안녕하세요, 카카오뱅크 어플리케이션보안팀에서 화이트 햇 업무를 맡고 있는 Woogie와 Harry입니다. 저희 어플리케이션보안팀은 크게 ‘레드팀’과 ‘블루팀’으로 나누어져 있습니다. 저희가 소속된 레드팀은 카카오뱅크 앱과 임직원의 근무 환경에서 발생할 수 있는 보안 취약점을 사전에 발견하고, 이를 신속히 조치하여 실제로 보안 사고가 발생하지 않도록 예방하는 역할을 합니다.
반면, 블루팀은 앞서 같은 팀 Jinny가 작성한 VulShot으로 시작하는 DevSecOps & 보안 점검 자동화 글에서 확인할 수 있듯이, 방어자의 입장에서 잠재적인 위험으로부터 시스템을 보호하는 역할을 담당하고 있습니다.
이번 기술블로그 글에서는 지난 2024년에 세계 최대의 보안/해킹 대회 및 컨퍼런스인 DEFCON 32에 참석한 후기를 실무자의 관점에서 공유하고자 합니다. 해커톤과 기술 컨퍼런스에 익숙하신 분들도 이 글을 통해 해커들의 축제인 보안/해킹 컨퍼런스의 모습이 어떻게 다른지 확인해보실 수 있는 계기가 되길 바라며 시작하겠습니다.
세계 최대 보안 컨퍼런스, DEFCON
DEFCON은 1993년 처음 개최되어 매년 미국 라스베이거스에서 열리는 세계 최고 권위의 해킹 방어대회 및 글로벌 보안/해킹 컨퍼런스입니다. 저희가 참여한 DEFCON 32는 2024년에 32회째를 맞이한 행사로, 전 세계 보안 전문가와 해커들이 모여 다양한 해킹 기술과 방어 전략을 논의하고 발표하는 소통의 장입니다.
특히 DEFCON은 어려운 해킹 방어대회로도 유명합니다. 참가자들은 제한된 시간 동안 시스템의 취약점을 찾아내고 이를 방어하는 실력을 겨룹니다. 예선전(DEFCON Quals)을 통과한 상위 팀들과 시드권을 가진 팀들만 본선에 진출할 수 있으며, 이 과정에서 참가자들은 다양한 해킹 및 방어 과제들을 해결해야 합니다. 여기서 ‘시드권’이란, 전년도 DEFCON 우승팀 및 주요 CTF 우승팀들이 부여받는 본선 티켓입니다. 이처럼 제한된 시간 내에 최상의 성과를 내야 하는 대회 특성상, 참여만으로도 최신 보안 기술과 사례를 접하는 값진 경험을 할 수 있습니다.
저희가 참여했던 DEFCON 32 컨퍼런스의 큰 구성은 다음과 같습니다.
2. Village: 컨퍼런스 기간동안 각기 다른 주제를 가진 여러 Village가 운영됩니다. 참가자들은 Village 방문을 통해 특정 기술 분야의 발표, 워크샵, 토론, 실습 등에 참여할 수 있습니다.
3. DEFCON CTF(Capture The Flag): 공방전 형태로 진행되며, 참가자들은 제한된 시간 동안 시스템의 취약점을 찾아내고 이를 방어하는 능력을 겨루게 됩니다. DEFCON CTF는 세계적으로 가장 어려운 해킹 대회 중 하나로 알려져 있으며, 우승자에게는 큰 명예가 주어집니다.
이처럼 DEFCON은 전 세계 보안 전문가와 해커들이 지식과 경험을 공유하고, 최신 보안 위협과 방어 기술을 탐구하는 행사로 자리 잡고 있습니다. 저희 카카오뱅크에서도 DEFCON 컨퍼런스를 눈여겨보던 중, Woogie가 해킹 방어대회 본선에 출전하면서 팀을 꾸려 함께 방문하게 되었습니다.
🎟️ 참석을 위한 준비
DEFCON에 참석하기 위해서는 티켓 구매가 필요합니다. 현장에서도 티켓을 구입할 수 있지만, 저희는 온라인으로 사전 예매를 했습니다. 예매한 QR코드를 가지고 현장에 가면 특별한 디자인의 뱃지로 교환할 수 있습니다. 이 입장권 뱃지는 매년 다른 형태로 제공되는데, 올해는 라즈베리파이(Raspberry Pi) 기반의 고양이 모양의 뱃지🐱가 제공되었습니다.
참고로 이 뱃지는 단순한 기념품을 넘어서 다양한 기능을 갖추고 있습니다. 예를 들어, 닌텐도 게임보이 에뮬레이터 내에 DEFCON이 열리는 LVCC(Las Vegas Convention Center) 맵을 구현해 움직일 수 있게 해두었습니다. 또한 LED 변경 기능이나 여러 이벤트가 포함되어 있어 자세히 뜯어볼 수록 흥미로운 요소가 가득합니다.
비록 저희는 뱃지를 깊이 들여다보고 플레이하지는 않았지만, 컨퍼런스에서는 뱃지를 제작하는 과정 자체를 발표하기도 하고, 행사 당일에는 여러 참가자들이 로비에서 뱃지를 해킹하거나 플레이하는 모습을 볼 수 있었습니다. 이처럼 DEFCON만의 독특한 문화는 참가자들에게 많은 영감을 주고, 다양한 아이디어를 현실로 구현할 기회를 제공한다는 점에서, 정말 ‘DEFCON스러운 입장권’란 생각이 들었습니다.
빌리지와 기술 세션
DEFCON 32는 크게 컨퍼런스 홀(Conference Hall), 다양한 주제를 다루는 빌리지(Village), 그리고 DEFCON CTF가 메인 이벤트인 콘테스트(Contest) 구역으로 나뉘어져 있었습니다.
컨퍼런스 홀과 빌리지는 주로 세션이 열리는 장소였습니다. 컨퍼런스 홀에서는 DEFCON의 주요 세션들이 진행되었으며, 다양한 주제를 다루는 발표들이 4개의 트랙에서 동시에 이루어졌습니다.
반면, 빌리지는 상대적으로 작은 공간으로 나뉘어져 특정 주제를 중심으로 이벤트, 네트워킹, 발표가 행사 기간 내내 진행되었습니다. 빌리지에서는 클라우드, AI, 애플리케이션 보안(AppSec), 레드팀, 블루팀 등 익숙한 주제들을 다루는 공간뿐 아니라, 자물쇠 따기를 다루는 Lock Picking Village, 자동차 해킹을 다루는 Car Hacking Village, 생체 인증을 주제로 한 Biohacking Village 등 다양한 정보보안 분야를 아우르는 주제들을 만날 수 있었습니다. 최첨단 보안 기술과 해킹 기법을 논의하는 세계적인 컨퍼런스인 만큼, 다양한 주제와 심도 있는 논의들로 가득 찬 공간이었습니다.
DEFCON 32가 열리는 3일 동안 저희는 주로 메인 컨퍼런스 홀과 AI 빌리지, 그리고 AppSec 빌리지에서 세션을 수강했습니다. 저희가 수강한 세션들은 아래와 같습니다.
| 세션 이름 | 위치 |
|---|---|
| Where’s the Money: Defeating ATM Disk Encryption | Official Talk |
| No Symbols When Reversing? No Problem: Bring Your Own | Official Talk |
| BOLA Buster: Harnessing LLMs for Automating BOLA detection | AI Village |
| Hacking Corporate Banking for Fun and Profit | Appsec Village |
| SDLC Nightmares - Defeating Secure Code Review GPT Hallucinations | Appsec Village |
| Taming the Beast: Inside the Llama 3 Red Team Process | Official Talk |
| When Chatbots Go Rogue – Lessons Learned from Building and Defending LLM Applications | Appsec Village |
| Gotta Cache ‘em all: bending the rules of web cache exploitation | Official Talk |
| garak : A Framework for Large Language Model Red Teaming | AI Village |
| SQL Injection Isn’t Dead: Smuggling Queries at the Protocol Level | Official Talk |
| Evaluations and Guardrails against Prompt Injection attacks on LLM powered-applications | AI Village |
| A Reverse Engineer’s Guide to AI Interpretability | AIxCC |
| (|(MaLDAPtive:¯\(LDAP)/¯=ObFUsc8t10n) (De-Obfuscation &:=De*te)(!c=tion)) | Official Talk |
| Your CI/CD Pipeline Is Vulnerable, But It’s Not Your Fault | Appsec Village |
🔍 Harry’s Pick
DEFCON에서는 많은 세션들이 열렸지만, 제가 가장 관심 있게 들었던 세션들은 작년과 올해의 화두인 ‘LLM 서비스 보안’과 관련된 세션들이었습니다.
- BOLA Buster: Harnessing LLMs for Automating BOLA Detection (영상 링크🔗)
- • 이 세션에서는 AI를 이용한 BOLA(Broken Object Level Authorization) 취약점 자동 탐지 도구 개발 프로젝트에 대해 소개했습니다. 여기서 BOLA는 사용자가 권한이 없는 객체나 리소스에 접근할 수 있도록 하는 보안 취약점을 의미합니다. BOLA 취약점은 논리적인 특성 때문에 기존 도구로는 탐지가 어려웠으나, AI를 통해 이를 자동화할 수 있게 됐습니다. 저희 어플리케이션보안팀에서도 이 주제에 대한 활용 가능성을 고민해왔기 때문에, 이 방법론에 대한 세부적인 설명을 들을 수 있어 매우 유익했습니다.
- • 특히, 해당 세션에서는 AI를 이용하여 잠재적으로 취약한 엔드포인트 식별 및 엔드포인트 종속성 발견 등 API 자동화 점검 구현 시 고려할만한 방법론을 설명하고 있어 설계단계에서의 고려사항을 식별하는데 도움이 되었습니다.
- • BOLABuster는 실제 오픈 소스 프로젝트에서 많은 취약점을 발견했고, Grafana나 Harbor와 같은 유명 오픈소스에서도 BOLA 취약점을 발견함으로써 AI를 이용한 취약점 자동탐지 도구의 개발이 유의미하다는 것을 보여주어 많은 영감을 얻을 수 있었습니다.
- When Chatbots Go Rogue – Lessons Learned from Building and Defending LLM Applications (영상 링크🔗)
- • 이 세션은 LLM 서비스에 대한 위협을 분석한 내용이었습니다. 발표자는 LLM 서비스에 대한 위협을 개발 위협, 사용 위협, 런타임 위협의 세 가지 주요 유형으로 분류한 후, 위협 모델링을 수행한 내용을 설명했습니다. 또한, AI 서비스가 다양한 형태의 악의적인 공격에 어떻게 노출될 수 있는지를 상세히 설명하고, 이를 분석하고 방어하는 방법을 논의했습니다. 특히 데이터 유출(Data Disclosure)과 프롬프트 주입(Prompt Injection)에 대한 각 취약점 유형별 구체적인 예시와 상세한 설명을 통해, AI 모델이 어떻게 조작될 수 있는지, 그리고 그러한 공격을 어떻게 예방할 수 있는지에 대해 깊이 이해할 수 있었습니다.
- • 또한, 이 세션에서는 안전한 LLM 아키텍처에 대한 Best Practice를 보여주며 안전한 LLM 서비스를 구성하는 방법에 대한 제시를 함과 동시에 이러한 아키텍처의 한계 또한 설명하고 있어 시스템을 보호해야하는 방어자적 관점에서도 많은 도움이 되었습니다.
- • 이러한 구체적인 사례와 보안 대책은 AI 모델이 단순히 예기치 않은 작동을 피하는 것을 넘어, 실제 운영 환경에서 어떻게 악의적인 공격으로부터 안전하게 보호될 수 있는지를 실질적으로 이해하게 된 소중한 기회였습니다.
- Garak: A Framework for Large Language Model Red Teaming (Github 링크🔗)
- • 이 세션은 LLM 공격 기법과 전략을 소개하며, NVIDIA에서 만든 LLM 취약점 자동화 점검 도구인 Garak에 대해 다루었습니다. Garak(Generative AI Red-teaming & Assessment Kit)은 LLM 서비스의 취약점을 점검하기 위해 개발된 도구로, 다양한 데이터셋 기반의 프롬프트를 사용하여 점검하고, 점검 결과를 AI가 검증하도록 설계되었습니다. 이는 일반적인 웹 점검에 쓰이는 동적 스캐너의 LLM 서비스 버전이라고 할 수 있습니다.
- • 이 세션을 통해 빅테크 회사들이 LLM 서비스 보안 점검에도 많은 준비를 하고 있음을 알 수 있었습니다. 실제로 NVIDIA 외에도 Meta와 Azure 같은 회사들도 유사한 기능의 오픈소스 도구를 내놓고 있었습니다. 이를 통해 레드팀 관점에서 LLM 서비스를 어떻게 바라보고 준비하고 있는지 배울 수 있었습니다.
- • 전반적으로 LLM 서비스 보안에 대한 최신 동향과 빅테크 회사들의 보안 전략을 이해하는 데 큰 도움이 되었습니다.
🎯 DEFCON 컨퍼런스를 2배로 즐기기 위한 Tip 3가지
DEFCON 32 컨퍼런스에 참가하면서 몸소 체득한 몇 가지 유용한 팁을 소개하고자 합니다.
- HackerTracker 앱을 이용하여 세션 시간 및 동선 파악하기
- • DEFCON은 동시에 수십 개의 세션이 열리고, 장소도 다양하여 원하는 발표를 그때그때 찾아다니기 어려울 수 있습니다. 보안 컨퍼런스들의 일정과 지도를 제공하는 HackerTracker 앱을 사용하면 세션들의 시간과 위치를 쉽게 파악할 수 있어 원하는 세션에 참여하기가 더 수월해집니다.
- • 저는 이 앱의 북마크 기능을 이용하여 사전에 듣고 싶은 세션들을 등록한 뒤, 시간에 맞춰 찾아가는 형태로 사용했습니다.
- 빌리지 세션의 경우 10분 먼저 도착하기
- • 컨퍼런스 홀에서 열리는 메인 발표와 달리, 빌리지에서 열리는 발표들은 규모가 작아서 좌석이 부족해 발표를 못 듣는 경우가 많습니다. 발표 환경상 서서 듣는 것도 허용되지 않는 곳들이 있으므로, 관심 있는 세션에 참여하려면 사전에 도착하여 자리를 잡아두는 것이 좋습니다.
- 세션 내용 정리는 되도록 당일에 하기
- • DEFCON 컨퍼런스는 하루 동안 열리는 세션의 종류가 다양하고 내용도 방대하여, 컨퍼런스가 끝난 뒤 일괄적으로 세션의 내용을 정리하기에는 무리가 있습니다. 특히 빌리지 발표들의 경우 발표 자료나 영상이 공개되지 않는 경우가 많아 참고할 자료가 없을 수도 있으므로, 당일의 컨퍼런스는 당일에 바로 정리하는 것을 추천합니다.
- • 저는 사전 발표 자료가 media.defcon.org에 공유된 발표의 경우 해당 발표 자료를 참고하여 메모하였고, 그렇지 않은 발표들은 녹음과 함께 간략하게 노트북에 메모해 두었습니다. 긴 일정과 시차적응으로 피곤함도 있었지만, 되도록 호텔에 복귀한 뒤 이를 정리하여 기록하였습니다.
DEFCON 현장 이모저모 🎮
🚗 Car Hacking CTF
DEFCON 32의 눈길을 끄는 이벤트 중 하나는 Car Hacking CTF(Capture the Flag)입니다. 이 대회는 자동차 보안과 관련된 문제를 해결하는 것을 목표로 하며, 우승 팀에게는 무려 테슬라가 부상으로 주어집니다. 놀랍게도, 이 대회에서는 3년 연속 같은 팀이 우승을 차지하고 있습니다. 그만큼 치열한 경쟁과 뛰어난 실력을 자랑하는 팀들이 모이는 자리입니다. 국내 자동차 업계 보안팀들도 경쟁적으로 해당 CTF에 참여하여 문제를 푸는 모습을 볼 수 있었습니다.
🖥️ 컴퓨터 체험 부스
DEFCON 32에서는 최신 기술뿐만 아니라 과거의 컴퓨터와 네트워크 장치를 다루는 체험 부스도 마련되어 있었습니다. 이 부스에서는 20세기 컴퓨터를 직접 사용해볼 수 있었으며, 초기 네트워크 장비와의 인터페이스를 경험할 수 있었습니다. 이러한 체험 부스는 디지털 역사를 체험할 수 있는 좋은 기회로, 옛날 기술이 현 시대의 기술 발전에 어떻게 기여했는지를 생각하게 해주었습니다. 과거의 기술을 직접 체험함으로써 현재와 미래의 기술을 더욱 깊이 이해할 수 있는 유익한 시간이었습니다.
🔐 Lock Picking 빌리지
DEFCON 32에서는 다른 컨퍼런스에서는 보기 힘든 독특한 이벤트들이 많이 열렸습니다. 그중에서도 특히 눈에 띄었던 것은 Lock Picking 빌리지였습니다. 이 빌리지는 자물쇠 따기를 주제로 다루며, 참가자들이 실제 Lock Picking을 체험해볼 수 있는 공간과 함께 실제로 사용 가능한 도구들을 판매하고 있었습니다. 다양한 빌리지들 중에서도 Lock Picking 빌리지는 특히 많은 사람들로 붐벼, 참가자들의 높은 관심을 실감할 수 있었습니다.
🏆 미니 CTF
DEFCON 32 현장에서 자주 목격되는 또 다른 흥미로운 이벤트는 크고 작은 CTF 대회들이었습니다. 이 대회에서는 개성 넘치는 참가자들이 여유롭게 맥주를 마시면서도 치열하게 경쟁하는 모습을 볼 수 있었습니다. 경쟁 속에서도 자유롭고 즐거운 분위기를 유지하며, 다양한 문제를 해결하려는 참가자들의 열정이 느껴졌습니다. DEFCON의 자유롭고 열린 문화 속에서 참가자들이 어떻게 교류하는지 확인할 수 있었습니다.
DEFCON CTF 본선 참여
DEFCON CTF(Capture the Flag)는 DEFCON 행사에서 진행되는 가장 권위 있는 해킹 대회 중 하나입니다. 2024년 기준으로, 5월에 진행된 예선전에서 상위 8팀이 선발되었으며, 이와 더불어 시드권을 얻은 4팀이 더해져 총 12팀이 컨퍼런스 진행 기간 동안 오프라인으로 공방전 형식의 대회에 참가했습니다. 이 대회는 각 팀이 모여 제한된 시간 동안 다양한 보안 취약점을 찾아내고 이를 이용해 공격과 방어를 펼치는 방식으로 진행됩니다. 참가자들이 높은 수준의 해킹 기술과 보안 지식을 겸비한 만큼 매우 치열하고 흥미진진한 대회로 평가받습니다.
DEFCON 32에서는 총 3일 간 대회가 진행되었습니다.
| 일정 | 대회 시간 |
|---|---|
| Day 1 | 오전 10시 ~ 오후 6시 |
| Day 2 | 오전 10시 ~ 오후 6시 |
| Day 3 | 오전 10시 ~ 오후 2시 |
대부분의 경우, 1일차와 2일차가 종료되기 전에 각각 새로운 A/D(공격/방어) 문제가 오픈되기 때문에 참가자들은 공격 코드(Exploit) 작성과 패치 작성을 위해 잠을 거의 못 자는 경우가 자주 생깁니다. 이 대회는 극도의 집중력과 끈기, 그리고 팀워크가 요구되는 만큼, 참가자들에게는 정신적 및 육체적으로도 큰 도전이 되는 행사입니다.
🔍 공방전 형식의 해킹 방어 대회란? 🤔
공방전 형식의 해킹 방어 대회는 모든 참가 팀이 동일한 서비스 운영 환경에서 서비스의 취약점을 찾아 다른 팀을 공격하여 점수를 얻거나, 자신의 서비스를 패치하여 방어 점수를 획득해야 합니다. DEFCON CTF에서는, 공방전 형식 외에도 KoTH(King of the Hill)나 LiveCTF와 같은 분야를 통해 점수를 얻을 수 있습니다. 참가자들은 종합적인 해킹 기술과 방어 전략을 발휘하여 실시간으로 벌어지는 치열한 공방전을 통해 최종 승자가 결정됩니다.
📊 대회 규칙
해킹 방어 대회가 생소하신 분들을 위해 몇 가지 키워드로 제가 참여했던 DEFCON 32의 CTF 대회 규칙을 설명드리겠습니다.
1. 대회 환경
DEFCON 32 세션들은 오전 10시에 시작되므로, 그보다 일찍 강연장에 출입하는 것은 행사장 스태프에 의해 통제됩니다. 그러나 CTF 대회 참가자들은 팀 뱃지를 보여주면 오전 9시부터 입장하여 미리 대회 준비를 할 수 있습니다. 대회 본선장은 팀들과 운영진이 각각 자리를 잡고 빙 둘러 앉아 있는 형태로 구성되어 있습니다. 이러한 구성은 대회의 원활한 진행과 보안을 위한 것입니다.
2. 득점 룰
득점 룰을 간략하게 설명드리자면, 다음과 같습니다.
- ✔️ 각 라운드에서 공격에 성공할 경우
- ✔️ 방어에 성공할 경우
- ✔️ KoTH(King of the Hill)에서 상위 등수를 차지할 경우
- ✔️ LiveCTF의 최종 순위
각 팀은 이러한 다양한 분야에서 점수를 모아 최종 승리팀을 선정합니다.
3. A/D 챌린지(공방전)
A/D(Attack/Defense) 챌린지는 대회의 메인 분야로, 참가 팀들은 서비스의 취약점을 찾아 공격을 통해 점수를 얻고, 취약점을 패치하여 방어 점수를 획득합니다. 각 서비스별로 취약점의 수는 공개되지 않으며, 공격 코드를 난독화하거나, 패치에 백도어를 숨기는 등 팀 마다 다양한 전략을 가지고 참여합니다.
4. KoTH
KoTH(King of the Hill)은 ‘언덕의 꼭대기를 누가 차지하는 지를 겨룬다’는 의미에서 붙여진 이름입니다. KoTH는 5분 마다 각 라운드 점수가 초기화 되며, 주어진 문제를 다른 팀보다 더 효율적으로 해결하여 상위 5위 안에 들면 점수를 획득하는 분야입니다. 문제는 코딩, 리버싱, 암호학 등 다양한 조건을 포함하며, 참가자들은 창의성과 문제 해결 능력을 발휘하여 경쟁합니다.
5. LiveCTF
LiveCTF는 각 팀이 토너먼트 방식으로 대결하는 분야로, 각 팀에서 대표 1명이 나와 오프라인에서 1:1로 진행됩니다. 주어진 문제를 제한 시간 내에 상대 팀보다 먼저 해결하면 승리합니다. 이 분야는 대결과정이 유튜브 라이브로 생중계가 되어, 참가자가 아니더라도 구경할 수 있습니다.
본선에서는 총 7개의 공방전 문제와 2개의 KoTH 문제가 출제되었습니다. DEFCON은 매년 예선 문제와 본선 문제를 대회 종료 후 공개하고 있으며, 2024년 CTF 본선 문제에 대한 정보는 이곳에서 확인할 수 있습니다. CTF는 토너먼트 대결은 참가자들에게 고도의 집중력과 뛰어난 문제 해결 능력을 요구하는 동시에 3일 간 이어진 체력전의 마지막 대미로, 우승하는 팀에게 큰 명예가 주어집니다.
🇰🇷 한국인 참가자들의 활약
언론에 공개된 정보로는 한국인이 포함된 다국적 연합팀 2팀, 한국인들로만 구성된 팀 2팀이 있었지만, 이 외에도 실력이 출중한 한국인들이 몇몇 팀들에 소속되어 출전했습니다. 한국인 해커들은 국제 무대에서도 뛰어난 실력을 인정받고 있어, 매년 이 대회에서 두각을 나타내고 있습니다.
Wrap up
🎤 DEFCON 세션을 열심히 수강한 Harry Says
DEFCON 32 컨퍼런스는 해킹과 보안 분야에서 매우 영향력 있는 행사로, 저에게도 큰 영감을 주는 시간이었습니다. DEFCON은 가장 최신의 보안 트렌드를 해커의 관점에서 확인할 수 있는 곳으로 빅테크나 유명 보안회사들이 트렌드에 대해 어떻게 대응하고 있는지를 확인하고, 회사 업무에 반영할만한 아이디어를 얻을 수 있었습니다. 또한, 이번 DEFCON에서 들은 AI관련 세션들의 경우 AI 서비스들에 대해 저희팀에서 생각하고 준비하던 방향성이 컨퍼런스에 참여한 회사들의 방향과 크게 다르지 않다는 것을 확인할 수 있어서 의미가 있었다고 생각합니다.
보안 분야는 그 특성상 폐쇄적일 수밖에 없다고 생각합니다. 그중에서도 해킹과 관련된 부분은 방어가 아닌 ‘공격’에 초점이 맞춰져 있어 정보 공유가 조심스럽고, 관련 트렌드를 파악하거나 정보를 습득할 수 있는 경로가 한정적입니다. 그런 의미에서 DEFCON과 같은 대규모 보안 컨퍼런스는 보안 기술 업계에서 최신 정보와 기술 소식, 사례 들을 접할 수 있는 소중한 기회라고 생각합니다. 개인적으로 이번 컨퍼런스 참여를 통해 레드팀 업무와 관련한 다양한 영감을 얻을 수 있었고, 전 세계의 보안 트렌드가 어떻게 흘러가는지도 파악해 볼 수 있어서 매우 유익했습니다.
🎤 DEFCON CTF 본선 참여 후기 Woogie Says
CTF 본선은 회사일을 하면서 준비할 수 있는 부분이 적기 때문에, 개인적인 시간을 많이 할애해야 했습니다. 그래도 본선을 준비하는 과정에서 많은 재미와 보람을 느꼈고, 나름의 결과도 좋았다고 생각합니다. 요즘은 버그헌팅이나 연구 등의 다른 개인적인 일들에 흥미가 생겨서 장담할 순 없지만, 개인적인 시간 여유가 생긴다면 CTF 대회는 계속해서 참가해볼 것 같습니다.
또한 저는 대회에 참가하느라 DEFCON 32 세션을 수강하진 못했지만, 컨퍼런스를 통해 정보 보안 업계의 최신 트렌드와 기술 동향에 대해 파악할 수 있어 유용했습니다. 특히, 업무에 적용을 할 수 있는 부분은 직접 사내에 적용해 본다면, 더욱 전략적인 보안 대응 방안을 설계하고 보안 수준을 향상시키는데 도움이 된다고 생각합니다. 이번 컨퍼런스를 통해 배운 내용들을 참고하여, AI를 활용한 공격 등 사이버 위협에 선제적 대응책을 마련함으로써 카카오뱅크의 대고객 앱과 사내 환경의 보안 수준을 한층 더 강화할 계획입니다.
앞으로도 저희 레드팀은 보안 업계의 최신 동향을 지속적으로 모니터링하고, 다양한 위협으로부터 카카오뱅크를 보호하는데 화이트 햇으로서 최선을 다하겠습니다. 감사합니다.
