세계적인 해킹대회인 ‘DEF CON CTF’ 본선에 가톨릭대학교 컴퓨터정보공학부 학생팀이 진출했다. 세계 각국의 뛰어난 실력자들이 경쟁하는 무대에서 이들은 어떻게 세계 무대에 오르게 되었을까? 본선 진출까지의 준비 과정과 도전의 순간, 그리고 앞으로의 목표를 들어보기 위해 컴퓨터정보공학부 윤태호, 김민재, 김현주 학생을 만나보았다. 

Q1. 먼저 세 분께서 간단하게 자기소개 부탁드립니다. 전공과 학번, 이름과 함께 현재 어떤 활동을 하고 계신지도 소개해 주시면 좋을 것 같습니다.

윤태호 (컴퓨터정보공학부 22학번) | CAT-CERT에서 웹 보안 분야를 주로 공부하고 있습니다. 웹 시스템에서 발생할 수 있는 취약점을 탐색하고, 침투 기법과 공격 방어 메커니즘을 주로 다루고 있습니다.

김민재 (컴퓨터정보공학부 22학번) |  CAT-CERT에서 시스템 해킹 분야를 주력으로 공부하고 있습니다.

김현주 (컴퓨터정보공학부 24학번) |  리버싱 분야를 중심으로 공부하고 있으며, 모의해킹을 비롯해 동아리의 다양한 보안 프로젝트에 참여하고 있습니다.

Q2. DEF CON CTF가 어떤 대회인지 잘 모르는 학생들도 많을 것 같은데요. 직접 참가해 보신 분들의 시각에서 비전공자 학생들도 이해할 수 있도록 소개해 주실 수 있을까요?

일반적인 해킹 대회는 주어진 문제를 해결하는 방식으로 진행되는 경우가 많은데요. DEF CON CTF는 문제를 푸는 것뿐만 아니라 다른 팀의 시스템을 공격하는 동시에 우리 팀의 시스템도 방어해야 한다는 점이 특징이에요.

대회에서는 모든 팀에 같은 조건의 시스템이 주어져요. 참가자들은 시스템을 분석해 취약점을 찾아내고, 이를 이용해 다른 팀을 공격하죠. 반대로 우리 팀의 시스템에서 취약점을 발견하면 코드를 수정하는 등의 방법으로 상대 팀의 공격을 막아야 하고요.

예를 들어 웹사이트에 개인정보가 저장돼 있다면, 공격자는 보안상 허점을 이용해 정보에 접근하려고 하고 방어자는 그 허점을 찾아 수정하는 거예요. 이렇게 공격과 방어를 동시에 수행하며 경쟁하는 대회라고 보시면 됩니다.

Q3. 이번 DEF CON CTF에 참여하게 된 계기가 궁금합니다. 또한 국내 해커들과 연합팀 ‘D0kdo’를 구성해 출전하게 된 과정도 소개해 주실 수 있을까요?

CAT-CERT는 평소에도 국내외에서 다양한 보안 대회가 열리면 부원들과 함께 꾸준히 참가하고 있어요. 이번 DEF CON CTF도 그런 활동의 일환으로 참가하게 됐습니다.

D0kdo는 가톨릭대학교 졸업생분들, 그리고 정보보안 분야에서 일하는 현직자분들과 꾸준히 교류해 온 것을 계기로 만들어졌어요. 서로 연락을 주고받다가 한국인들끼리 연합팀을 구성해 대회에 나가보자는 이야기가 나왔고, 졸업생과 현직자, 각자의 지인들, 다른 곳에서 보안을 공부하던 사람들이 함께 팀을 꾸리게 됐습니다.

그래서 D0kdo는 CAT-CERT 부원들만으로 이루어진 팀은 아니에요. 서로 다른 배경을 가진 참가자들이 모여 만든 연합팀입니다.

Q4. 본선에서는 상대 팀의 서비스를 공격하는 동시에 자신의 서비스를 방어하는 방식으로 경기가 진행됐다고 들었습니다. 실제 경기에서는 어떤 과정으로 공격과 방어가 이루어지나요?

이런 경기 방식을 ‘어택 앤 디펜스(Attack & Defense)’라고 해요. 이번 경기에서는 총 12개 팀이 경쟁했고, 5분마다 점수가 집계됐습니다.

각 팀은 다른 팀의 시스템에서 취약점을 찾아 공격하고, 이를 통해 점수를 얻어요. 동시에 상대 팀도 우리 시스템을 공격하기 때문에 취약점을 찾아 수정하면서 점수를 잃지 않도록 방어해야 하고요.

짧은 주기로 점수가 집계되는 만큼 빠른 대응이 중요해요. 취약점을 발견하는 데서 끝나는 게 아니라 실제 공격을 수행하고, 상대의 공격을 막기 위한 조치까지 해야 하거든요.

Q5. 실제로 본선 경기를 치르면서 세 분이 각각 어떤 역할을 맡으셨나요? 구체적으로 어떤 일을 담당하셨는지도 소개해 주시면 좋겠습니다.

윤태호 | 저는 주로 공격을 담당했어요. 시스템의 취약점을 찾아 분석하고, 이를 이용해 실제 공격을 수행하는 코드를 작성했습니다. 상대 팀이 취약점을 발견해 방어 코드를 수정하면 기존 공격이 여전히 가능한지도 확인했어요. 공격이 막혔다면 다른 방식으로 우회할 수 있는지 분석하면서 전략을 조정했고요. 반복적인 공격 작업을 자동으로 수행할 수 있는 도구도 만들었습니다. 5분마다 점수가 집계되는 경기인 만큼, 같은 작업을 매번 직접 하기보다 자동화해서 더 빠르고 효율적으로 공격할 수 있도록 준비한 거예요.

김민재 | 저는 대회 전에 공격과 방어에 필요한 도구를 만드는 작업에 참여했고, 경기 중에는 ‘킹 오브 더 힐(King of the Hill)’이라는 별도 문제 분야를 담당했어요. 이 분야는 단순히 정답을 맞히는 것보다 주어진 환경에서 얼마나 좋은 결과를 얻느냐가 중요해요. 가능한 해답 중에서도 더 나은 결과를 찾아야 하고, 그 결과에 따라 순위와 점수가 결정되는 방식입니다.

김현주 | 저도 대회에서 사용할 도구를 제작하고 킹 오브 더 힐 분야의 문제를 해결하는 데 참여했어요. 또 공격과 방어 과정에서 활용할 수 있는 대시보드 형태의 도구를 만드는 작업도 했습니다. 경기 중 발생하는 상황을 확인하고, 사람이 직접 처리하면 시간이 오래 걸리는 작업을 코드로 자동화해 더 효율적으로 대응할 수 있도록 준비했어요. 짧은 경기 시간 안에 필요한 정보를 확인하고 작업을 처리하는 데 도움이 되도록 도구를 만든 거죠.

Q6. 실제로 본선 경기를 치르면서 가장 기억에 남았던 순간이나 예상하지 못했던 어려움이 있었다면 소개해 주실 수 있을까요?

김민재 | D0kdo는 그해 새롭게 구성된 팀이었고, 대부분의 팀원이 DEF CON CTF에 처음 참가했어요. 대회 전에 여러 상황을 예상해 대응 방법을 논의하고 도구도 준비했지만, 실제 경기에서는 예상하지 못한 변수들이 생기더라고요. 미리 세워둔 계획만으로 해결하기 어려운 상황도 있었고요. 그런 경험을 하면서 팀원들끼리 계속 소통하고 함께 해결 방법을 찾아가는 게 정말 중요하다는 걸 느꼈습니다.

더불어 대회 현장에서 다양한 보안 기업과 스타트업의 제품을 직접 볼 수 있었던 것도 인상 깊었어요. 컨벤션 센터에 마련된 부스를 둘러보면서 국내에서 공부할 때는 접하기 어려웠던 소프트웨어와 새로운 아이디어들을 만날 수 있었거든요. 기업들이 어떤 문제를 해결하기 위해 제품을 만들고, 자신들의 강점을 어떻게 설명하고 홍보하는지 살펴보면서 기술 외적인 부분에서도 새로운 시각을 얻었습니다.

김현주 | DEF CON CTF는 매년 대회 규칙이 조금씩 달라지는데, 이번에는 규칙이 대회 하루 전에 발표됐어요. 그래서 미리 준비해 둔 도구 중 일부 기능을 수정해야 했습니다. 또 DEF CON은 CTF 경기뿐만 아니라 컨퍼런스와 기업 부스 등 여러 행사가 동시에 진행되는 큰 행사잖아요. 현장의 네트워크 환경이 원활하지 않거나 본선장에서 팀원들끼리 연락하고 소통하는 데 어려움이 생기기도 했어요. 경기 자체를 준비하는 것뿐만 아니라 현장에서 발생하는 예상 밖의 변수에도 대응해야 한다는 점이 기억에 남습니다.

Q7. CAT-CERT는 가톨릭대학교의 정보보안을 위해 활동하며, 학내망에서 발생할 수 있는 정보보호 관련 사고를 예방하고 사고 발생 시 신속하게 대응하는 기관 동아리라고 알고 있습니다. 실제로 어떤 활동을 하고 있는지 소개해 주실 수 있을까요?

CAT-CERT에서 하는 주요 활동 중 하나는 학교의 정보 시스템을 정기적으로 점검하는 일이에요. 1년에 두 차례 학교 웹사이트 등 주요 정보 자산을 대상으로 모의해킹을 진행하면서 취약점이 있는지 확인합니다.

취약점을 발견하면 어떤 방식으로 공격이 가능한지, 그대로 두면 어떤 피해가 발생할 수 있는지, 어떻게 수정해야 하는지를 분석해요. 이후 조사 결과를 보고서로 작성해 정보통신원에 제출하고, 취약점이 보완될 수 있도록 하는 거죠.

실제 공격이 발생하기 전에 문제가 될 수 있는 부분을 미리 찾아 조치한다는 점에서 의미가 있어요. 또 학내에서 실제 정보보안 사고가 발생했을 때도 원인을 파악하고, 문제가 발생한 경로와 취약한 부분을 조사해 필요한 대응 방안을 제시하는 역할을 합니다.

Q8. 세 분은 각자 어떤 계기로 CAT-CERT에 들어오게 되셨나요?

김현주 | CAT-CERT는 활동에 시간과 노력을 많이 투자해야 하는 동아리로 알려져 있었어요. 그런데 저는 오히려 그런 이야기가 흥미롭게 느껴졌습니다. 고등학교 때도 열심히 공부했던 것처럼 대학교에서도 의미 있는 활동에 적극적으로 참여하고 싶어서 가입하게 됐어요. 신입 회원인 주니어 시절에는 프로그래밍 언어 같은 기초적인 내용부터 배울 수 있다는 점도 좋았어요. 보안 분야를 깊이 공부하기 전에도 개발에 필요한 기본기를 쌓을 수 있겠다고 생각했습니다.

윤태호 | 수업이 시작되기 직전에 선배들이 동아리를 홍보하는 걸 듣고 관심이 생겼어요. 특히 CAT-CERT의 활동과 각종 대회 참가 실적을 소개하는 자료가 인상적이었습니다. 그걸 보고 저도 동아리에 들어가 보고 싶다는 생각이 들었어요.

김민재 | 저는 처음부터 정보보안 분야에 관심이 많았던 건 아니에요. 수업 시간에 선배들이 동아리를 홍보하는 걸 듣고 CAT-CERT를 알게 됐습니다. 소개를 들으면서 동아리 활동이 흥미롭게 느껴졌고, 한번 참여해 보고 싶어서 가입하게 됐어요.

Q9. CAT-CERT에서 함께 활동해 오면서 세 분이 팀으로 호흡을 맞춰 온 경험이 있다면 소개해 주세요. 이번 대회에 세 분이 함께 출전하게 된 배경도 궁금합니다.

CAT-CERT는 학기 중뿐만 아니라 방학에도 꾸준히 활동하는 동아리예요. 학기 중에는 일주일에 세 번씩 활동하다 보니 부원들끼리 자주 만나 함께 공부하고 협업할 기회도 많습니다.

이번 대회도 처음 만난 사람들끼리 모여 준비한 건 아니었어요. 평소 동아리 활동을 통해 서로의 작업 방식에 익숙했고, 함께 문제를 해결하는 과정도 많이 경험했거든요. 이런 경험이 이번 대회를 준비하고 팀으로 호흡을 맞추는 데 도움이 됐습니다.

Q10. 이번 DEF CON을 준비하는 과정에서 CAT-CERT에서의 활동이 어떤 도움이 되었나요?

CAT-CERT에서는 평소에도 다양한 보안 대회와 공모전에 팀을 구성해 꾸준히 참가해요. 그러다 보니 평소 역할을 나누고 각자 맡은 일을 수행하면서 하나의 문제를 함께 해결하는 과정에 익숙하다는 점이 도움이 됐습니다.

DEF CON CTF에 참가하려면 보안 지식뿐만 아니라 대회에서 활용할 도구를 직접 개발하는 역량도 필요해요. 시스템의 취약점을 분석하고 공격과 방어를 수행하는 능력은 물론, 그 과정을 효율적으로 진행할 수 있도록 도구를 만드는 능력도 중요하거든요.

CAT-CERT에서 평소에 해 왔던 보안 공부와 취약점 분석, 개발 활동, 스터디가 이런 준비의 바탕이 됐어요. 동아리에서 쌓아 온 기술적인 역량과 팀 단위로 협업한 경험이 대회 준비와 본선 참가에 모두 도움이 됐습니다.

Q11. DEF CON 참가와 CAT-CERT 활동을 통해 새로운 경험을 쌓으신 만큼, 앞으로 새롭게 도전해 보고 싶은 일이 있다면 무엇인가요?

김현주 | 내년에도 DEF CON에 참가해 보고 싶어요. 해외여행을 하는 것과 해외에서 열리는 큰 대회에 직접 참가하는 건 다른 경험이라고 생각하거든요. 이번이 첫 해외 대회 참가였는데, 새로운 환경에서 공부하고 다양한 경험을 하면서 앞으로 더 열심히 공부하고 싶다는 동기부여를 얻었어요.

이런 기회를 얻을 수 있었던 것도 CAT-CERT 활동과 졸업한 선배들과의 교류 덕분이라고 생각합니다. 앞으로 동아리에 들어올 후배들도 저처럼 비슷한 경험을 할 수 있도록 돕고 싶어요. 또 하나는 CAT-CERT에서 직접 준비하고 있는 대회를 성공적으로 개최하는 거예요. 2027년 1월 개최를 목표로 새로운 형식의 CTF 대회를 준비하고 있는데, 이 도전도 잘 마무리하고 싶습니다.

김민재 | 이번 DEF CON CTF에서 본선까지 진출한 만큼, 내년에도 다시 본선에 진출해 대회에 참가하는 게 목표예요. 이번에는 다른 참가자들과 팀을 구성해서 출전했는데, 다음에도 기회가 주어진다면 새로운 팀원들과 함께 참가해 보고 싶습니다.

윤태호 | 이번 대회에서 특히 인상 깊었던 건 다양한 분야에서 일하는 현직자분들과 함께 협업할 기회가 있었다는 점이에요. 문제를 해결하기 위해 의견을 나누고 어떤 방식으로 접근할지 논의하는 과정에서 많은 영감과 깨달음을 얻었습니다. 현업에서 일하는 분들의 관점과 문제 해결 방식을 직접 배울 수 있어서 의미 있는 경험이었어요.

더 나아가 이런 경험을 다른 학생들과도 나누고 싶습니다. CAT-CERT에서는 2027년 1월 개최를 목표로 ‘홀리쉴드(Holy Shield)’라는 행사를 준비하고 있어요. 보안 분야에 관심이 있는 가톨릭대학교 재학생뿐 아니라 중·고등학생과 다른 대학 학생들도 함께 교류하고 경험을 나눌 수 있는 자리를 만드는 게 목표입니다.

● 글/사진 : 대외협력팀, 직무인턴 성현서, 양유진