올해 8월, 세계 최고 권위의 해킹 대회 ‘DEF CON 34 CTF(이하 데프콘 CTF)’에서 SK텔레콤 레드팀(Red Team) 구성원이 참여한 팀이 본선 4위를 기록했다. 데프콘 CTF는 매년 전 세계 보안 전문가들이 공격과 방어 역량을 겨루는 국제 대회로, 올해 예선에만 686개 팀이 참가했다.

(왼쪽부터) SK텔레콤 레드팀 이지훈 님과 정협 님.

이번 대회에는 SKT 레드팀의 정협 님과 이지훈 님이 국내 보안 전문가들로 구성된 연합팀 ‘콜드퓨전’의 일원으로 출전했다. 뉴스룸은 두 사람을 만나 사이버 보안 분야에 들어온 계기부터 대회 준비 과정, 평소 업무와 앞으로의 목표까지 다양한 이야기를 들어봤다.

빈틈을 먼저 찾는 사람들

Q. 레드팀은 어떤 업무를 하는 조직인지 소개 부탁드립니다.
A. 정협: SKT 레드팀은 실제 해커의 공격 상황을 가정해 보안 체계를 점검하는 조직입니다. 다른 부서가 시스템을 만드는 일을 한다면, 저희는 공격자의 관점에서 시스템에 어떤 취약점이 있고, 어떻게 침투할 수 있을지를 중점적으로 살펴봅니다.

이를 위해 정기적인 모의 해킹을 진행합니다. 최근 외부에 알려진 공격 사례나 내부 주요 시스템을 바탕으로 해커가 어떤 경로로 들어올 수 있는지 가상 시나리오를 세우고, 시스템이나 서비스에 장애가 발생하지 않는 범위에서 안전하게 공격을 수행합니다. 이 과정에서 보안 장비에 막히는 구간이 나오면 별도의 기술 연구를 병행하며, 해커가 내부 주요 자산에 접근할 수 있는지까지 확인합니다. 점검 과정에서 발견한 문제는 관련 부서와 함께 원인을 분석하고 개선한 뒤, 보안 체계를 다시 점검합니다.

Q. 두 분은 어떤 계기로 사이버 보안 분야에 관심을 가지게 되셨나요?
A. 정협: 보안 분야에 몸담은 지 20년 가까이 됐습니다. 처음 해킹이라는 문화를 접하고 배워보고 싶다는 생각에 혼자 서울에 올라와 독학으로 시작했습니다.

A. 이지훈: 고등학교 때 친구와 함께 컴퓨터를 만져보다가 코딩에 흥미가 생겼습니다. 특별한 계획이 있었던 것은 아니고, 단순히 재미있어서 이 분야에 입문하게 됐습니다.

공격과 방어 사이, 치열했던 도전

‘DEF CON 34 CTF’ 현장에서 기념사진을 찍는 이지훈 님과 정협 님.

‘DEF CON 34 CTF’ 현장에서 널루트 그룹이 함께 기념사진을 찍는 모습.

Q. 데프콘 CTF에 참가하게 된 계기와 준비 과정이 궁금합니다.
A. 정협: 세계적인 보안 전문가들과 실력을 겨루며 역량을 점검하고, 새로운 경험을 쌓고 싶었습니다. 저희는 해킹 기술을 연구하고 관련 지식과 성과를 공유하는 국내 전문가 모임 ‘널루트’에서 함께 활동하고 있습니다. 이번 대회에는 널루트를 비롯한 국내 보안 전문가들이 모인 연합팀 ‘콜드퓨전’의 일원으로 출전했습니다.

평소에도 보안 연구 활동을 이어오다 보니 업무와 대회 준비를 별개로 생각하지는 않습니다. 업무에서 쌓은 경험을 공부에 활용하고, 새롭게 공부한 지식을 다시 업무에 적용하는 선순환에 가깝습니다.

A. 이지훈: 저 역시 세계적인 팀들과 경쟁하며 기술 역량을 키우고, 대회에서 접한 새로운 기술과 관점을 실제 업무에도 적용해 보고 싶었습니다. 대회 준비는 주로 퇴근 후에 진행했습니다. 작년에 대회를 경험하면서 필요한 도구가 많다는 것을 느꼈고, 올해는 관련 도구를 개발하는 데 집중했습니다. 특히 AI의 중요성이 커지면서 관련 기술을 익히고 활용 방법을 공부하는 데 많은 시간을 쏟았습니다.

Q. 이번 대회에서 AI를 어떻게 활용하셨고, 실제 업무에는 어떻게 적용하고 계신가요?
A. 이지훈: 데프콘 CTF 본선은 공격과 방어가 동시에 진행되는 방식입니다. 제한된 시간 안에 상대 시스템의 취약점을 찾아 공격하면서, 저희 시스템으로 들어오는 공격도 실시간으로 막아야 합니다. 개인의 문제 해결 능력뿐 아니라 시스템 운영과 팀워크도 중요한 대회입니다.

이번 대회에서는 AI를 코드와 패치를 분석하는 에이전트로 활용했습니다. 상대 팀이 취약점에 패치를 적용하면 AI가 패치 구조를 분석하고 우회할 수 있는 경로를 탐색했습니다. 저희는 그중에서 실제 공격이 가능한 것을 직접 검증했습니다. AI가 여러 가능성을 먼저 탐색하고, 최종 판단은 사람이 내리는 거죠.

대회에서 활용한 AI 기반 분석 방식은 실무 환경에 맞게 다듬어 실제 업무에도 적용하고 있습니다. 기존에는 시간 제약으로 가능성이 높은 몇 가지 공격 경로에 집중해야 했다면, AI를 활용하면서 여러 공격 가설을 동시에 살펴볼 수 있게 되었습니다.

Q. 데프콘 CTF 본선에서 가장 기억에 남는 순간이 있으시다면 소개 부탁드립니다.
A. 정협: 본선은 3일간 진행됐습니다. 첫날에는 저희가 준비한 시스템이 일부 정상적으로 작동하지 않았고, 예상하지 못한 유형의 문제도 출제됐습니다. 순위가 떨어지면서 전략을 새로 수립해야 했습니다. 둘째 날부터 중위권으로 올라갔고, 셋째 날에는 상위권에 진입했습니다.

A. 이지훈: 특히 마지막 날이 기억에 남습니다. 셋째 날 시작 전에는 3위 팀과 6~7만 점 차이가 났는데, 종료 30분 전에는 그 차이를 2,000점까지 좁혔습니다. 시간이 조금 더 있었으면 3등을 할 수도 있지 않았을까 하는 아쉬움이 남기도 했습니다. 점수가 5분마다 갱신되는데, 그때마다 팀원 모두가 함께 기뻐하고 아쉬워하던 순간도 기억에 남습니다.

더 나은 보안을 향한 오늘과 내일

Q. 레드팀 구성원으로서 가장 보람을 느끼는 순간은 언제인가요?
A. 정협: 팀 차원에서는 첫 대형 프로젝트를 성공적으로 마무리했을 때 가장 보람을 느꼈습니다. 개인적으로는 취약점이 없다고 생각했던 시스템에서 문제를 선제적으로 발견하고, 바로 조치해 위험을 없앴을 때 가장 뿌듯했습니다.

A. 이지훈: 저는 구성원들이 보안을 특정 담당자만의 일이 아니라, ‘내 일’로 인식하고 함께 만들어가는 것이라고 생각할 때 보람을 느낍니다. 직접 말하지 않더라도 구성원들이 일상에서 보안을 실천하는 모습을 볼 때 뿌듯합니다.

Q. 보안 전문가로서 일상에서 특히 강조하는 보안 수칙이 있나요?
A. 이지훈: 저는 모바일 보안에 관심이 많아, 주변에 두 가지를 꼭 강조합니다. 첫째는 출처를 알 수 없는 링크는 절대 누르지 않는 것, 둘째는 사이트마다 비밀번호를 다르게 설정하는 것입니다. 보안이 취약한 사이트에서 계정 정보가 유출되면 같은 비밀번호를 사용하는 다른 계정까지 위험해질 수 있기 때문입니다. 최소한 자주 쓰는 계정의 비밀번호와 나머지 계정의 비밀번호를 분리하는 것만으로도 위험을 줄일 수 있습니다.

Q. 화이트해커에게 가장 필요한 역량이나 자세가 있다면 무엇인가요?
A. 정협: 우선 끈기와 꼼꼼함이 필요합니다. 기술을 악용하지 않는 도덕성과 업무 과정에서 알게 된 정보를 외부에 유출하지 않는 기밀 유지도 중요합니다. 마지막으로, 현재 가진 기술에 머무르지 않는 자세도 필요합니다. AI 시대에는 새로운 취약점과 공격 방법이 끊임없이 등장하기 때문에, 지속적으로 공부하고 탐구해야 한다고 생각합니다.

Q. 레드팀 구성원으로서 앞으로 도전해보고 싶은 분야나 목표가 있으시다면 말씀 부탁드립니다.
A. 정협: 다음 대회에서는 올해보다 더 발전된 AI 에이전트를 준비해서 순위를 한 단계 더 끌어올리는 것이 목표입니다. 이를 통해 다른 곳에서는 발견하지 못하는 취약점을 먼저 찾아내고 빠르게 조치하면서, ‘SKT 레드팀’이라고 하면 외부에서도 알아주는 팀으로 만들고 싶습니다.

A. 이지훈: 저는 보안에 특화된 AI 모델을 만들어보고 싶습니다. 지금 대부분의 모델은 범용적인 특성을 가지고 학습돼 있는데, 보안 취약점이나 관련 보고서 등을 대량으로 학습시키면 더 좋은 결과가 나올 수 있다고 생각합니다. 하드웨어 등의 제약은 있지만, 회사의 지원을 받아 도전해보고 싶은 영역입니다.

데프콘 CTF에서 쌓은 경험을 실무에 접목하며 새로운 도전을 이어가고 있는 두 사람. AI가 보안의 공격과 방어 양쪽에서 영향력을 넓혀가는 가운데, 변화하는 위협에 한발 앞서 대응하기 위한 이들의 도전은 앞으로도 계속될 예정이다.