git:20260611.c515831 to git:20260908.452d6f7

---

name: ch015-redteam

description: "Run CH015 red team infrastructure configuration security review workflows for IaC, CI/CD, containers, Kubernetes, cloud config, MITRE ATT&CK attack paths, and detection engineering."

---

# 인프라 설정 보안 리뷰 (Red Team Operations) Skill

> 인프라/네트워크/배포 레벨의 설정 파일과 IaC를 공격자 관점에서 분석하여

> MITRE ATT&CK 프레임워크에 매핑된 공격 경로를 식별합니다.

---

## 서비스 개요

| 항목 | 내용 |

|------|------|

| 서비스명 | 인프라 설정 보안 리뷰 (Red Team) |

| 방법론 | MITRE ATT&CK 매핑 + Kill Chain 관점 설정 분석 |

| 출력물 | 인프라 공격 표면 맵 + Kill Chain + 6-step 영향도 분석 + 수정 가이드 |

| 코드 수정 | ❌ 없음 (읽기 전용) |

| 외부 스캔 | ❌ 없음 (소스코드/설정 분석 기반) |

| 실제 인프라 접근 | ❌ 없음 (레포 내 파일만 분석) |

---

## 역할 범위와 한계

```yaml

Role_Scope:

정의: |

이 스킬은 "인프라 설정 보안 리뷰(Infrastructure Configuration Security Review)"이다.

실제 인프라에 접근하거나 네트워크 트래픽을 생성하지 않으며,

레포 내 설정 파일/IaC/CI/CD 파이프라인을 공격자 관점(Kill Chain)으로 분석한다.

수행_범위:

- "Dockerfile, docker-compose 등 컨테이너 설정 보안 분석"

- "GitHub Actions, GitLab CI 등 CI/CD 파이프라인 보안 분석"

- "Terraform, CloudFormation 등 IaC 보안 분석"

- "Kubernetes manifest, Helm chart 보안 분석"

- "시크릿 관리 아키텍처 분석 (Vault, SSM, SA binding 등)"

- "코드 내 인프라 클라이언트 호출에서 아키텍처 추론"

- "MITRE ATT&CK Kill Chain 관점 공격 경로 도출"

수행_불가:

- "실제 인프라(클라우드, 서버, 네트워크)에 접근 또는 스캔"

- "실행 중인 서비스에 HTTP 요청 또는 네트워크 패킷 전송"

- "운영 환경의 실시간 설정 값 확인"

- "실제 시크릿 유출 테스트 또는 크레덴셜 검증"

Pentest_차이:

설명: |

- Pentest: 실제 HTTP 요청으로 취약점을 라이브 검증 → FP 직접 제거

- Red Team: 설정 파일을 분석하여 인프라 수준 보상 제어를 확인 → FP 간접 제거

사용_시점: |

VA에서 Unverifiable_Infra로 분류된 보상 제어를 설정 파일에서 검증할 때.

Pentest로 검증할 수 없는 인프라 수준 설정(컨테이너 격리, CI/CD 시크릿 보호 등)이 대상.

FP_감소_기여:

직접: "설정에서 확인 가능한 보상 제어 검증 → Effective/Ineffective 판정"

간접: "Kill Chain 분석으로 복합 공격 경로 식별 → 숨겨진 True Positive 발견"

한계: "레포에 없는 설정(운영 환경 전용)은 검증 불가 → INCONCLUSIVE"

```

---

## 설계 원칙: 방법론 기반 + 공격 경로 중심

### 분석 원칙: 방법론, 패턴이 아님

```yaml

Principles:

No_Pattern_Lists: |

"특정 클라우드 서비스 문법, 설정 키, Dockerfile 명령어 목록에 의존하지 않는다.

이런 목록은 닫힌 집합이며, 목록에 없는 위험을 구조적으로 놓친다."

Use_Methodology: |

"행위(무엇이 일어나는가)를 질문하고, AI가 감지된 인프라 스택에 맞는

구체적 설정 패턴을 자율적으로 판단하여 탐색한다."

Kill_Chain_Thinking: |

"개별 설정 결함이 아닌 공격 경로(Kill Chain) 관점으로 분석.

'이 설정이 안전한가'가 아니라 '이 설정을 활용해 어디까지 도달할 수 있는가'를 질문."

Representative_Examples: |

"안티패턴/올바른 패턴은 '대표적 예시'로만 제시.

분석은 이 예시에 한정되지 않으며 — 동일한 구조적 이슈를 가진

모든 변형이 탐지되어야 한다."

```

---

## VA·Pentest·Red Team 비교

| 구분 | VA | Pentest | Red Team |

|------|-----|---------|----------|

| 관점 | 아키텍처 차원 리뷰 | 애플리케이션 공격자 | 인프라/조직 공격자 |

| 대상 | 소스코드 | 소스코드 + API | 설정 파일 + IaC + CI/CD |

| 방법론 | 8대 아키텍처 차원 | 시나리오 기반 공격 | MITRE ATT&CK 매핑 |

| 실행 환경 | 코드 읽기 전용 | 라이브 HTTP 요청 | 코드/설정 읽기 전용 |

| FP 감소 | Self-Verify로 1차 제거 | 라이브 검증으로 직접 제거 (핵심) | 설정 검증으로 간접 제거 |

| 출력 | 차원 건강도 + 6-step 분석 | POC + 라이브 검증 + 6-step | Kill Chain + 6-step 분석 |

---

## Phase 구조

```

Phase 0: Recon → 공통 정찰 (common/recon.md) + 인프라 정찰

Phase 0.5: Binding → 정찰 → 분석 컨텍스트 바인딩

Phase 1: Surface → 인프라/배포 공격 표면 식별

Phase 2: Attack Path → MITRE ATT&CK 기반 공격 경로 분석

Phase 3: Exploit → 익스플로잇 가능성 분석 + POC

Phase 4: Deep Analysis → 원칙 기반 심층 분석

Phase 4.5: Self-Verify → 분석 결과 자체 검증 (도달 가능성, 보상 제어)

Phase 4.6: VA Escalation → VA Unverifiable_Infra 보상 제어 설정 기반 검증 (해당 시)

Phase 5: Report → Kill Chain 다이어그램 + 6-step 영향도 분석 보고서

Phase 5R: Regulatory → 규제 영향 참조 (Finding 기반, 해당 시에만)

Phase 6: Detection → Detection Engineering Signals (Purple Team 산출물)

```

---

### Evasion Framing Discipline

```yaml

Ethical_Framing:

rule: |

evasion_considerations 섹션은 공격 기법 전수 목적이 아니라

SOC가 '회피 시도까지 탐지'할 수 있도록 하기 위함이다.

구체적 회피 도구 이름이나 bypass payload는 기재하지 않는다.

대신 "로그 소스 X의 비활성화" 같은 추상 수준으로 기술한다.

```