[ProJ] 프로젝트 · 작성: 2026-07-19 19:44:57 · 수정: 2026-07-19 23:03:09 · 조회 13
프로젝트 글들(BPFDoor 스캐너, VulnCheck_KR, pcap-sniffer, WHS3 SIEM/SOAR)에서 별다른 설명 없이 쓴 용어들을 한 곳에 정리한다. 보안을 처음 접하는 사람이 프로젝트 글을 읽다가 막히는 지점을 줄이는 게 목적이다.
SIEM (Security Information and Event Management) 여러 시스템(서버, 방화벽, 애플리케이션)에서 나오는 로그를 한 곳에 모아 저장하고, 이상 징후를 규칙 기반으로 탐지하는 시스템. "지금 우리 인프라에서 무슨 일이 일어나고 있는가"를 한눈에 보기 위한 중앙 로그 저장소이자 탐지 엔진이라고 보면 된다. WHS3 프로젝트에서는 Wazuh가 이 역할을 한다.
SOAR (Security Orchestration, Automation and Response) SIEM이 "탐지"까지 한다면, SOAR는 탐지된 이벤트에 대해 사람이 매번 개입하지 않아도 정해진 대응 절차를 자동으로 실행하는 계층이다. "웹쉘이 탐지되면 → 해당 IP를 자동 차단하고 → Slack으로 담당자에게 알림"까지 이어지는 흐름이 SOAR의 전형적인 동작이다.
Wazuh 오픈소스 SIEM/XDR 플랫폼. 각 서버에 설치되는 에이전트가 로그·파일 변경·프로세스 정보를 수집해서 중앙 서버로 보내고, 정의된 규칙(rule)에 맞으면 경보를 발생시킨다. 룰을 직접 작성해서 원하는 패턴(웹쉘 업로드, 리버스쉘 등)을 탐지하도록 커스터마이징할 수 있다.
Active Response (Wazuh) Wazuh가 특정 경보를 감지했을 때, 미리 등록해둔 스크립트를 대상 서버에서 자동으로 실행시키는 기능. IP 차단, 계정 잠금, 프로세스 종료 같은 즉각 대응을 사람 개입 없이 처리할 때 쓴다. SOAR의 "자동 대응(A)" 부분을 실제로 구현하는 핵심 기능.
MITRE ATT&CK 실제 공격자들이 쓰는 전술·기법을 표준화해서 정리해놓은 지식 베이스(프레임워크). "초기 침투 → 권한 상승 → 내부 이동 → 데이터 유출" 같은 공격 단계별로 구체적인 기법(예: 웹쉘 업로드, 리버스쉘)이 분류되어 있어서, 탐지 룰을 설계하거나 모의 침투 시나리오를 짤 때 공통 언어처럼 쓰인다. WHS3 프로젝트에서 "공격 시나리오를 MITRE ATT&CK 기반으로 설계했다"는 게 바로 이 프레임워크의 단계를 참고해서 웹쉘/리버스쉘/랜섬웨어 시나리오를 구성했다는 뜻이다.
YARA 파일이나 실행 중인 프로세스 메모리에서 특정 패턴(문자열, 바이트 시퀀스, 조건식)을 찾는 룰 기반 스캐너. 악성코드 분석에서 "이 파일이 특정 악성코드 계열과 같은 특징을 갖고 있는가"를 판별할 때 표준적으로 쓰인다. BPFDoor 스캐너의 최종 검증 단계(BPF-09)와 WHS3의 난독화 웹쉘 탐지에 공통으로 쓰였다.
evalhook
PHP의 eval() 함수처럼 문자열을 코드로 실행하는 함수를 후킹(가로채기)해서, 실제로 뭘 실행하려 했는지 로그로 남기는 기법/도구. 웹쉘이 문자열을 난독화해뒀다가 eval로 복호화·실행하는 패턴이 흔한데, 정적 스캔(YARA)만으로는 난독화된 코드 자체를 못 알아볼 수 있어서, 실행되는 순간을 가로채는 이 방식이 보완적으로 쓰인다.
auditd 리눅스 커널의 감사(audit) 로그를 수집하는 데몬. 특정 파일에 대한 읽기/쓰기/실행, 특정 시스템 콜 호출 같은 저수준 이벤트를 기록한다. 파일 무결성 모니터링(FIM)이나 "이 파일을 누가 언제 수정했는가"를 추적할 때 기반이 되는 로그 소스다.
포렌식 (Forensics) 환경 침해사고가 발생한 시스템을 그대로 분석할 수 있도록 별도로 격리해서 준비하는 환경. 감염된 서버를 바로 삭제/재설치하면 공격자가 어떻게 침투했는지 증거가 같이 사라지므로, 원본은 분석용으로 보존하고 서비스는 별도 인스턴스로 복구하는 식으로 나눈다.
IaC (Infrastructure as Code) 서버, 네트워크 같은 인프라 구성을 클릭이 아니라 코드(설정 파일)로 정의해서, 그 코드를 실행하면 동일한 인프라가 자동으로 만들어지게 하는 방식. 코드이기 때문에 버전 관리(git)가 가능하고, 같은 환경을 몇 번이든 재현할 수 있다.
Terraform IaC를 구현하는 대표적인 도구. AWS 같은 클라우드 자원(서버, 네트워크, 보안 그룹 등)을 설정 파일로 정의해두면, 그 파일을 기준으로 실제 인프라를 생성·수정·삭제해준다. WHS3 프로젝트에서 "랜섬웨어 감염 시 Terraform으로 인스턴스를 자동 복구"한다는 건, 감염된 서버를 지우고 코드에 정의된 대로 깨끗한 서버를 즉시 다시 만들어낸다는 뜻이다.
AWS 메타데이터 엔드포인트 / IMDS
AWS EC2 인스턴스 내부에서만 접근 가능한 특수 주소(169.254.169.254)로, 그 인스턴스에 부여된 임시 자격증명 같은 정보를 제공한다. SSRF 글에서 다룬 것처럼, 이 엔드포인트에 외부에서 우회 접근하면 클라우드 권한이 탈취될 수 있어 보안상 중요하게 다뤄진다.
KISA (한국인터넷진흥원) 국내 인터넷·정보보호 정책을 담당하는 준정부기관. 침해사고 대응 가이드, 취약점 점검 기준(전자금융기반시설, 주요정보통신기반시설 등)을 공식적으로 발간한다. BPFDoor 점검 스크립트와 VulnCheck_KR 컨버터가 기준으로 삼은 게 바로 이 기관의 가이드다.
전자금융기반시설 / 주요정보통신기반시설 국내 법령(전자금융거래법, 정보통신기반보호법)에 따라 지정되는 시설 분류로, 각각 별도의 보안 취약점 평가기준이 존재한다. 은행·카드사 같은 금융 인프라는 전자금융기반시설, 통신·에너지·교통 같은 국가 핵심 인프라는 주요정보통신기반시설 기준을 따른다. VulnCheck_KR은 이 두 기준에 맞춰 점검 결과를 정리해주는 도구다.
EoS (End of Support) 제조사가 더 이상 보안 패치나 기술 지원을 제공하지 않는 시점. EoS가 지난 소프트웨어/장비는 새로 발견되는 취약점이 영원히 패치되지 않으므로, 취약점 점검에서 그 자체로 "취약" 판정을 받는 항목이다.
RELRO (RELocation Read-Only) Pwnable 카테고리 글들에서 다룬 바이너리 보호 기법 중 하나. GOT(함수 주소 테이블)를 프로그램 시작 후 읽기 전용으로 바꿔서, 공격자가 그 테이블의 값을 조작해 실행 흐름을 바꾸는 공격(GOT overwrite)을 막는다. 웹서버 점검 항목에도 자주 등장하는 이유는, 웹서버/WAS 자체도 결국 바이너리라서 같은 보호 기법이 적용되는지가 점검 대상이기 때문이다.
PermitRootLogin
SSH 서버 설정 항목 중 하나로, root 계정으로 직접 SSH 로그인을 허용할지를 결정한다. no로 설정하면 root로는 SSH 로그인이 안 되고, 일반 계정으로 접속한 뒤 sudo로 권한을 올려야 하므로 무차별 대입 공격의 표적이 줄고 계정별 접근 기록도 남길 수 있어 보안 점검에서 표준적으로 요구되는 설정이다.
libpcap 네트워크 인터페이스를 지나가는 패킷을 캡처할 수 있게 해주는 C 라이브러리. Wireshark, tcpdump 같은 유명 패킷 분석 도구들이 내부적으로 이 라이브러리(또는 Windows의 대응 버전인 WinPcap/Npcap)를 사용한다.
Promiscuous 모드 네트워크 인터페이스가 원래는 "자기 앞으로 온 패킷"만 처리하는데, 이 모드를 켜면 자신에게 향하지 않은 패킷까지 전부 받아들여서 캡처할 수 있게 된다. 패킷 스니핑 프로그램이 다른 기기 간의 트래픽까지 관찰하려면 이 모드가 필요하다.
RAW 소켓 일반적인 소켓(TCP/UDP)은 OS가 헤더 처리를 대신해주지만, RAW 소켓은 프로그램이 패킷의 헤더까지 직접 다루도록 열어주는 저수준 소켓이다. 패킷 스니퍼나 커스텀 프로토콜 구현에 쓰이는데, BPFDoor 같은 백도어도 정상적인 포트를 열지 않고 RAW 소켓으로 특정 매직 패킷을 몰래 감시하는 방식으로 동작해서, 점검 스크립트가 RAW 소켓 사용 프로세스를 별도로 확인하는 이유가 된다.
PM (Project Manager) 프로젝트 전체를 총괄하는 역할. 고객사와의 일정·범위 협의, 산출물 품질과 리스크 관리, 여러 파트(서버·DBMS·웹·네트워크 등) 간 진행 상황 조율을 책임진다. 보안 컨설팅 프로젝트에서는 보통 최종 보고서와 고객 커뮤니케이션의 창구 역할도 겸한다.
PL (Project Leader / Part Leader) PM 아래에서 특정 파트(예: 웹 모의해킹, 인프라 취약점 진단)를 실무적으로 이끄는 리더. 점검 항목 배분, 기술적 판단, 결과 검수를 담당하며 PM과 실무자(PA) 사이를 연결하는 역할을 한다.
PA (Project Auditor / Assistant) 실제 점검·진단·모의해킹을 수행하는 실무자. 신입~주니어 컨설턴트가 주로 맡으며, PL이 배분한 점검 항목을 수행하고 결과를 정리해 보고한다. 규모가 있는 진단 프로젝트는 보통 PM 1명 아래 여러 PL, 각 PL 아래 여러 PA로 조직된다.
PoC (Proof of Concept) 취약점이 "이론상 존재한다"를 넘어 실제로 악용 가능함을 보여주는 최소한의 예시 코드·시연. 보고서에서 심각도를 주장할 때, PoC 유무에 따라 설득력이 크게 달라진다.
Recon / Footprinting (정찰) 공격 대상에 대한 정보(도메인, IP 대역, 사용 기술 스택, 노출된 서비스 등)를 사전에 수집하는 단계. 모의해킹·침투테스트의 가장 첫 단계다.
OSINT (Open Source Intelligence) 공개된 정보(SNS, WHOIS, 유출된 데이터베이스, 코드 저장소 등)만으로 대상에 대한 정보를 모으는 정찰 기법. 별도 침투 없이도 이메일 형식, 재직자 명단, 사용 중인 인프라 등을 파악할 수 있어 초기 정찰에 흔히 쓰인다.
Initial Access (초기 접근) 공격자가 대상 네트워크 안에 처음으로 발판을 마련하는 단계. 피싱 메일, 취약한 외부 노출 서비스 공격, 유출된 자격증명 재사용 등이 대표적인 경로다.
Privilege Escalation (권한 상승, PE) 낮은 권한(일반 사용자)에서 더 높은 권한(관리자·root·SYSTEM)으로 올라가는 것. 로컬 시스템 안에서 권한만 높이는 경우를 Local Privilege Escalation(LPE)이라 부르며, 이는 "수직" 이동이라는 점에서 아래 Lateral Movement(수평 이동)와 대비된다.
Lateral Movement (수평 이동) 최초로 침투한 시스템에서 내부 네트워크의 다른 시스템으로 옮겨가며 공격 범위를 넓히는 단계. MITRE ATT&CK에서도 별도 전술(Tactic) 카테고리로 분류될 만큼 침해사고에서 핵심적인 단계다.
Pivoting 침투한 시스템을 경유지로 삼아, 원래는 직접 접근할 수 없던 내부망의 다른 대역·시스템까지 네트워크 경로를 확보하는 기법. Lateral Movement가 "다른 시스템으로 옮겨가는 행위" 자체를 가리킨다면, Pivoting은 그 이동을 가능하게 하는 통신 경로 확보에 초점이 있다.
C2 (Command and Control) 공격자가 침투한 시스템을 원격으로 조종하기 위해 구축하는 통신 채널·서버. Cobalt Strike의 Team Server, Metasploit의 handler가 대표적인 예이며, 탐지를 피하기 위해 정상 트래픽(HTTPS, DNS 등)으로 위장하는 경우가 많다.
Persistence (지속성 확보) 시스템이 재부팅되거나 세션이 끊겨도 공격자가 접근 권한을 다시 얻을 수 있도록, 백도어·스케줄 작업·레지스트리 Run 키 등에 흔적을 심어두는 기법.
Living off the Land (LotL) 별도의 악성 도구를 심지 않고, 대상 시스템에 이미 설치된 정상 프로그램(PowerShell, WMI, certutil 등)을 이용해 공격 행위를 수행하는 기법. 정상적인 관리 도구처럼 보이기 때문에 시그니처 기반 탐지를 우회하기 쉽다.
Pass-the-Hash / Pass-the-Ticket 평문 비밀번호 없이, 탈취한 비밀번호 해시값(NTLM 등)이나 Kerberos 티켓만으로 인증을 통과하는 공격 기법. 내부망에서 Lateral Movement를 수행할 때 흔히 쓰인다.
Reverse Shell / Bind Shell Reverse Shell은 공격 대상 시스템이 먼저 공격자에게 접속을 걸어 쉘을 열어주는 방식으로, 방화벽의 인바운드 차단은 우회하면서 아웃바운드는 허용된 환경에서 유리하다. Bind Shell은 반대로 대상 시스템이 특정 포트를 열어두고 공격자가 그 포트로 접속하는 방식이다.
Exfiltration (데이터 유출) 침투 이후, 목표로 삼은 데이터를 외부로 빼내는 마지막 단계. 정상 트래픽처럼 보이도록 소량씩 나눠 전송하거나 암호화해서 유출하는 경우가 많다.
Kill Chain (사이버 킬체인) 정찰 → 무기화 → 전달 → 취약점 공격 → 설치 → C2 → 목표 실행으로 이어지는 공격 단계 모델. Lockheed Martin이 처음 제시했고, 각 단계를 끊으면 공격을 무력화할 수 있다는 방어 관점의 틀로 자주 인용된다.
Red Team / Blue Team / Purple Team Red Team은 실제 공격자 관점에서 침투 시나리오를 수행하는 팀, Blue Team은 탐지·방어·대응을 담당하는 팀이다. Purple Team은 Red와 Blue가 결과를 공유하며 탐지 룰과 대응 절차를 함께 개선하는 협업 방식을 가리킨다.
0-day / N-day 0-day는 제조사가 아직 인지하거나 패치하지 못한 상태의 취약점(또는 그것을 이용한 공격), N-day는 이미 패치가 공개됐지만 아직 적용되지 않은 시스템을 노리는, 존재가 알려진 취약점을 뜻한다.
CVSS (Common Vulnerability Scoring System) 취약점의 심각도를 0~10점으로 정량화하는 국제 표준 점수 체계. 공격 난이도, 필요 권한, 영향 범위 등 여러 지표를 종합해 산출하며, 보고서에서 취약점 등급(상/중/하 등)을 매길 때 근거로 자주 쓰인다.
이 용어들은 프로젝트 글마다 반복적으로 등장하니, 읽다가 막히면 이 글로 다시 돌아와 확인하면 된다.