조직에 노출된 외부 자산을 완벽하게 파악하려면 지속적인 자산 발견(Asset Discovery)과 공격자 시점의 스캔을 결합한 외부 공격 표면 관리(ASM) 체계가 필수적이다. 취약점 패치의 우선순위는 단순 CVSS 점수가 아닌, 자산의 비즈니스 중요도, 실제 외부 노출 상황, 그리고 알려진 익스플로잇 여부를 아우른 위험 기반 매트릭스로 정해야 한다.
외부 공격 표면 관리(ASM) 및 자산 가시성 확보의 필연성
클라우드 전환과 디지털 트랜스포메이션으로 기업의 IT 환경은 빠르게 넓어졌다. 이 과정에서 보안 팀의 승인 없이 배포된 테스트 서버, 잊혀진 마케팅 페이지, 혹은 서드파티 서비스 연결 API 엔드포인트 같은 섀도우 IT가 크게 늘었다. 이런 숨겨진 자산은 보안 패치에서 빠져 공격자에게 쉬운 먹잇감이 되며, 내부망 침투를 위한 교두보가 된다.
자산 가시성 확보는 단순 리스트 작성이 아니라 변화하는 공격 표면을 실시간 추적하는 동적 과정이어야 한다. 공격자는 OSINT(Open Source Intelligence) 도구로 기업의 IP 대역, 도메인, SSL 인증서 정보를 모은 뒤 관리되지 않는 자산을 색낸다. CISO와 보안 운영팀은 공격자와 같은 시점에서 외부 노출 접점을 모두 식별하고 이를 중앙 집중 관리하는 ASM 전략을 세워야 한다.
섀도우 IT 식별을 위한 단계적 자산 전수 조사 방법
외부 자산을 100% 찾으려면 단일 도구가 아닌 다층적 탐지 전략이 필요하다. 기업이 보유한 공식 IP 대역과 도메인 리스트를 바탕으로 ‘Known-Asset’을 분석하고, 인증서 투명성(Certificate Transparency) 로그를 분석해 서브도메인까지 추적하며 범위를 넓혀야 한다. DNS 레코드 분석과 포트 스캐닝을 함께해 현재 활성화된 서비스와 개방 포트 상태를 꼼꼼히 파악한다.
클라우드 서비스 제공자(CSP) API를 연동해 생성된 인스턴스와 스토리지 버킷 설정 상태도 주기적으로 확인해야 한다. 개발자가 편의를 위해 잠시 열어둔 SSH(22), RDP(3389), 데이터베이스 포트(3306, 5432) 등이 방치됐는지 확인하는 게 핵심이다. 수집된 데이터는 자산 인벤토리에 등록해 소유자와 담당자를 지정하고, 관리되지 않는 자산은 즉시 격리하거나 폐기하는 거버넌스가 작동해야 한다.
수천 개의 CVE 중 최우선 패치 대상 선정 기준
보안 운영팀이 마주하는 가장 큰 난관은 매일 쏟아지는 수많은 CVE(Common Vulnerabilities and Exposures) 중 무엇부터 처리할지 결정하는 일이다. CVSS(Common Vulnerability Scoring System) 점수가 높다고 해서 모든 취약점이 치명적인 것은 아니다. CVSS 9.8점 취약점이라도 외부 접근이 불가능한 내부망 격리 서버에 있다면, CVSS 7.0점이더라도 인터넷에 직접 노출된 웹 서버보다 우선순위가 낮을 수 있다.
우선순위를 효율적으로 정하려면 자산 중요도, 노출도, 위협 인텔리전스를 결합한 가중치 모델을 적용해야 한다. 우선순위 판단의 핵심 기준은 다음과 같다.
- 외부 노출 여부: 인터넷에서 직접 접근 가능한 인터페이스에 존재하는 취약점인지.
- 익스플로잇 가용성: 해당 취약점에 공개된 POC(Proof of Concept) 코드나 공격 툴이 있는지.
- 자산의 비즈니스 영향도: 해당 서버가 고객 데이터베이스나 결제 시스템 같은 핵심 비즈니스 로직을 처리하는지.
- 공격 경로 분석: 이 취약점을 통해 권한 상승이나 횡적 이동(Lateral Movement)이 가능해 내부 핵심 자산으로 접근할 수 있는지.
| 우선순위 레벨 | 판단 기준 (조건 조합) | 대응 요구 시간 | 주요 조치 사항 |
|---|---|---|---|
| Critical (긴급) | 외부 노출 + 공개 익스플로잇 존재 + 핵심 자산 | 24시간 이내 | 즉시 패치 또는 서비스 일시 중단 |
| High (높음) | 외부 노출 + 공개 익스플로잇 존재 + 일반 자산 | 72시간 이내 | 신속한 패치 및 WAF 룰 적용 |
| Medium (중간) | 내부 노출 + 공개 익스플로잇 존재 + 핵심 자산 | 차기 정기 패치 주기 | 망 분리 강화 및 접근 제어 검토 |
| Low (낮음) | 내부 노출 + 익스플로잇 미존재 + 일반 자산 | 상시 모니터링 | 장기적 업데이트 계획 반영 |
레거시 시스템 보안 취약점 해결을 위한 5가지 완화 조치
모든 시스템에 즉각 패치를 적용하는 것은 현실적으로 어렵다. OS 지원이 종료된 EOL(End of Life) 시스템이나 패치 적용 시 서비스 중단(Downtime)이 걱정되는 레거시 환경에서는 패치 외의 보완 통제(Compensating Controls)로 위험을 줄여야 한다. 취약점 자체를 없애는 대신 취약점으로 향하는 공격 경로를 차단해 실질적인 위험도를 낮추는 전략이다.
패치가 어려운 환경에서 적용할 수 있는 5가지 핵심 완화 조치다.
- 마이크로 세그멘테이션(Micro-Segmentation): 해당 레거시 시스템을 별도의 VLAN이나 서브넷으로 완전히 격리하여, 공격자가 침투하더라도 다른 시스템으로 확산되지 않도록 통신 범위를 최소화한다.
- 가상 패칭(Virtual Patching): WAF(Web Application Firewall)나 IPS(Intrusion Prevention System)에서 해당 CVE의 특성(시그니처)을 분석하여, 취약한 서버에 도달하기 전 네트워크 단에서 공격 트래픽을 필터링한다.
- 접근 제어 강화 (Zero Trust 기반): VPN이나 MFA(Multi-Factor Authentication)를 반드시 거쳐야만 해당 시스템에 접근할 수 있도록 인증 체계를 강화하고, 특정 관리자 IP에서만 접속 가능하도록 ACL(Access Control List)을 엄격히 제한한다.
- 서비스 최소화 및 하드닝: 사용하지 않는 포트와 불필요한 서비스, 기본 계정 및 기본 패스워드를 모두 제거하고, OS 커널 수준에서 불필요한 기능을 비활성화하여 공격 표면을 최소화한다.
- 강화된 모니터링 및 EDR 적용: 해당 시스템에 대한 로그 수집 주기를 단축하고, EDR(Endpoint Detection and Response)을 통해 비정상적인 프로세스 실행이나 파일 변조 여부를 실시간으로 감시하여 침해 사고 발생 시 즉각 대응한다.
결론 및 실행 전략
외부 공격 표면 관리(ASM)의 핵심은 ‘내가 모르는 자산은 보호할 수 없다’는 전제다. 섀도우 IT를 전수 조사해 자산 가시성을 확보하고, 비즈니스 영향도와 위협 인텔리전스를 결합해 패치 우선순위를 정하는 체계적인 프로세스가 구축되어야 한다. 특히 패치가 어려운 레거시 시스템은 가상 패칭과 네트워크 격리 같은 다층 방어 전략으로 잔존 위험을 관리해야 한다.
지금 조직 내 외부 노출 자산 리스트를 최신화하고, CVSS 점수가 아닌 실제 위험 기반 패치 매트릭스를 적용해 보안 운영 효율을 높여야 한다. 전문적인 ASM 솔루션 도입이나 내부 거버넌스 수립으로 공격 표면을 지속적으로 줄이는 것이 가장 확실한 보안 강화 방안이다.