공격자의 시선으로 실제 침투 가능성을 검증하는 오펜시브 보안

취약점 진단을 마치면 보고서에는 발견된 보안 취약점과 위험도, 조치 권고 사항 등이 정리됩니다. 무엇부터 보완해야 할지 판단하기 위한 중요한 정보입니다. 하지만 취약점 목록만으로 공격자가 어떤 경로를 통해 들어오고, 내부 어디까지 접근할 수 있는지를 모두 가늠하기는 어렵습니다.

공격자에게 중요한 것은 개별 취약점의 위험도만이 아닙니다. 외부에서 접근할 수 있는 자산인지, 필요한 계정이나 권한을 확보할 방법이 있는지, 다른 보안상 허점과 이어질 수 있는지에 따라 같은 취약점도 전혀 다른 결과를 만들 수 있습니다.

오펜시브 보안은 이 가능성을 공격자의 관점에서 시험합니다. 보안상 약점을 찾아내는 데서 그치지 않고, 실제로 악용할 수 있는지, 어떤 경로로 침투가 이어질 수 있는지, 그 과정에서 조직의 방어 체계가 제대로 작동하는지를 검증하는 것입니다.

취약점의 존재와 실제 침투 가능성은 다릅니다

취약점 진단은 시스템과 애플리케이션, 네트워크 등에 존재하는 보안상 결함을 체계적으로 식별하고 평가하는 데 초점을 둡니다. 미국 국립표준기술연구소(NIST) 역시 취약점 평가를 시스템이나 제품의 보안 조치를 살펴보고 보안상 결함을 식별하는 체계적인 점검으로 정의합니다. 조직이 관리해야 할 약점을 파악하고 조치 대상을 정하는 출발점이라고 볼 수 있습니다.

모의해킹은 한 단계 다른 질문을 던집니다. 발견된 약점이 공격에 이용될 수 있는지 직접 시험하고, 보안 통제를 우회했을 때 접근 범위가 어디까지 넓어질 수 있는지를 확인합니다. NIST는 침투 테스트를 실제 공격을 모사해 애플리케이션이나 시스템, 네트워크의 보안 기능을 우회할 방법을 찾는 보안 테스트로 설명합니다. 여러 취약점을 조합해 단일 취약점만으로는 확보하기 어려운 수준의 접근 권한을 얻을 수 있는지도 주요 점검 대상입니다.

레드티밍은 범위를 조직의 운영 환경으로 더 넓힙니다. 현실적인 공격자와 목표를 설정하고 공격 상황을 모사하면서 기술적 통제뿐 아니라 탐지와 대응을 포함한 전반적인 방어 체계가 어떻게 작동하는지를 평가합니다. NIST 역시 레드팀 훈련을 현실의 조건을 반영한 모의 공격을 통해 조직의 업무와 시스템 침해를 시도하고, 조직과 정보시스템의 보안 역량을 종합적으로 평가하는 활동으로 정의합니다.

따라서 취약점 진단과 모의해킹, 레드티밍을 단순히 점검 강도의 차이로 나누는 것은 적절하지 않습니다. 취약점 진단이 ‘어디에 약점이 있는가’를 찾는다면, 모의해킹은 ‘그 약점을 이용해 어디까지 접근할 수 있는가’를 검증합니다. 레드티밍은 한발 더 나아가 현실적인 공격 상황에서 조직의 방어 체계가 얼마나 효과적으로 작동하는지를 폭넓게 시험합니다. 확인하려는 대상과 목적이 다른 만큼 필요에 따라 상호 보완적으로 활용할 수 있습니다.

공격 가능성은 취약점 하나가 아니라 여러 경로에서 드러납니다

공격자는 취약점 목록의 위험도 순서대로 움직이지 않습니다. 진입하기 쉬운 지점을 먼저 찾고, 확보한 계정이나 권한을 활용해 다음 단계로 이동합니다. 한 경로가 막히면 다른 자산이나 방법을 탐색합니다. 개별 취약점의 등급만으로 실제 침투 가능성을 판단하기 어려운 이유입니다.

그래서 오펜시브 보안에서는 ‘몇 개의 취약점을 발견했는가’보다 ‘어떤 조건이 맞물릴 때 공격 경로가 완성되는가’를 함께 봐야 합니다. 무엇부터 시험할 것인지 정하는 과정도 중요합니다. 모든 취약점을 동일하게 다루기보다 공격자들이 최근 어떤 자산과 취약점에 관심을 보이는지, 어떤 전술·기술·절차(TTP)를 활용하는지 참고하면 현실적인 위협에 가까운 지점부터 우선적으로 검증할 수 있습니다.

S2W는 이 과정에 위협 인텔리전스(TI)를 결합합니다. 딥웹과 다크웹에서 확인되는 유출 정보, 공격자의 취약점 관심도, 공격 그룹의 TTP 등 다양한 신호를 참고해 점검 우선순위를 정하고 공격 시나리오를 구체화합니다.

자동화된 분석과 취약점 점검으로 기본적인 영역을 빠르게 확인하는 동시에, 전문가가 비즈니스 로직의 허점이나 여러 조건이 맞물려 형성되는 공격 경로를 직접 검증합니다. 단순히 취약점 하나의 악용 여부를 확인하는 데 그치지 않고 최초 진입 이후 권한 확보와 내부 이동으로 이어질 수 있는 흐름까지 살펴보는 방식입니다.

이미 취약점 진단이나 모의해킹을 정기적으로 수행하고 있는 조직이라면 점검 횟수나 발견 건수뿐 아니라 무엇을 어디까지 검증하고 있는지도 돌아볼 필요가 있습니다. 발견된 약점이 실제 공격 경로로 이어질 수 있는지, 그 과정에서 기존 보안 통제가 침투를 차단하거나 이상 징후를 탐지할 수 있는지까지 확인해야 보완의 우선순위도 한층 분명해집니다.

공격자가 움직이기 전에 그들의 관점에서 우리 환경을 먼저 들여다보는 것. 오펜시브 보안의 핵심은 취약점을 더 많이 찾아내는 데 있지 않습니다. 흩어진 약점과 조건이 어떤 공격 경로를 만들 수 있는지 검증하고, 실제 침투로 이어지기 전에 방어 체계의 빈틈을 찾아 보완하는 데 있습니다.