기업이 관리하지 않는 공개 정보는 따로 보면 무해해 보입니다. 하지만 공격자가 이를 결합해 표적 선정, 피싱 문구 작성, 인프라 추정, 노출 자산 탐색에 활용하면 실제 보안 위협이 됩니다.
공개 정보가 공격 표면이 되는 원리
많은 기업은 내부 시스템 보안 강화에 집중합니다. 하지만 외부로 노출된 공개 정보가 공격의 단초가 되는지는 간과하기 쉽습니다. 공격 표면 관리(Attack Surface Management) 관점에서 보면, 공격자는 침투 전 공개된 정보로 조직의 기술적·운영적 단서를 모으는 OSINT(Open Source Intelligence) 과정을 거칩니다.
위험의 핵심은 정보의 결합입니다. 단편적인 정보 조각은 그 자체로 치명적이지 않습니다. 공격자가 이를 연결해 맥락을 만드는 순간 강력한 공격 무기가 되기 때문입니다. 예를 들어 특정 직무 채용 공고의 기술 스택, 공개 문서의 메타데이터, DNS 정보가 합쳐집니다. 그러면 공격자는 기업 내부 인프라 구조를 추정하고 정교한 맞춤형 피싱 공격 시나리오를 짭니다.
OSINT를 활용한 공격자의 정보 수집 경로
공격자는 기업 보안 경계 안으로 들어가기 전, 아래 공개 채널로 공격 표면을 탐색합니다.
- 공개 웹 및 DNS: 도메인 설정 정보와 웹사이트 내 노출 정보로 인프라 외형을 파악합니다.
- 코드 저장소: GitHub 등 공개 저장소에 실수로 올라간 설정 파일이나 API 키, 코드 내 주석 등을 찾습니다.
- 채용 공고: 구인 공고에 명시된 사용 기술, 프레임워크, 운영 환경 정보로 내부 기술 스택을 유추합니다.
- 문서 메타데이터: 외부로 배포된 PDF나 오피스 문서 속성에 포함된 작성자 계정, 소프트웨어 버전, 내부 경로 정보 등을 수집합니다.
이런 경로로 모은 정보는 공격자가 가장 취약한 고리를 찾는 표적 선정 근거가 됩니다.
기업 공격 표면 관리를 위한 사전 진단 프로세스
공개 정보로 인한 리스크를 줄이려면 취약한 지점을 찾는 것만으로 부족합니다. 체계적인 사전 진단 프로세스가 필요합니다. NIST CSF 2.0은 자산을 식별·관리하고 조직 맥락에 맞게 위험을 다루는 것을 핵심 기능으로 규정합니다.
사전 진단의 목적은 특정 취약점을 발견하는 것이 아닙니다. 불필요하게 노출된 정보를 줄이고 대응 책임을 명확히 하는 것이 본질입니다.
사전 진단 핵심 관리 항목
| 관리 항목 | 주요 점검 내용 | 기대 효과 |
| :— | :— | :— |
| 자산 식별 | 공개 DNS, 서브도메인, 코드 저장소 노출 여부 | 관리되지 않는 섀도우 IT 자산 파악 |
| 정보 맥락 분석 | 채용 공고, 문서 메타데이터 내 기술 정보 결합 | 공격자 관점의 침투 시나리오 예측 |
| 책임 할당 | 노출 자산의 소유자 및 서비스 목적 확인 | 신속한 조치 및 관리 책임 명확화 |
| 리스크 평가 | 노출 사실에 따른 영향도 및 조치 기한 설정 | 우선순위에 기반한 리스크 제거 |
자산 인벤토리 및 위험 레지스터 구축의 중요성
사전 진단 후 단순히 발견 목록을 작성하는 것으로 끝내선 안 됩니다. 실무적인 공격 표면 관리를 위해 실행 가능한 산출물을 내놓아야 합니다.
효과적인 대응을 위해 구축해야 할 핵심 산출물 세 가지는 다음과 같습니다.
- 자산 인벤토리: 발견된 자산 리스트만으로는 부족합니다. 소유자가 누구이고 서비스 목적이 무엇인지 명확히 드러난 명세서여야 합니다.
- 위험 레지스터: 노출 사실이 비즈니스에 미치는 영향과 해결을 위한 조치 기한이 유기적으로 연결된 관리 대장입니다.
- 증적 및 재점검 일정: 조치 후 변경 사항을 확인할 증적을 남겨야 합니다. 정기 재확인 일정을 세워 일시적 해결이 아닌 지속적 관리를 이어가야 합니다.
기업 보안 담당자와 CISO는 공개 정보가 공격자에게 제공하는 맥락을 이해해야 합니다. 체계적인 자산 식별 및 관리 체계를 갖춰 공격 표면을 줄여야 합니다.