묻는 것 | 실제 공격이라면 목표에 닿는가, 조직은 어떻게 대응했는가 | 이 공격 기법을 탐지 체계가 잡아내는가, 못 한다면 어떻게 고치는가 |
| 방어팀의 역할 | 평가받는 대상 (대응을 관찰·기록) | 함께 일하는 상대 (그 자리에서 조정하고 다시 시도) |
| 결과 | 공격 경로·타임라인과 조직 대응 평가 | 기법별 탐지 여부, 고친 규칙·설정, 남은 공백 |
함께 보는 것
공격 측 기록과 방어 측 기록을 같은 이벤트 위에 겹쳐 보고, 놓친 지점부터 조정합니다.
- 탐지 규칙과 경보
공격 기법마다 경보가 울리는지, 그 기준이 알맞은지 확인합니다.
- 로그와 기록
탐지와 조사에 필요한 기록이 남는지, 수집 범위에 빈틈이 없는지 확인합니다.
- 보안 장비 설정
EDR·NDR·SIEM 같은 장비가 의도대로 설정되어 있는지 확인합니다.
- 경보의 품질
놓침과 오탐, 경보가 너무 많아 중요한 것이 묻히는 곳은 없는지 봅니다.
- 대응의 첫 단계
경보를 받은 담당자가 무엇을 확인하고 누구에게 넘기는지 봅니다.
진행 순서
기법·범위 합의
확인할 공격 기법과 대상 시스템, 참여자, 안전 조건을 정합니다. 위협정보나 레드팀 평가 결과에서 기법을 고를 수 있습니다.
함께 준비
방어팀과 로그·경보·탐지 도구를 확인하고, 기록 방식을 맞춥니다.
재현과 확인
공격 담당이 기법을 통제된 방식으로 재현하면, 방어 담당이 탐지·경보·기록을 그 자리에서 확인합니다.
조정과 재확인
놓친 지점은 탐지 규칙·경보 기준·보호조치를 함께 조정하고, 같은 기법으로 다시 확인합니다.
정리
기법별 결과와 바뀐 내용, 남은 공백과 다음 과제를 정리합니다.
운영 환경에서 진행할 때는 영향이 없도록 범위와 방법, 중단 조건을 먼저 합의합니다.
고객에게 남는 결과
기법별 탐지 결과
확인한 기법마다 탐지됨·일부 탐지·놓침으로 정리합니다.
조정한 규칙과 설정
진행 중에 바꾼 탐지 규칙과 설정, 그 이유를 남깁니다.
남은 공백과 우선순위
아직 탐지하지 못하는 부분과 먼저 보완할 순서를 정리합니다.
재확인 기준
변경 후 다시 확인할 기법과 기준을 남겨, 다음 확인이 여기서 이어지게 합니다.