7월 세미나서 빌리지 자원봉사 및 CTF 운영 통해 합류하는 관람 노하우 소개
약한 단일 버그 엮은 ‘익스플로잇 체인’으로 CFP 심사위원 설득하는 기법 눈길

[보안뉴스 조재호 기자] 세계 최대 규모의 사이버 보안 컨퍼런스이자 해킹 방어 대회인 데프콘(DEF CON)을 대회나 단순 참관을 넘어 입체적으로 즐길 수 있는 노하우가 공유됐다. 오픈소스 월드 애플리케이션 보안 프로젝트(OWASP) 서울 챕터는 7월 세미나를 통해 빌리지 운영진 합류부터 발표 제안서(CFP) 통과까지 글로벌 축제를 다각도로 활용하는 노하우를 공유했다.


OWASP 서울 챕터가 7월 세미나를 통해 국내 보안인을 대상으로 글로벌 탑티어 보안 컨퍼런스 진출 및 커뮤니티 기여 전략을 제시했다. 이번 세미나는 단순한 해킹 대회(CTF) 참여·참관을 넘어, 데프콘의 실질적인 생태계 일원으로 안착하는 방안을 공유했다.

김동현 OWASP 서울 챕터 리더 겸 크리밋 대표는 ‘데프콘에 참여하는 N가지 방법’을 주제로 발표했다. 김 리더는 데프콘이 캡처 더 플래그(CTF) 본선 대회나 단순 라스베이거스 참관 행사를 넘어 참석자가 주도적으로 즐길 수 있는 입체적 축제임을 강조했다. 실제 데프콘은 클라우드, 앱, 사물인터넷(IoT), 버그바운티 등 40여개 주제 분야로 분화된 빌리지(Village)와 콘테스트, 워크숍, 네트워킹 파티가 유기적으로 얽힌 거대한 생태계라는 설명이다.

김 리더는 글로벌 커뮤니티 핵심 네트워크(Inner Circle)에 진입하기 위한 전략으로 자발적인 기여(Give & Take)를 강조했다. 특히 40여개 빌리지에서 진행되는 소규모 CFP 발표와 실습 워크숍은 이력서 가치를 높이는 동시에 현지 네트워크를 넓히는 최적의 무대라고 강조했다.

김 리더는 “대회 순위 경쟁에만 매몰되기보다 빌리지 CTF 출제진이나 자원봉사자(Goon), 실습 워크숍 주도 등 다양한 참여 통로를 활용하면 글로벌 리서처들과 탄탄한 신뢰를 쌓을 수 있다”며 “이러한 기여는 프라이빗 파티 초대뿐 아니라 600달러 상당의 배지 지원 등 행사를 N배 더 풍성하게 즐기는 실전 노하우”라고 말했다.

두 번째 연사로 단상에 오른 김희찬 TeamH4C 연구원은 ‘Road to DEF CON: 글로벌 탑티어 보안 컨퍼런스 CFP 도장 깨기’를 발표했다. 김 연구원은 윈도우 에러 리포팅(WER) 서비스 연구와 논리적 권한 상승 취약점을 기반으로 데프콘, POC, REcon, HITCON, Off-By-One 등 전 세계 주요 컨퍼런스의 발표 제안서(CFP)를 통과시킨 생생한 실무 검증 결과를 공유했다.

김 연구원은 발표 제안서 통과 확률을 높이는 3대 핵심 전략을 공개했다. 먼저 제목과 첫 문단에 단순 버그 나열이 아닌 연구 성과의 ‘임팩트와 파급력’을 명확한 결과 중심으로 압축 서술해야 한다. 또, 심사위원에게 ‘왜 반드시 이 무대에서 발표해야 하는가’에 대한 컨퍼런스 맞춤형 당위성을 설득할 수 있어야 한다고 조언했다.

김 연구원은 “개별적으로는 심각도가 낮고 재미없어 보이는 원데이 취약점이라도 커널과 유저 영역을 교차 연계한 논리적 체이닝으로 묶어내면 100% 신뢰성을 갖춘 치명적인 익스플로잇 자료로 격상된다”며 “버그 이름이나 나열에 그치지 않고 청자가 박수 칠 만한 임팩트 있는 ‘결과’와 데모를 엔드투엔드(End-to-End)로 보여주겠다고 약속하는 것이 CFP 통과의 핵심”이라고 말했다.

이번 행사를 준비한 강신우 OWASP 서울챕터 리더는 “이번 세미나를 통해 국내 보안인들이 CTF 참여를 넘어, 글로벌 생태계와 교류할 수 있는 지식 공유 문화가 안착되기를 기대한다”며 “이어 매달 진행되는 세미나에 대해서도 많은 관심을 부탁한다”고 전했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>