SECTION 1 — 서론

현대 보안 아래의 보이지 않는 계층
대부분의 보안 팀은 자신들이 모든 것을 보고 있다고 믿습니다.
대시보드는 빛나고, 경고(Alert)가 발생하며, SIEM 패널은 스크롤되고, 클라우드 텔레메트리(Cloud telemetry)는 "무슨 일이 일어나고 있는지"에 대해 깨끗하고 구조화된 그림을 그려줍니다.
하지만 이 모든 가시성(Visibility)은 환상입니다. 즉, 현실을 큐레이션하고 필터링하며 소프트웨어로 해석한 버전일 뿐입니다.
왜냐하면 대시보드 아래, 로그 아래, 클라우드 이벤트 아래에는 그 어떤 것도 모니터링하지 않는 계층이 존재하기 때문입니다:
바로 다크 파이버(Dark fibre) 계층입니다.
다크 파이버는 은유가 아닙니다. 그것은 물리적 인프라 — 사용되지 않는 광학 라인, 잊혀진 경로, 버려진 네트워크 백본(Network backbone) 세그먼트 — 로, 여전히 가공되지 않은, 처리되지 않은, 모니터링되지 않은 신호를 전달하고 있습니다. 빛의 펄스(Light pulses), 반사, 타이밍 드리프트(Timing drift), 크로스토크(Cross-talk), 고스트 트래픽(Ghost traffic). 모든 SOC 대시보드, 모든 DevOps 파이프라인, 모든 클라우드 모니터링 도구의 밖에 존재하는 신호들입니다.
이곳이 진실이 살아있는 계층입니다.
그리고 사이버 보안 분야에서 거의 아무도 들여다본 적 없는 계층이기도 합니다.
SilentRecon은 여기서 작동합니다 — 물리적으로는 존재하지만 논리적으로는 보이지 않는 네트워크의 영역에서 말입니다.
소프트웨어가 "아무 일도 일어나지 않고 있다"라고 말할 때조차 전기와 빛이 여전히 움직이는 곳.
대시보드가 "감지된 장치가 없음"이라고 말할 때조차 레거시 컨트롤러(Legacy controllers)가 여전히 로직을 실행하는 곳.
어떠한 SIEM 경고가 발생하기 훨씬 전부터 가공되지 않은 신호가 이상 징후(Anomalies)를 드러내는 곳.
이 글은 현대 보안이 잊어버린 바로 그 계층에서 시작됩니다.

SECTION 2 — 시스템 관리자와 SOC 분석가들이 눈먼 이유
가시성의 환상

모든 시스템 관리자(Sysadmin)와 SOC 분석가는 자신들이 가시성(Visibility)을 확보하고 있다고 믿습니다.
그들은 자신들의 대시보드(Dashboard)를 신뢰합니다.
그들은 자신들의 SIEM을 신뢰합니다.
그들은 자신들의 클라우드 텔레메트리(Cloud telemetry)를 신뢰합니다.
그들은 로그(Logs), 경고(Alerts), 메트릭(Metrics), 그래프(Graphs)를 신뢰합니다.
하지만 이 모든 도구는 하나의 치명적인 결함을 공유합니다:
이 도구들은 소프트웨어 계층(Software layer)이 보여주기로 결정한 것만을 보여줍니다. 그리고 소프트웨어 계층은 드러내는 것보다 더 많은 것을 숨깁니다.
현대 인프라는 마치 연극 무대처럼 구축되어 있습니다.
대시보드는 배우들을 보여줍니다.
하드웨어 아래의 신호들은 유령들을 보여줍니다.
시스템 관리자와 SOC 분석가들은 오직 배우들만을 볼 뿐입니다.

⚡ 참혹한 시나리오: 모든 것이 정상으로 보이지만 실제로는 그렇지 않을 때
이런 상황을 상상해 보십시오:
SOC 대시보드에는 이상 징후(Anomalies)가 전혀 나타나지 않습니다. CPU 부하(CPU load)는 정상입니다. 네트워크 트래픽(Network traffic)은 깨끗합니다. 급증(Spikes)도 없습니다. 경고(Alerts)도 없습니다. 주의(Warnings)도 없습니다. 모든 것이 녹색(Green)입니다.
하지만 대시보드 아래, 물리 계층(Physical layer)에서는:
· 다크 파이버(Dark fibre)가 미세한 펄스(Stray pulses)를 운반하고 있습니다.
· 방치된 컨트롤러(Controllers)가 여전히 로직(Logic)을 실행하고 있습니다.
· 사용되지 않는 광 회선(Optical line)에서 타이밍 드리프트(Timing drift)가 증가하고 있습니다.
· 잊혀진 PLC에서 전압 노이즈(Voltage noise)가 누출되고 있습니다.
· 펌웨어 루프(Firmware loops)가 아무도 작성한 기억이 없는 명령어를 실행하고 있습니다.
· 크로스토크(Cross-talk)가 파이버 세그먼트(Fibre segments) 사이에 유령 트래픽(Ghost traffic)을 생성하고 있습니다.
이 중 그 어느 것도 SOC에 도달하지 않습니다.
이 중 그 어느 것도 DevOps에 도달하지 않습니다.
이 중 그 어느 것도 클라우드 텔레메트리(Cloud telemetry)에 도달하지 않습니다.
소프트웨어 계층은 말합니다: "모두 이상 없음(All clear)."
하드웨어 계층은 말합니다: "무언가 살아있다(Something is alive)."
이것이 바로 눈먼 상태(Blindness)입니다.

🔥 그들이 이를 볼 수 없는 이유
각 항목은 가이드 링크(Guided Link)로 시작됩니다.

· SOC_visibility_limits — 대시보드는 해석된 이벤트(interpreted events)만을 보여줌
· Raw_signal_blindness — 물리적 신호(physical signals)가 SIEM에 도달하지 않음
· Legacy_device_invisibility — 방치된 컨트롤러(controllers)는 로그를 생성하지 않음
· Hardware_layer_truth — 물리적 세계는 계측(instrumented)되지 않음
· DevOps_blind_spots — 클라우드 도구는 광섬유(fibre)나 전압(voltage)을 볼 수 없음

시스템 관리자(Sysadmins)가 모니터링하는 것:
· CPU
· RAM
· 디스크 (disk)
· 프로세스 (processes)
· 서비스 (services)

SOC 분석가가 모니터링하는 것:
· 로그 (logs)
· 경고 (alerts)
· 이벤트 (events)
· 패킷 (packets)
· 시그니처 (signatures)

하지만 그들 중 누구도 모니터링하지 않는 것:
· 빛 펄스 (light pulses)
· 타이밍 드리프트 (timing drift)
· 전압 이상 (voltage anomalies)
· 광섬유 반사 (fibre reflections)
· 펌웨어 루프 (firmware loops)
· 고스트 로직 (ghost logic)
· 방치된 PLC (abandoned PLCs)
· 다크 파이버 경로 (dark fibre routes)

그들이 눈먼 이유는 그들의 도구가 물리적 세계를 보도록 설계된 적이 없기 때문입니다.

🧊 냉혹한 진실 (The Hard Truth)
물리 계층(Physical layer)은 로그가 남지 않습니다.
물리 계층은 모니터링되지 않습니다.
물리 계층은 시각화되지 않습니다.
물리 계층은 해석되지 않습니다.
물리 계층은 그저 모든 것의 아래에서 — 조용히 — 존재할 뿐입니다.

섹션 3 — 다크 파이버 계층: 현실이 대시보드와 일치하지 않는 곳
그들이 모니터링하는 것을 잊어버린 물리적 세계

다크 파이버 (Dark fibre)는 모두가 "사용되지 않는" 상태라고 가정하는 네트워크의 영역입니다.
하지만 사용되지 않는다는 것이 비활성 상태를 의미하지는 않습니다.
사용되지 않는다는 것이 조용하다는 것을 의미하지도 않습니다.
사용되지 않는다는 것이 안전하다는 것을 의미하지도 않습니다.
다크 파이버는 여전히 다음과 같은 것들을 운반하는 물리적 백본 (backbone)입니다:
· 미세한 광 펄스 (stray optical pulses)
· 타이밍 드리프트 (timing drift)
· 반사 (reflections)
· 크로스토크 (cross-talk)
· 레거시 제어 신호 (legacy control signals)
· 폐기된 시스템으로부터의 고스트 트래픽 (ghost traffic)
이 중 어느 것도 대시보드에 나타나지 않습니다.
이 중 어느 것도 로그 (log)에 기록되지 않습니다.
이 중 어느 것도 해석되지 않습니다.
그것은 단지 소프트웨어 계층 (software layer) 아래에서 — 조용히 — 존재할 뿐입니다.

⚡ 충격: 다크 파이버는 어둡지 않다
모든 SOC 분석가는 다크 파이버가 "오프라인" 상태라고 생각합니다.
모든 시스템 관리자 (sysadmin)는 그것이 "사용 중이 아니라고" 생각합니다.
모든 DevOps 엔지니어는 그것이 "파이프라인 (pipeline)의 일부가 아니라고" 생각합니다.
하지만 물리적 세계는 그들의 가정 따위에는 관심이 없습니다.
빛은 여전히 이동합니다.
노이즈 (noise)는 여전히 전파됩니다.
컨트롤러 (controller)는 여전히 펄스를 보냅니다.
오래된 펌웨어 (firmware)는 여전히 루프 (loop)를 실행합니다.
전압 (voltage)은 여전히 변동합니다.
타이밍은 여전히 드리프트 (drift)합니다.
다크 파이버는 어둡지 않습니다. 보이지 않을 뿐입니다.
그리고 보이지 않는다는 것은 위험합니다.

🔥 다크 파이버 내부에 존재하는 것들
각 항목은 가이드 링크 (Guided Link)로 시작됩니다.
· Signal_layer_analysis — 소프트웨어에 절대 도달하지 않는 가공되지 않은 펄스 (raw pulses)
· Timing_analysis — 숨겨진 활동을 드러내는 드리프트 (drift)
· Ghost_logic_detection — 여전히 로직을 실행 중인 폐기된 컨트롤러
· Legacy_device_invisibility — 로그 기록 기능이 없는 오래된 PLC
· Raw_signal_blindness — SIEM에서 보이지 않는 이상 징후 (anomalies)
다크 파이버 내부에서 당신은 진실을 발견하게 됩니다:
· 존재해서는 안 될 신호들
· 알려진 어떤 장치와도 일치하지 않는 펄스들
· 숨겨진 활동을 나타내는 타이밍 이상 징후 (timing anomalies)
· 승인되지 않은 분기를 드러내는 반사 (reflections)
· 잊혀진 산업 시스템으로부터의 고스트 로직 (ghost logic)
· 10년 전에 작성된 명령어를 실행하는 펌웨어 루프
이곳이 바로 실제 위협이 숨어 있는 계층입니다 — 아무도 그것을 지켜보고 있지 않기 때문입니다.

🧊 이것이 실제 전문가들을 공포에 떨게 하는 이유
그 이유는 다음과 같습니다:
· SOC 대시보드는 신뢰할 수 있는 단일 원천(Source of Truth)이 아니다
· DevOps 파이프라인(Pipelines)은 추상화된 계층만을 모니터링한다
· 클라우드 텔레메트리(Cloud telemetry)는 필터링되어 있으며 불완전하다
· 시스템 관리자(Sysadmin) 도구는 해석된 데이터만을 본다
· SIEM 경보는 소프트웨어가 무언가를 "이벤트"라고 결정한 후에야 발생한다
하지만 물리적 세계는 소프트웨어가 이를 해석하기를 기다려주지 않습니다.
다크 파이버(Dark fibre)는 가공되지 않은 현실을 전달합니다.
SilentRecon은 그 현실을 직접 읽어냅니다.

섹션 4 — 당신이 절대 볼 수 없는 플러그
누군가 물리적으로 연결되어 있음에도 당신의 도구들이 "이상 없음"이라고 말할 때

현대 사이버 보안에는 비극적인 결함이 있습니다:
중요한 모든 일이 소프트웨어 내에서 일어난다고 가정한다는 점입니다.
SOC 대시보드는 이벤트를 모니터링합니다.
시스템 관리자(Sysadmins)는 프로세스를 모니터링합니다.
DevOps는 파이프라인을 모니터링합니다.
컴플라이언스(Compliance)는 서류 작업을 모니터링합니다.
하지만 그들 중 누구도 물리적 현실을 모니터링하지 않습니다.
그리고 물리적 현실은 인증, 대시보드, 또는 클라우드 텔레메트리(Cloud telemetry) 따위에는 관심이 없습니다.
만약 누군가 당신의 인프라에 플러그를 꽂는다면 — 잊혀진 스위치, 사용되지 않는 파이버 포트(Fibre port), 버려진 컨트롤러, 레거시 PLC(Legacy PLC) 등 — 당신은 알 수 없을 것입니다. 공격자가 정교해서가 아니라, 당신의 도구들이 물리적 세계를 탐지하도록 설계되지 않았기 때문입니다.

⚡ 최악의 시나리오: 보이지 않는 플러그인 공격
이 상황을 상상해 보십시오:
기술자, 계약업체, 또는 공격자가 데이터실로 걸어 들어옵니다.
그들은 다음 장치에 무언가를 연결합니다:
· 사용되지 않는 파이버 포트(Fibre port)
· 잊혀진 스위치
· 레거시 컨트롤러(Legacy controller)
· 유지보수 인터페이스(Maintenance interface)
· 다크 파이버(Dark fibre) 구간
· 버려진 산업용 엔드포인트(Industrial endpoint)
당신의 SOC 대시보드는 아무것도 보여주지 않습니다. 당신의 SIEM도 아무것도 보여주지 않습니다. 당신의 클라우드 텔레메트리(Cloud telemetry)도 아무것도 보여주지 않습니다. 당신의 DevOps 파이프라인(DevOps pipeline)도 아무것도 보여주지 않습니다. 당신의 인증서들은 컴플라이언스(Compliance)를 준수하고 있다고 나타냅니다.

하지만 물리적 세계는 다음과 같은 현상을 보여줍니다:
· 다크 파이버 (Dark Fibre) 상의 새로운 펄스 (Pulses)
· 사용되지 않는 광 회선 (Optical lines)에서의 타이밍 드리프트 (Timing drift)
· 컨트롤러 레일 (Controller rails)의 전압 이상 (Voltage anomalies)
· 오래된 펌웨어 (Firmware)에서 깨어나는 고스트 로직 (Ghost logic)
· 무단 분기 (Unauthorized branching)를 나타내는 반사 (Reflections)
· 알려진 어떤 장치와도 일치하지 않는 로우 시그널 (Raw signals)
누군가 연결되어 있습니다.
그리고 당신은 전혀 알지 못합니다.
이것이 현대 보안이 직면하기를 거부하는 현실입니다.

🔥 이 상황에서 인증(Certifications)이 무가치한 이유
각 항목은 가이드 링크(Guided Link)로 시작됩니다.
· SOC_visibility_limits — 대시보드는 해석된 소프트웨어 이벤트 (Software events)만을 보여줍니다
· Raw_signal_blindness — 물리적 이상 현상 (Physical anomalies)은 결코 SIEM에 도달하지 않습니다
· Legacy_device_invisibility — 오래된 컨트롤러 (Controllers)는 로그 (Logs)를 생성하지 않습니다
· Hardware_layer_truth — 물리적 세계는 계측 (Instrumented)되어 있지 않습니다

인증은 다음을 측정합니다:
· 문서화 (Documentation)
· 정책 (Policy)
· 절차 (Procedures)
· 컴플라이언스 (Compliance)
· 서류 작업 (Paperwork)

인증은 다음을 측정하지 못합니다:
· 파이버 반사 (Fibre reflections)
· 전압 노이즈 (Voltage noise)
· 타이밍 드리프트 (Timing drift)
· 고스트 로직 (Ghost logic)
· 방치된 컨트롤러 (Abandoned controllers)
· 물리적 이상 현상 (Physical anomalies)
· 로우 시그널 (Raw signals)
· 무단 연결 (Unauthorized plugs)

인증은 케이블을 감지할 수 없습니다.
인증은 펄스 (Pulse)를 감지할 수 없습니다.
인증은 반사 (Reflection)를 감지할 수 없습니다.
현실이 하드웨어 계층 (Hardware layer)에서 발생할 때, 인증은 무가치한 종이 조각에 불과합니다.

🧊 냉혹한 진실
당신은 "완벽하게 컴플라이언스를 준수(Fully compliant)"하면서도 여전히 완전히 침해(Fully compromised)당할 수 있습니다.
당신은 "완벽한 가시성(Full visibility)"을 가졌으면서도 여전히 눈이 멀어 있을 수 있습니다.
당신은 "경보 제로(Zero alerts)" 상태이면서도 누군가가 당신의 인프라에 물리적으로 연결되어 있을 수 있습니다.
대시보드는 소프트웨어를 보여주기 때문입니다.
물리적 세계는 진실을 보여줍니다.
SilentRecon은 그 진실을 모니터링합니다.

SECTION 5 — 펌웨어 타이밍 드리프트 (Firmware Timing Drift): 당신의 보안 도구를 무시하는 신호들
하드웨어가 진실을 말하는 계층

모든 현대적인 보안 도구는 한 가지를 가정합니다:
펌웨어(firmware)가 예측 가능하게 동작한다는 것입니다.
대시보드(Dashboards)는 펌웨어 루프가 깨끗하게 실행된다고 가정합니다.
SIEM은 타이밍(timing)이 안정적이라고 가정합니다.
DevOps는 컨트롤러(controllers)가 작성된 대로 정확하게 명령을 실행한다고 가정합니다.
컴플라이언스(Compliance)는 하드웨어가 "신뢰할 수 있다"고 가정합니다.
하지만 펌웨어는 정적인 객체가 아닙니다.
그것은 전기적, 물리적, 타이밍 의존적인 살아있는 시스템이며, 단 하나의 로그 엔트리(log entry)도 생성하지 않은 채 드리프트(drift)하거나, 오작동하거나, 깨어날 수 있습니다.
이것이 바로 SilentRecon이 작동하는 계층입니다.

⚡ 드리프트(The Drift): 펌웨어가 허가 없이 움직일 때
펌웨어 타이밍 드리프트(Firmware timing drift)는 아무도 모니터링하지 않기 때문에 아무도 이야기하지 않는 현상입니다.
이것은 다음과 같은 상황에서 발생합니다:
· 전압(voltage)이 변동할 때
· 온도가 변할 때
· 방치된 컨트롤러가 깨어날 때
· 레거시 PLC가 오래된 루프를 실행할 때
· 다크 파이버(dark fibre) 펄스가 타이밍 회로로 누설될 때
· 반사(reflections)가 미세 지연(micro-delays)을 생성할 때
· 고스트 로직(ghost logic)이 휴면 상태의 명령을 트리거할 때
이 중 어느 것도 SOC 대시보드에는 보이지 않습니다.
이 중 어느 것도 DevOps 파이프라인(pipelines)에는 보이지 않습니다.
이 중 어느 것도 클라우드 텔레메트리(cloud telemetry)에는 보이지 않습니다.
하지만 하드웨어 계층은 이를 목격합니다.
그리고 SilentRecon은 이를 경청합니다.

🔥 참혹한 시나리오: 당신이 승인하지 않은 코드를 실행하는 펌웨어
이 상황을 상상해 보십시오:
당신의 SOC 대시보드는 이상 징후가 0이라고 표시합니다. 당신의 SIEM은 경고가 0이라고 표시합니다. 당신의 DevOps 파이프라인은 실패가 0이라고 표시합니다. 당신의 컴플라이언스 보고서는 100% 통과를 나타냅니다.
하지만 잊혀진 컨트롤러의 펌웨어가 다음과 같은 것들을 실행하기 시작합니다:
· 12년 전에 작성된 루프
· 아무도 기억하지 못하는 유지보수 명령
· 전압 노이즈(voltage noise)에 의해 트리거된 진단 루틴
· 타이밍 드리프트로 활성화된 분기(branch)
· 방치된 산업용 코드에 의해 생성된 고스트 로직 경로
이 루프는 다크 파이버(dark fibre)로 펄스를 보냅니다.
그 펄스는 반사(reflections)를 생성합니다.
그 반사는 타이밍 드리프트(timing drift)를 생성합니다.
그 드리프트는 이상 징후(anomalies)를 생성합니다.
이 중 어느 것도 로그에 기록되지 않습니다.
이 중 어느 것도 모니터링되지 않습니다.
이 중 어느 것도 보이지 않습니다.
하지만 이것은 실제로 일어나고 있습니다.
이것이 바로 현대 보안이 인정을 거부하는 악몽입니다.

🔧 왜 아무도 펌웨어 드리프트 (Firmware Drift)를 볼 수 없는가
각 항목은 가이드 링크 (Guided Link)로 시작됩니다.
· Explain_timing_analysis — 타이밍 드리프트 (timing drift)는 대시보드에 절대 도달하지 않습니다.
· Explain_ghost_logic — 버려진 로직 (abandoned logic)은 조용히 실행됩니다.
· Explain_raw_signal_blindness — 원시 펄스 (raw pulses)는 기록되지 않습니다.
· Explain_hardware_signal_layer — 물리적 신호 (physical signals)는 소프트웨어를 우회합니다.
· Explain_legacy_device_invisibility — 오래된 컨트롤러 (old controllers)는 텔레메트리 (telemetry)를 생성하지 않습니다.

SOC 도구는 소프트웨어를 모니터링합니다.
DevOps 도구는 파이프라인 (pipelines)을 모니터링합니다.
클라우드 (Cloud) 도구는 추상화 계층 (abstractions)을 모니터링합니다.
그 중 어느 것도 다음을 모니터링하지 않습니다:
· 펌웨어 타이밍 (firmware timing)
· 전압 드리프트 (voltage drift)
· 광 반사 (optical reflections)
· 다크 파이버 펄스 (dark fibre pulses)
· 고스트 로직 (ghost logic)
· 버려진 PLC 루프 (abandoned PLC loops)
· 원시 전기적 이상 현상 (raw electrical anomalies)

이 도구들이 눈이 먼 이유는, 그렇게 설계되었기 때문입니다.

🧊 냉혹한 진실
펌웨어 드리프트 (Firmware drift)는 "예외적인 사례 (edge case)"가 아닙니다.
그것은 물리적 실체입니다.
그리고 이것은 다음을 의미합니다:
· 당신의 대시보드가 거짓말을 할 수 있음
· 당신의 인증 (certifications)이 실패할 수 있음
· 당신의 컴플라이언스 (compliance)가 무의미해질 수 있음
· 당신의 가시성 (visibility)이 환상일 수 있음
· 당신의 인프라가 당신이 볼 수 없는 방식으로 살아 움직일 수 있음

섹션 6 — 전문성의 환상
왜 대부분의 "전문가"들은 필터링된 현실 안에서만 전문가인가