CURRICULUM 과정소개

ROLL 역할분담

PROJECT 프로젝트소개

개요

본 프로젝트는 내부망 침투 공격 전 과정에 대한 통합 탐지·대응 체계 구축을 목표로 한다. 구축된 인프라 환경을 기반으로 침투 공격 시나리오를 재현하고, 탐지·차단·분석·개선까지 전 과정을 수행하여 실제 운영 가능한 보안 체계를 구현하는 것을 지향한다.
최근 기업 환경은 다양한 시스템과 네트워크가 복합적으로 연결되면서 내부망을 대상으로 한 침투 및 확산 공격이 증가하고 있다. 특히 초기 침투 이후 내부 확산 과정에서 적절한 탐지 및 대응이 이루어지지 않아 피해가 확대되는 사례가 많다. 또한 보안 장비를 도입하더라도 공격 흐름 전체를 고려한 탐지·대응 체계가 부족하여 실질적인 보안 강화로 이어지지 않는 문제가 존재한다. 이에 따라 침투 → 확산 → 행위 발생까지의 공격 전 과정을 기반으로 한 통합적인 보안 접근 방식이 요구된다.
수행 내용으로는 첫째, 네트워크, 서버, DB 환경을 구성하고 기본 보안 정책을 적용하며 사용자 인증 및 접근 제어를 통해 내부망 구조 기반을 마련하는 인프라 및 인증 체계 구축을 수행한다. 둘째, 웹, 서버, 네트워크를 대상으로 침투 공격 시나리오를 수행하고 인증 우회, 권한 상승, 내부 확산 공격 등을 통해 취약점을 검증하는 모의해킹을 수행한다. 셋째, 로그 수집 및 트래픽 분석을 통해 이상 행위를 탐지하고 공격 단계별 이벤트를 기반으로 탐지 기준을 수립하는 보안 관제 및 위협 탐지를 진행한다. 넷째, 탐지된 공격에 대한 접근 차단 및 계정 보호를 적용하고 정책 기반 대응 및 반복 공격에 대한 대응 프로세스를 구성하는 대응 및 차단 체계를 구축한다. 다섯째, 공격 흐름 및 취약점 발생 원인을 분석하고 보안 정책 개선 및 운영 가이드를 제시하는 사후 분석 및 보안 컨설팅을 수행한다.
이러한 과정을 통해 내부망 침투 공격에 대한 전 과정 기반 보안 검증 수행, 모의해킹을 통한 취약점 식별 및 실제 공격 가능성 확인, 탐지 및 대응 체계 구축을 통한 위협 대응 능력 향상, 공격 흐름 분석을 통한 구조적 보안 개선 가능, 실무 중심의 통합 보안 운영 역량 확보라는 수행 효과를 기대할 수 있다.

구현기능

1. 인프라 및 중앙 인증 체계 구축 (김OO, 황OO)

• Proxmox VE 기반 가상화 환경 구성
• Intel i5-12400 및 32GB RAM 기반 물리 서버에 Proxmox VE를 설치하고 프로젝트 통합 서비스를 VM 환경으로 운용
• Rocky Linux 8.10 기반 VM에 qcow2 씬 프로비저닝 방식을 적용하여 제한된 스토리지 자원 활용성 극대화

가상 브릿지 기반 네트워크 세그먼테이션
• 가상 브릿지(vmbr)를 활용해 외부망(WAN), DMZ, 내부망(Internal)의 3계층 독립 네트워크 세그먼트 구성
• 기업 환경의 VLAN 기반 네트워크 분리 구조를 소프트웨어적으로 구현하여 내부 자산에 대한 보안성 강화

pfSense 방화벽 및 NAT 구성
• pfSense를 경계 방화벽으로 운용하며 포트포워딩(80/443)을 통해 외부 트래픽을 DMZ 웹 서버로만 제한적 허용
• DMZ에서 내부망으로의 접근을 FreeIPA 인증 및 DB 포트(3306)로 한정하고 이외 모든 통신을 차단하는 화이트리스트 적용

FreeIPA 중앙 인증 및 계정 관리 체계
• LDAP, Kerberos, DNS를 통합한 FreeIPA 서버를 구축하여 전 인프라의 중앙 집중식 계정 관리 기반 마련
• 모든 Rocky Linux VM을 SSSD를 통해 연동함으로써 단일 지점에서 계정 생성 및 권한 변경 반영 체계 구축

웹 및 데이터베이스 서버 구성
• DMZ 서비스 운영: Apache 웹 서버를 배치하고 FreeIPA와 연동하여 중앙 계정 기반의 외부 서비스 접근 제어 적용
• 데이터 보호: Internal 구간에 MySQL을 배치하여 외부 직접 접근을 차단하고 특정 웹 서버의 승인된 접근만 허용

Docker 기반 인트라넷 서비스 운용
• docker-compose를 활용해 Wiki.js, Nextcloud 등 사내 서비스를 컨테이너 형태로 운용하여 자원 효율성 확보
외부에서는 접근이 불가능한 Internal 구간에 배치하여 내부 직원 전용 서비스로 보안성 유지

2. 인프라 취약점 진단 및 컨설팅 (설OO, 최OO)

• 주요정보통신기반시설 기술적 취약점 분석·평가 가이드 기반 자동화 진단
• KISA 가이드를 준수하는 Bash 쉘 스크립트를 자체 제작하여 리눅스·DB·관제 서버 통합 진단 자동화 구현
• 계정 보안: /etc/passwd 및 /etc/shadow 파일을 분석하여 패스워드 복잡성, 최대 사용 기간, 불필요한 계정 존재 여부 점검
• 서비스 및 권한 관리: systemctl 및 netstat을 활용해 취약 서비스(Finger, R-services 등) 비활성화 및 설정 파일 권한(600/640) 점검
• 로그 관리 및 무결성: 접속 기록(wtmp, lastlog) 및 시스템 로그(auditd) 설정 상태가 권고 보존 기간 및 보안 수준을 충족하는지 검증

Proxmox 가상화 호스트 보안 강화 구현
• OS 및 커널 보안 최신화: apt dist-upgrade 명령을 통해 Proxmox 가상화 OS 및 PVE 커널을 최신 버전으로 유지하여 CVE 취약점 차단
• 관리 인터페이스(Port 8006) 접근 제어: 특정 관리자 IP 주소만 Web GUI에 접속 가능하도록 호스트 방화벽 규칙 적용
• 인증 체계 고도화: 관리 계정에 TOTP 기반 2단계 인증(2FA) 적용 및 SSH 패스워드 인증 비활성화 후 공개키 기반 인증만 허용

OAuth 2.0 인증 취약점 진단 및 검증
• 인증 코드 주입(Login CSRF) 방어 검증: 클라이언트 측 state 파라미터가 콜백 시점에 서버와 일치하는지 확인하여 세션 독립성 점검
비정상 인증 흐름 테스트: 공격자의 인증 코드를 피해자 세션에 강제 주입하여 계정 귀속을 시도하는 인증 로직 무결성 테스트 수행

3. OAuth 기반 AD 환경 SMB 권한 분석 및 내부망 확산 진단 (김OO, 박OO)
• OAuth 2.0 인증 취약점 분석 및 관리자 계정 탈취
• Keycloak 기반 환경 분석: OAuth 2.0 인증 구조 및 토큰 기반 인증 흐름의 취약점 분석
• JWT 검증 취약점 분석: JWT 토큰 검증 미흡 환경에서 알고리즘 혼동(Algorithm Confusion) 취약점 분석 및 위조 토큰 생성 점검
• BOLA 취약점 검증: 요청 사용자와 토큰 소유자 일치 여부 검증 미흡으로 발생하는 Broken Object Level Authorization 취약점 분석
• 권한 확보: 공지사항 업로드 기능을 활용한 웹쉘 업로드 후 서버 접근 및 최종적인 관리자 계정 권한 확보 수행

내부망 침투 및 네트워크 탐색
• 리버스쉘 기반 내부망 접근: 웹쉘을 통해 리버스쉘 연결을 확보하고 내부 네트워크에 접근 가능한 공격 환경 구성
• 내부 네트워크 및 포트 탐색: Nmap을 활용하여 내부 시스템 현황 및 SMB 서비스(Port 445) 활성화 여부 정밀 분석
• 내부 확산 시나리오 구성: 초기 침투 지점에서 내부 시스템 간 이동 가능 여부 및 Lateral Movement 가능성 점검

AD 환경 기반 SMB 권한 분석 및 내부 확산 진단
• SMB 공유 자원 및 접근 권한 분석: SMBMap을 활용하여 AD 환경 내 SMB 공유 자원의 READ/WRITE 권한 설정 상태 분석
• 관리자 공유 접근 여부 점검: ADMIN$, C$와 같은 관리자 전용 공유 자원에 대한 비인가 접근 가능성 및 권한 과다 부여 상태 확인
• 공유 폴더 업로드 가능 여부 분석: WRITE 권한이 존재하는 공유 폴더에 파일 업로드를 시도하여 2차 공격 시나리오(악성코드 유포 등) 가능성 검토

구조적 보안 위험 분석: 관리자 실행 환경과 공유 권한 설정 문제로 인해 발생할 수 있는 내부망 확산 및 권한 오남용 위험 최종 분석

4. 보안 관제 및 침해 대응(SOAR/IR) (김OO)
● 실시간 로그 수집 및 정규화: FreeIPA(LDAP/Kerberos) 인증 이벤트 및 OAuth 토큰 요청 로그를 Rsyslog로 수집하고, 사용자 ID(st06 등)와 IP 정보를 분석 가능하도록 데이터베이스화
● 상관분석 기반 위협 탐지: 비정상적인 단시간 다수 로그인 실패와 내부망 스캐닝 트래픽을 결합하여 '인증 우회 후 침투 시도'를 식별하는 SIEM 엔진 구현
● 능동적 자동 대응(SOAR): 위협 탐지 시 Python 스크립트가 Cisco 라우터에 SSH로 접속하여 공격자 IP를 차단하는 ACL(Access Control List) 자동 업데이트
● 통합 모니터링 가시성: Kibana 대시보드를 통해 FreeIPA 인증 상태, OAuth 토큰 발급 현황 및 SOAR 차단 이력 실시간 시각화

설계의 주안점

1. 인프라 및 중앙 인증 체계 구축 (김OO, 황OO)
실무 환경을 모사한 3계층 네트워크 구조와 가상화 기반의 중앙 집중식 계정 관리 체계를 구축하는 단계

• 단일 IP 환경의 현실적 인프라 및 가상화 환경 설계
• 공인 IP 1개 환경의 제약을 극복하기 위해 pfSense 기반의 NAT 구조를 채택하여 공인 IP 자원 효율성 및 외부 노출 최소화 구현
• Intel i5-12400 및 32GB RAM 물리 서버에 Proxmox VE를 설치하고 qcow2 씬 프로비저닝 방식을 적용하여 VM 리소스 최적화

가상 브릿지 기반 네트워크 세그먼테이션
• 물리적 장비 없이 Proxmox 가상 브릿지만으로 외부망(WAN), DMZ, 내부망(Internal) 구간을 논리적으로 완전히 분리
• 웹 서버 침해 시에도 pfSense 방화벽 룰에 의해 내부 자산(FreeIPA, DB)으로의 접근이 제한되도록 횡적 이동 경로 차단

FreeIPA를 통한 중앙 계정 관리 및 보안성 강화
• LDAP, Kerberos, DNS를 통합한 FreeIPA 서버를 구축하여 전 인프라의 계정 및 SSH 키를 단일 지점에서 통합 관리
• 모든 Rocky Linux VM을 SSSD로 연동하여 계정 즉시 비활성화 및 Kerberos 기반 SSO(Single Sign-On)를 통한 티켓 인증 구현

서비스별 네트워크 구간 분리를 통한 최소 권한 원칙 적용
• 외부 노출 서비스는 DMZ에, 민감 인증·데이터 서버는 Internal에 배치하는 제로 트러스트 관점의 심층 방어(Defense in Depth) 구조 구현
• pfSense 방화벽 룰을 화이트리스트 방식으로 운영하여 명시적으로 허용되지 않은 모든 트래픽을 원천 차단

Docker-compose로 운용되는 Wiki.js, Nextcloud 등의 사내 서비스를 Internal 구간에 배치하여 외부 접근을 차단하고 가용성 확보

2. 인프라 취약점 진단 및 보안 컨설팅 (설OO, 최OO)
KISA 가이드라인을 준수하는 자동화 스크립트를 제작하고, 호스트 및 인증 프로토콜의 취약점을 정밀 진단하는 단계

• KISA 가이드 기반 기술적 취약점 분석·평가 자동화
• KISA 가이드라인 항목을 준수하는 Bash 쉘 스크립트를 자체 제작하여 리눅스·DB·관제 서버 통합 진단 자동화 구현
• 계정 보안(/etc/passwd, /etc/shadow 분석), 서비스 및 권한 관리(취약 서비스 비활성화 등), 로그 관리 상태 전수 점검

Proxmox 가상화 호스트 및 원격 접속 경로 보안 강화
• apt dist-upgrade 및 PVE 커널 최신화로 CVE 취약점을 차단하고, 특정 IP만 허용하는 화이트리스트 방화벽 적용
• 관리 계정 TOTP 기반 2FA 적용 및 SSH 패스워드 인증 비활성화 후 공개키 기반 인증만 허용하여 인증 체계 고도화

OAuth 2.0 인증 취약점 진단 및 검증
• 클라이언트 측 state 파라미터가 콜백 시점에 서버와 일치하는지 확인하여 인증 우회(Login CSRF) 가능성 점검

비정상적인 인증 코드를 강제 삽입하는 시나리오를 통해 인증 로직의 보안 무결성 및 시스템 차단 성능 테스트 수행

3. 모의 해킹 및 내부망 확산 진단 (김OO, 박OO)
OAuth 및 JWT 취약점을 통한 초기 침투부터 AD 환경에서의 내부망 확산(Lateral Movement)까지의 공격 체인을 실증하는 단계

• OAuth 2.0 취약점 분석 및 관리자 계정 탈취
• Keycloak 기반 환경에서 JWT 토큰 알고리즘 혼동(Algorithm Confusion) 및 BOLA 취약점을 분석하여 위조 토큰 생성 점검
• 공지사항 업로드 기능을 활용한 웹쉘 업로드 후 서버 제어권을 획득하고 최종적인 관리자 권한 확보 수행

내부망 침투 및 네트워크 탐색
• 웹쉘 기반 리버스쉘 연결을 통해 내부망 접근 환경을 구축하고, Nmap으로 내부 시스템 및 SMB 서비스(445) 활성화 여부 탐색

AD 환경 기반 SMB 권한 분석 및 내부 확산 진단
• SMBMap을 활용하여 AD 환경 내 SMB 공유 자원의 READ/WRITE 권한 및 관리자 공유(ADMIN$, C$) 접근 가능 여부 점검

과도한 권한 부여 상태를 확인하고, 제로 트러스트 관점에서 내부망 확산 가능성 및 구조적 보안 위험 최종 분석

4. 보안 관제 및 침해 대응(SOAR/IR) (김OO)
실시간 로그 파이프라인을 통해 위협을 탐지하고, 자동화 스크립트로 공격자를 즉각 차단하는 최종 방어 단계

인증 데이터의 가시성 및 상관분석 정밀도 강화
• FreeIPA(LDAP/Kerberos) 인증 이벤트 및 OAuth 토큰 요청 로그를 Rsyslog로 실시간 수집하여 데이터 정규화(st06 등) 수행
• 프로토콜 간 연결 고리를 매칭하여 OAuth 토큰의 신원 확인 과정을 추적하는 상관분석 알고리즘 및 룰셋 개발

관리망과 서비스망의 엄격한 분리
● 인증 서버(FreeIPA) 자체가 공격 대상이 될 수 있음을 가정하여, 인프라 설계 단계부터 관리망을 서비스망과 격리하여 심층 방어(Defense in Depth) 구현

제로 트러스트 기반의 실시간 대응 안정성 확보(SOAR)
• 위협 탐지 시 Netmiko 기반 Python 스크립트가 트리거되어 라우터 ACL 업데이트를 통해 공격 IP 즉각 차단 구현
• 오탐(False Positive) 방지를 위한 화이트리스트 예외 처리와 [ACL 차단 → 계정 잠금] 순의 단계별 대응 정책 적용

대규모 보안 이벤트 처리 성능 및 분석 무결성 최적화
• 엔터프라이즈급 로그 처리를 위해 Elasticsearch 인덱싱 성능을 최적화하고 Kibana 시각화 대시보드로 실시간 가시성 확보

Rsyslog 전송 무결성을 확보하여 침해 사고 분석 시 '로그 유실 없는 사후 조사'가 가능하도록 설계

사용기술 및 개발환경

가상화 및 운영체제 (Virtualization & OS)
• Proxmox VE: KVM 기반 메인 오픈소스 하이퍼바이저. 가상 머신(VM) 생성·관리 및 가상 브릿지 네트워크 구성
• VMware Workstation: AD 기반 내부망 횡적 이동 시나리오 및 모의해킹 검증을 위한 테스트베드 구성 (NAT/Host-Only 기반 세그먼트 분리)
• Rocky Linux 8.10: 공통 서비스 운영체제 및 DMZ 구간 Bastion / Pivot 서버 역할 (내부망 정찰 및 SMB 탐색 수행)
• pfSense CE: FreeBSD 기반 경계 방화벽 전용 OS
• Kali Linux: 외부 공격자 환경. OAuth/API 취약점 분석 및 내부망 침투 테스트 수행
• Windows Server: 내부 SMB 파일 서버 및 Active Directory 환경(공유 폴더/권한 관리) 구축
• Windows 10: 내부 사용자(Client) 환경 구성 및 내부망 횡적 이동(Lateral Movement) 시나리오 검증

네트워크 및 인프라 보안 (Network & Infrastructure Security)
• pfSense: 외부망(WAN) / DMZ / Internal 네트워크 분리, 방화벽 및 ACL 정책 통제, NAT/포트포워딩
• Proxmox 가상 브릿지: 물리 장비 없이 소프트웨어적 네트워크 분리 구현 (vmbr0, vmbr1, vmbr2)
• Suricata: 내부망 이상 행위 탐지(IDS/IPS). SMB 접근 및 내부 확산(Lateral Movement) 트래픽 실시간 모니터링
• Cisco 라우터 (CSR1000V 등): SOAR 자동화 스크립트와 연동하여 실시간 공격 IP 차단(ACL 업데이트) 수행
• 제로 트러스트 접근 제어: 최소 권한 원칙(Least Privilege)을 적용한 네트워크 세그먼트 간 접근 통제 및 SSH 공개키/2FA 적용

인증 및 디렉토리 서비스 (Identity & Access Management)
• FreeIPA: LDAP(389-ds) + Kerberos + DNS 통합 인증 서버. 중앙 계정 관리 및 SSO 구현 (SSSD 클라이언트 연동)
• Active Directory (AD): 윈도우 기반 내부 사용자 계정 및 권한 관리, SMB 인증 및 접근 제어 환경 구성
• OAuth 2.0 & Keycloak: Access Token 기반 인증 구조 구성. Redirect URI 및 토큰 검증 취약점(Algorithm Confusion, BOLA 등) 분석 환경

웹, 데이터베이스 및 컨테이너 (Web, DB & Container)
• Nginx: Reverse Proxy 및 Web Gateway 역할. OAuth/API 서비스 연동 환경 구성
• Apache (httpd): DMZ 구간 웹 서버. FreeIPA 연동 및 가상 호스트 설정
• MySQL: Internal 구간 DB 서버 (인가된 웹 서버만 접근 허용)
• Docker / docker-compose: Wiki.js(문서), Nextcloud(파일 공유), Mattermost(채팅) 등 사내 인트라넷 서비스 컨테이너화

취약점 진단 및 모의 해킹 (Vulnerability Assessment & Pen Testing)
• Nmap: 내부망 호스트/서비스 탐색 및 SMB(445) 서비스 활성화 여부 정밀 분석
• SMBMap: SMB 공유 자원 및 접근 권한(READ / WRITE / NO ACCESS) 검증
• Impacket: PsExec 기반 원격 명령 실행을 통한 내부망 횡적 이동(Lateral Movement) 가능성 검증
• Burp Suite: OAuth/API 웹 요청 패킷 분석 및 애플리케이션 계층 취약점 테스트 수행

보안 관제, 능동 대응 및 스크립트 언어 (SIEM, SOAR & Scripting)
• ELK Stack (Elasticsearch, Logstash, Kibana): 방대한 통합 인증 로그 수집, 인덱싱 및 상관분석 시각화(대시보드) 구현
• Rsyslog: FreeIPA 및 각 서버 로그의 실시간 암호화 전송 체계
• Python: API 테스트, 보안 자동화 스크립트 작성, 모의 해킹 테스트 환경 구성 및 Netmiko 라이브러리를 활용한 인프라 연동형 자동 차단(SOAR) 로직 구현
Bash (Shell Script): Linux 서버 관리, 네트워크 설정 자동화 및 KISA 가이드 기반 기술적 취약점 자동화 진단 스크립트 개발

공격 시나리오

취약점 진단

개선 조치

결론

<한계점>
- 본 프로젝트는 실험적 환경에서 진행된 만큼 다음과 같은 한계점이 존재합니다.

◎ 가상 환경의 한계 : Proxmox 기반 가상화 환경으로 실제 물리 인프라와 성능·동작 차이 존재, 실제 엔터프라이즈 환경과 완전히 동일하지 않음
◎ IDS 탐지 범위 : Suricata Signature 기반 탐지이므로 신규·알려지지 않은 공격(Zero-day)은 탐지 불가, 정교하게 설계된 우회 공격에 취약
◎ 자동화 대응 미구현 : IDS 탐지 후 자동 차단·격리 미구현, 현재는 탐지 Alert 발생까지만 구현, 대응 자동화(SOAR) 연동 미완성
◎ 내부 전파 시나리오 : FreeIPA 연동 공격 시나리오 미완성, 도메인 전체 계정 탈취 후속 공격 미검증, 내부망 추가 피벗팅 시나리오 부고

<향후 개선 방향>
01. SOAR 자동화 대응 : IDS Alert 발생 시 자동 차단·격리, SIEM과 연동된 플레이북 자동화, 침해 대응 시간 최소화
02. Zero Trust 아키텍처 : 네트워크 위치 기반 신뢰 제거, 모든 접근 요청에 인증·검증 강제, Micro-segmentation 적용
03. MFA 전 구간 적용 : Proxmox·OPNsense·서버 모두, MFA 의무화, OTP·하드웨어 키 연동
04. FreeIPA 연동 강화 : 도메인 계정 중앙 관리, PAM 연동으로 접근 통제 강화, 권한 자동 만료 정책
05. 취약점 스캐닝 자동화 : OpenVAS/Nessus 정기 스캔 도입, 개선 후 자동 재검증 파이프라인, CI/CD 보안 테스트 연동
06. 로그 분석 고도화 : ELK Stack 대시보드 구축, 이상행위 탐지 Rule 커스터마이징, 머신러닝 기반 이상 탐지 연구

<결론>
- 본 프로젝트를 통해 달성한 핵심 가치
◎ 공격자의 시각으로 방어 설계 : 실제 OAuth·JWT 취약점을 공격자 관점에서 분석하고 동일한 경로로 검증하는 Red-Blue Team 방식 적용, 이론이 아닌 실제 공격 기반 방어 체계 구축
◎ 계층형 보안 아키텍처 구현 : 단일 방어가 아닌 DMZ 분리·방화벽 정책·Bastion Host·코드 패치·SIEM 탐지까지 다중 계층 방어(Defense in Depth) 실현
◎ 진단 → 개선 → 검증 사이클 : 취약점 발견 후 실제 코드 패치와 설정 변경, 재공격을 통한 패치 효과 검증까지 완전한 보안 강화 사이클 경험