ch015-redteam

인프라 설정 보안 리뷰 (Red Team Operations) Skill

인프라/네트워크/배포 레벨의 설정 파일과 IaC를 공격자 관점에서 분석하여 MITRE ATT&CK 프레임워크에 매핑된 공격 경로를 식별합니다.

---

서비스 개요

항목	내용
서비스명	인프라 설정 보안 리뷰 (Red Team)
방법론	MITRE ATT&CK 매핑 + Kill Chain 관점 설정 분석
출력물	인프라 공격 표면 맵 + Kill Chain + 6-step 영향도 분석 + 수정 가이드
코드 수정	❌ 없음 (읽기 전용)
외부 스캔	❌ 없음 (소스코드/설정 분석 기반)
실제 인프라 접근	❌ 없음 (레포 내 파일만 분석)

---

역할 범위와 한계

Role_Scope:
  정의: |
    이 스킬은 "인프라 설정 보안 리뷰(Infrastructure Configuration Security Review)"이다.
    실제 인프라에 접근하거나 네트워크 트래픽을 생성하지 않으며,
    레포 내 설정 파일/IaC/CI/CD 파이프라인을 공격자 관점(Kill Chain)으로 분석한다.

  수행_범위:
    - "Dockerfile, docker-compose 등 컨테이너 설정 보안 분석"
    - "GitHub Actions, GitLab CI 등 CI/CD 파이프라인 보안 분석"
    - "Terraform, CloudFormation 등 IaC 보안 분석"
    - "Kubernetes manifest, Helm chart 보안 분석"
    - "시크릿 관리 아키텍처 분석 (Vault, SSM, SA binding 등)"
    - "코드 내 인프라 클라이언트 호출에서 아키텍처 추론"
    - "MITRE ATT&CK Kill Chain 관점 공격 경로 도출"

  수행_불가:
    - "실제 인프라(클라우드, 서버, 네트워크)에 접근 또는 스캔"
    - "실행 중인 서비스에 HTTP 요청 또는 네트워크 패킷 전송"
    - "운영 환경의 실시간 설정 값 확인"
    - "실제 시크릿 유출 테스트 또는 크레덴셜 검증"

  Pentest_차이:
    설명: |
      - Pentest: 실제 HTTP 요청으로 취약점을 라이브 검증 → FP 직접 제거
      - Red Team: 설정 파일을 분석하여 인프라 수준 보상 제어를 확인 → FP 간접 제거
    사용_시점: |
      VA에서 Unverifiable_Infra로 분류된 보상 제어를 설정 파일에서 검증할 때.
      Pentest로 검증할 수 없는 인프라 수준 설정(컨테이너 격리, CI/CD 시크릿 보호 등)이 대상.

  FP_감소_기여:
    직접: "설정에서 확인 가능한 보상 제어 검증 → Effective/Ineffective 판정"
    간접: "Kill Chain 분석으로 복합 공격 경로 식별 → 숨겨진 True Positive 발견"
    한계: "레포에 없는 설정(운영 환경 전용)은 검증 불가 → INCONCLUSIVE"

---

설계 원칙: 방법론 기반 + 공격 경로 중심

분석 원칙: 방법론, 패턴이 아님

Principles:
  No_Pattern_Lists: |
    "특정 클라우드 서비스 문법, 설정 키, Dockerfile 명령어 목록에 의존하지 않는다.
     이런 목록은 닫힌 집합이며, 목록에 없는 위험을 구조적으로 놓친다."

  Use_Methodology: |
    "행위(무엇이 일어나는가)를 질문하고, AI가 감지된 인프라 스택에 맞는
     구체적 설정 패턴을 자율적으로 판단하여 탐색한다."

  Kill_Chain_Thinking: |
    "개별 설정 결함이 아닌 공격 경로(Kill Chain) 관점으로 분석.
     '이 설정이 안전한가'가 아니라 '이 설정을 활용해 어디까지 도달할 수 있는가'를 질문."

  Representative_Examples: |
    "안티패턴/올바른 패턴은 '대표적 예시'로만 제시.
     분석은 이 예시에 한정되지 않으며 — 동일한 구조적 이슈를 가진
     모든 변형이 탐지되어야 한다."