제3회 정보보호 교육·훈련 사이버공격·방어 시나리오 경진대회

한국정보보호학회 정보보호교육연구회가 주최하는, 정보보호 교육·훈련에 쓸 사이버 공격·방어 시나리오 공모전입니다. 대학(원)생 부문에 4편을 제출해 그중 통신 분야 시나리오로 한국인터넷진흥원장상을 받았습니다.

수상작은 「지워진 로그, 남겨진 바이트: 통신 가입자·USIM 정보 유출 규모와 고객보호 범위 산정」입니다. 나머지 세 편은 금융 2편(상담 RAG 의 근거 오염, AI 에이전트 업무 대기열 침해)과 SOC 자동화 1편(에이전트 오격리와 서비스 계정 침해 복구)이었습니다.

시나리오에서는 통신사 운영 서버에서 가입자·USIM 추출 파일의 생성·삭제와 암호화 전송 흔적이 나오는데, 같은 구간의 DB 감사로그가 비어 있습니다. VPN·호스트·네트워크 장비의 시각과 전송량도 서로 맞지 않아 단일 로그로는 규모를 단정할 수 없습니다. 보호 범위를 좁게 잡으면 피해 고객이 빠지고 넓게 잡으면 불필요한 USIM 재발급과 통지로 이어집니다. 참가자가 아래 4단계로 분석하도록 설계했습니다.

• 1단계 · 증거 보존과 장비별 시각 맞추기 — Velociraptor Collection Container 로 받은 결과를 Plaso 로 추출해 Timesketch 에 올리고 PCAP 의 공통 기준 사건과 NTP·systemd-timesyncd 기록으로 장비별 시각 오차를 산정해 공통 시간축을 만듭니다.
• 2단계 · 패시브 백도어 헌팅 — Volatility 3 로 프로세스 계보·열린 파일·소켓·메모리 매핑을 훑어 Raw/Packet Socket 후보를 찾습니다. BPF 부착은 audit·eBPF 텔레메트리로 확인될 때만 확정하고 실제 전송 가설과 로컬 생성 후 미전송 가설을 함께 검토합니다.
• 3단계 · 유출 규모와 고객보호 범위 산정 — PCAP 의 tcp.len, Zeek 의 orig_bytes·missed_bytes, NetFlow exporter octet, 수신 서버 persisted bytes 는 수집 지점과 포함 범위가 다릅니다. 이 차이를 먼저 정리해 둔 뒤 최소·대표·보수적 최대 범위를 계산하고 COUNT(DISTINCT) 로 고유 가입자 토큰을 분리해 최소 보호군 · 우선 조사군 · 보수적 보호군을 냅니다. 바이트를 가입자 수로 바꿀 때마다 어떤 가정을 두는지 함께 적게 했습니다.
• 4단계 · 차단과 탐지 검증 — 계정·호스트·전송 경로를 차단하고 zeek -r·wazuh-logtest 로 룰 매칭만 보는 단위 시험과, tcpreplay 로 사고·정상 PCAP 을 재생해 경보까지 이어지는지 보는 종단 간 시험을 나눠 진행하게 했습니다. 정상 통신 업무를 방해하지 않는지까지 봅니다.

각 단계에는 무엇이 나와야 끝난 것으로 보는지 예상 결과물을 정해 두었습니다. 제출 문서에서 옮겼습니다.

• 1단계 — 통합 사건 시간선이 나오고 여기에 증거 무결성과 시각 보정 근거가 남습니다. 사건마다 직접 관측인지 추정인지, 감사로그 공백 때문에 확인이 안 되는지도 표시됩니다.
• 2단계 — 백도어 행위와 자료 추출·전송·삭제가 어떻게 이어지는지 증거별 신뢰도와 함께 정리됩니다. 실제 전송으로 보이는 범위와 확인되지 않은 부분은 따로 둡니다.
• 3단계 — 최소 보호군·우선 조사군·보수적 보호군이 각각의 근거와 함께 제시됩니다. 계산으로 설명할 수 없는 로그 공백과 표본 편향은 별도 불확실성으로 남아 고객 통지와 추가 조사 조건에 반영됩니다.
• 4단계 — 계정·호스트·추출·전송 경로를 막은 조치와 정상 업무 복구 조건이 정리됩니다. 탐지 규칙이 사고를 잡는지와 정상 트래픽을 오탐하는지도 같은 사고대응 보고서에 들어갑니다.

정답을 하나로 정하지 않았습니다. 참가자는 모든 사건을 직접 관측 · 합리적 추정 · 확인 불가로 나눠 적고 감사로그가 비어 있다는 사실만으로 침해를 단정하지 않아야 합니다. 채점은 고정된 증거(Fixture)와 분석 재실행(Replay)을 기준으로 하고 컨테이너 이미지 다이제스트·lockfile·입력 해시·Decimal 계산을 고정해 같은 입력이면 같은 결과가 나오도록 설계했습니다.

제출물은 시나리오와 단계별 예상 결과물을 담은 설계 문서입니다. 훈련 데이터는 합성 증거로 제공하고 가입자 식별자는 재식별할 수 없는 가상 토큰으로 바꾸도록 했습니다. 전송 목적지는 외부 인터넷이 아닌 실습망 내부 수신 서버로 제한했고 분석 범위에 이동통신 코어망은 넣지 않았습니다.