TLPT(위협정보 기반 침투·대응력 검증)
Threat-Led Penetration Testing
우리 조직과 산업을 실제로 노리는 위협을 기준으로 탐지와 대응을 검증합니다.
위협 분석으로 시나리오를 만들고, 통제된 레드팀으로 실행한 뒤, 탐지·대응 결과를 함께 검토하는 데까지 이어집니다.
우리와 관련된 공격자가 실제로 공격해 온다면, 조직은 어떻게 대응하는가?
시나리오마다 목표에 닿았는지, 언제 알아채고 어떻게 대응했는지를 근거와 함께 남깁니다.
검토 완료
이런 상황에 적합합니다
- 감독기관이나 모회사가 정한 체계에 따라 테스트하라고 했을 때
체계의 요건부터 확인하고, 그 요건에 맞춰 위협 분석과 테스트를 준비합니다.
- 우리 업종을 노리는 공격 그룹이 걱정될 때
같은 산업을 노려 온 공격자가 실제로 써 온 방식으로, 우리 방어 체계가 버티는지 확인하려는 경우입니다.
- 드러난 위협 정황을 검증으로 잇고 싶을 때
위협 조사나 외부 노출 분석에서 확인한 정황과 공격자 행위를 실제 대응 검증의 근거로 씁니다. 익스포저 인텔리전스
SAFE SQUARE의 방식
위협 분석부터 검토까지 직접
위협 분석과 시나리오 설계, 레드팀 수행, 결과 검토를 SAFE SQUARE가 직접 맡아, 분석의 근거가 테스트와 결과까지 그대로 이어집니다.
드러난 노출에서 출발합니다
익스포저 인텔리전스로 확인한 공격표면과 유출·사칭 정황이 있다면, 그 위에서 시나리오를 만들기 시작합니다.
실전처럼, 통제 아래에서
실제 공격자처럼 진행하면서도, 정한 범위 안에서 언제든 멈출 수 있게 통제합니다.
정해진 체계를 따라야 할 때
예를 들어 TIBER-EU는 맞춤 위협정보로 사람·프로세스·기술을 검증하는 통제된 레드팀 체계입니다.
이런 체계에는 정해진 역할과 통제, 보고 요건이 있습니다. 시작 전에 요건을 확인하고, 그에 맞춰 SAFE SQUARE가 맡을 범위를 분명히 정합니다. 체계에 따른 인정과 감독기관의 판단은 각 기관의 절차에서 이뤄집니다.
진행 순서
범위와 체계 확인
대상과 목표, 따라야 할 체계가 있는지, 그 체계에서 SAFE SQUARE가 맡을 범위를 정합니다.
위협·시나리오 분석
고객 조직과 산업에 관련된 위협 행위자와 공격 방식, 공격표면과 외부 노출정보를 분석해 시나리오와 목표로 정리하고, 근거의 출처와 한계를 기록합니다.
테스트 설계
정리한 시나리오를 바탕으로 레드팀의 진행 방식과 안전·중단 기준을 정합니다.
통제된 실행
정한 범위와 통제 안에서 레드팀을 진행하며, 조직의 예방·탐지·대응을 단계마다 기록합니다.
결과 검토와 개선
관련 팀과 함께 결과를 검토해 개선 과제를 정합니다.
고객에게 남는 결과
위협 근거
시나리오가 어떤 위협 행위자와 공격 방식에 근거했는지, 그 정보의 출처와 시점, 한계를 함께 설명합니다.
탐지·대응의 기록
각 단계에서 무엇이 차단·탐지·보고되었고 조직이 어떻게 대응했는지 정리합니다.
개선과 재확인 과제
개선 사항과 이후 다시 확인할 항목을 정리합니다.
같은 업종을 노려 온 공격 그룹의 방식으로, 결제 시스템 운영 권한에 닿을 수 있는가
근거: 같은 업종에서 공개된 사건, 외부에 열린 협력사 원격 접속 창구, 유출된 임직원 계정 정황
| 단계 | 조직의 대응 | 근거 |
|---|---|---|
| 첫 접근: 협력사 원격 접속 창구 | 놓침 | 접속 경보는 울렸지만 확인할 담당이 정해져 있지 않아 그대로 지나갔습니다. |
| 내부 확산 | 늦은 대응 | 관제팀이 4시간 뒤 이상 징후를 탐지해 보고했지만, 첫 조치가 정해져 있지 않아 차단까지 하루가 걸렸습니다. |
| 목표: 결제 운영 권한 | 차단 | 운영 권한은 별도 승인 절차로 보호되어, 목표에는 닿지 못했습니다. |
- 평가
- 목표는 지켰지만, 첫 접근의 경보가 확인되지 않았고 탐지 뒤 첫 조치까지 시간이 걸렸습니다.
- 개선 과제
- 원격 접속 경보를 확인할 담당과 기준을 정하고, 이상 징후를 탐지했을 때의 첫 조치를 대응 절차에 넣습니다. 조치 후 같은 시나리오의 해당 단계를 다시 확인합니다.