레드팀·퍼플팀·블루팀 역할 비교 분석

Security · 보안 검증·운영 · 레드팀·블루팀 개념 [정보성]

보안 조직을 소개할 때 “레드팀 대 블루팀”이라는 대립 구도만 쓰면, 퍼플팀이 왜 필요한지나 모의침투테스트(펜테스트)와 레드팀 훈련이 실무에서 어떻게 갈리는지가 설명되지 않습니다. 아래 정리는 NIST 공식 문서와 업계 자료를 모은 것이며, 저희가 직접 레드팀 훈련이나 펜테스트를 수행한 결과가 아닙니다.

레드팀 — 실제 공격 능력이 통하는지 검증

미국 국가안보시스템위원회 지침(CNSSI 4009-2022, NIST 용어집에 등재)은 레드팀을 “잠재적 위협 행위자의 공격·익스플로잇 능력을 모사하도록 승인받고 조직된 인원 집단”으로 정의합니다. 목적은 공격이 성공했을 때의 영향을 실제로 입증하고, 블루팀에게 실제 운영 환경에서 무엇이 효과가 있었는지를 보여주는 것입니다.

“레드팀 훈련(Red Team Exercise)“은 NIST SP 800-53 Rev.5가 별도로 정의합니다. 실제 조건을 반영해, 조직의 임무나 업무 프로세스를 침해하려는 시뮬레이션된 적대적 시도로 진행하며, 정보시스템과 조직의 보안 역량을 종합적으로 평가하는 훈련입니다.

정리하면 레드팀이 검증하는 대상은 “공격 킬체인이 실제로 끝까지 성립하는가”입니다. 취약점 개수를 세는 것이 아니라, 그 취약점들을 엮어 실제로 목표(예: 특정 시스템 장악, 데이터 접근)에 도달할 수 있는지를 확인합니다.

블루팀 — 방어 태세, 그리고 (공식 정의상) 독립적 평가까지

CNSSI 4009-2022는 블루팀을 우선 “모의 공격자 집단(즉 레드팀)에 맞서 정보시스템 사용의 보안 태세를 유지함으로써 조직을 방어하는 책임을 진 집단”으로 정의합니다.

여기서 짚어둘 점이 있습니다. 같은 문서는 블루팀에 두 번째 정의를 함께 병기합니다 — 운영 네트워크의 취약점을 평가하고, 독립적인 기술 검토를 원하는 고객에게 완화 기법을 제안하는 개인 집단이라는 정의입니다. 즉 공식 용어집상 블루팀은 상시 방어(SOC·침해대응)뿐 아니라 독립적 취약점 평가·컨설팅 역할까지 포괄합니다.

⚠️미확인: 이 두 번째 정의는 저희가 참고한 2차 출처(Picus, TechTarget, Rapid7)에서는 언급되지 않았습니다. 업계에서 통용되는 “블루팀 = 상시 방어팀” 이미지와, CNSSI 4009-2022의 공식 정의 사이에는 이런 결이 있다는 점을 그대로 남겨둡니다.

NIST 용어집의 “레드팀/블루팀 접근법(Red Team/Blue Team Approach)” 항목(출처: NISTIR 7622)은 레드팀 정의와 블루팀 정의를 나란히 이어붙이면서, 블루팀이 “종종 단독으로, 또는 레드팀 투입에 앞서(prior to) 운용된다”는 순서 관련 문장을 포함하고 있습니다. 다만 그중 “자체 전문성을 바탕으로 개선 권고안을 제공한다”는 내용은 레드팀 활동에 대한 사후 대응이 아니라, 블루팀이 독자적으로 수행하는 네트워크 취약점 평가(위 두 번째 정의)에서 나오는 권고입니다. 즉 “레드팀이 먼저 공격을 입증하면 블루팀이 그 결과를 바탕으로 권고한다”는 인과관계식 순차 서술은 이 정의문이 실제로 진술하는 바가 아닙니다.

정리하면 블루팀이 검증하는 대상은 “그 공격을 실제로 탐지·대응할 수 있는가”입니다.

퍼플팀 — 별도 팀이 아니라 검증 사이클에 가깝다

⚠️미확인: 저희가 확인한 범위에서, NIST 공식 용어집에는 “퍼플팀(Purple Team)” 항목 자체가 등재되어 있지 않았습니다. 즉 레드팀·블루팀과 달리 퍼플팀의 1차(정부기관) 정의는 확인하지 못했습니다.

업계 2차 출처들은 대체로 퍼플팀을 상설 조직이 아니라 협업 기능으로 설명합니다. Rapid7은 퍼플팀을 “레드팀과 블루팀 기능을 결합함과 동시에, 두 팀 사이의 소통과 훈련을 촉진하는 사이버보안 전문가 집단”으로 소개합니다. MITRE ATT&CK 공식 문서 역시 ATT&CK을 레드팀과 블루팀이 협력해 방어를 개선하도록 돕는 공통 언어로 설명하면서 퍼플팀을 이 협업의 틀로 언급하는데, 다만 이 문서 자체가 레드팀·애드버서리 에뮬레이션·퍼플팀의 경계를 엄밀히 나누어 정의하지는 않습니다.

Picus Security는 세 역할을 검증 대상 기준으로 대비합니다 — 레드팀은 실제 공격자가 킬체인 전체를 어디까지, 어떻게 실행할 수 있는지를 검증(방어 갭과 실제 위협 대응력 측정)하고, 블루팀은 탐지·대응 능력을 지표(예: 평균 탐지 시간, 평균 대응 시간)로 검증하며, 퍼플팀은 “공격 → 관찰 → 수정 → 재검증”의 순환 구조로 그 개선 조치가 실효성이 있는지를 다시 검증합니다.

⚠️미확인: SANS Institute의 관련 글(제목 “Continuous Purple Teaming: A Practical Approach to Strengthening Offensive Capabilities”)은 퍼플팀 훈련의 일반적 목표를 정의하는 내용이 아니라, CALDERA를 활용해 지속적인 어드버서리 에뮬레이션(퍼플팀 훈련)을 구현하는 방법 — 툴 선택 기준과 구현 절차 — 을 다루는 글입니다. “통제·탐지·대응 절차·인력을 검증하는 것이 목표”라는 문구는 이 글 본문에서 확인되지 않아 이 글에서는 서술하지 않습니다.

정리하면 퍼플팀이 검증하는 대상은 “레드팀이 찾은 문제에 블루팀이 취한 조치가 실제로 그 문제를 막는가”입니다. 레드팀·블루팀이 각자의 결과물을 검증한다면, 퍼플팀은 그 사이의 피드백 루프 자체를 검증하는 역할에 가깝습니다.

모의침투테스트와 레드팀 훈련의 검증 범위 차이

⚠️미확인: 모의침투테스트와 레드팀 훈련의 구체적인 범위·기간 차이에 대해, 정부 표준 수준의 공식 정의는 저희가 확인한 범위에서 존재하지 않았습니다. 저희가 참고자료로 검토한 SoftwareSecured의 NIST SP 800-115 해설 기사는 이 침투테스트 방법론의 5단계 절차와 수동 테스트의 중요성, 컴플라이언스 연계를 다룰 뿐, 펜테스트와 레드팀 훈련의 범위·기간을 비교하는 내용은 담고 있지 않았습니다. 이 부분의 구체적인 수치·범위 비교는 신뢰할 수 있는 출처로 확인하지 못해 이 글에서는 다루지 않습니다.

TechTarget은 이 차이를 단순하게 대비합니다 — 레드팀은 블루팀의 방어를 뚫으려고 공격을 시도하는 쪽이고, 블루팀은 조직 시스템을 정기적으로 분석해 적절히 보호하고 취약점을 찾아 완화하는 책임을 지는 쪽입니다.

이 구분이 벤더마다 조금씩 다르게 서술된다는 점은 그 자체로 중요한 사실입니다 — “레드팀과 펜테스트의 경계”는 표준화된 규격이 아니라 업계 관행에 가깝다는 뜻이기 때문입니다.

짧은 논평

세 역할을 “누가 더 세냐”로 줄 세우면 요점을 놓칩니다. 레드팀은 공격의 성립 여부를, 블루팀은 방어의 작동 여부를, 퍼플팀은 그 둘 사이의 피드백이 실제로 도는지를 검증합니다. 흥미로운 점은 공식 정의(CNSSI 4009-2022)조차 블루팀에 “상시 방어”와 “독립적 평가”라는 두 얼굴을 병기해 뒀다는 것과, 정작 가장 널리 쓰이는 단어인 “퍼플팀”은 정부 표준 문서에 정식으로 등재된 정의를 찾지 못했다는 것입니다. 용어가 업계에서 먼저 굳어지고 표준이 뒤따라가는(또는 아직 못 따라간) 흔한 패턴으로 읽힙니다.

References / 참고자료

1. NIST CSRC Glossary, “red team” (출처: CNSSI 4009-2022) — 레드팀 정의와 목적. https://csrc.nist.gov/glossary/term/red_team
2. NIST CSRC Glossary, “blue team” (출처: CNSSI 4009-2022) — 블루팀의 두 가지 병기 정의(상시 방어·독립 평가). https://csrc.nist.gov/glossary/term/blue_team
3. NIST CSRC Glossary, “Red Team/Blue Team Approach” (출처: NISTIR 7622) — 레드팀 정의와 블루팀 정의를 나란히 병기하며, 블루팀이 단독 또는 레드팀 투입에 앞서(prior to) 운용된다는 순서 문장을 포함. https://csrc.nist.gov/glossary/term/red_team_blue_team_approach
4. NIST CSRC Glossary, “red team exercise” (출처: NIST SP 800-53 Rev. 5) — 레드팀 훈련의 정식 정의. https://csrc.nist.gov/glossary/term/red_team_exercise
5. MITRE ATT&CK, “Get Started – Adversary Emulation and Red Teaming” — ATT&CK을 매개로 한 레드팀·블루팀 협업, 퍼플팀 언급. https://attack.mitre.org/resources/get-started/adversary-emulation-and-red-teaming/
6. Picus Security, “Red Team vs Blue Team vs Purple Team: Roles, Differences, and How They Work Together” — 세 역할의 검증 대상·지표 비교(킬체인/MTTD·MTTR/공격-관찰-수정-재검증 사이클). https://www.picussecurity.com/resource/blog/red-team-vs-blue-team-vs-purple-team
7. TechTarget, “Red vs. blue vs. purple team: What are the differences?” — 레드팀·블루팀 역할 대비 서술. https://www.techtarget.com/searchsecurity/tip/Red-team-vs-blue-team-vs-purple-team-Whats-the-difference
8. Rapid7, “What is a Purple Team in Cybersecurity? Roles & Benefits” — 퍼플팀을 협업 촉진 기능으로 정의. https://www.rapid7.com/fundamentals/what-is-a-purple-team/
9. SANS Institute, “Continuous Purple Teaming: A Practical Approach to Strengthening Offensive Capabilities” — CALDERA 기반 지속적 어드버서리 에뮬레이션(퍼플팀 훈련) 구현 방법(툴 선택 기준·구현 절차)을 다룬 글. https://www.sans.org/blog/continuous-purple-teaming-practical-approach-strengthening-offensive-capabilities
10. SoftwareSecured, “NIST SP 800-115 and Penetration Testing” — NIST SP 800-115의 5단계 방법론, 수동 침투테스트의 중요성, 컴플라이언스 연계를 다룬 해설 기사(펜테스트·레드팀 훈련의 범위·기간 비교 내용은 포함되어 있지 않음). https://www.softwaresecured.com/post/nist-sp-800-115-and-penetration-testing

이 글은 위 원 분석과 표준 문서를 저희 관점에서 다시 쓰고 정리한 것입니다. 특정 문장·코드를 그대로 옮기지 않았으며, 자세한 정의는 원문을 참고하세요.