모의해킹 주기, 연 1회로 충분할까?
모의침투 테스트는 평가 당시의 조건에서 공격자가 핵심 시스템에 접근할 수 있는지 확인할 수 있습니다. 그러나 새로운 애플리케이션이 운영에 들어가거나, 네트워크 규칙이 변경되거나, 서비스 계정에 추가 권한이 부여되면 이러한 조건도 달라집니다. 따라서 몇 주 뒤에 내리는 보안 의사결정은 현재와 다른 환경에서 수집한 근거에 의존하게 될 수 있습니다.
PAGO Security Summit 2026에서는 연 1회 또는 분기별로 수행하는 모의침투 테스트의 연속성에 관한 질문이 제기되었습니다. CISO가 실무적으로 고민해야 할 부분은 시스템과 접근 권한, 공격 기법이 변화하는 상황에서 조직의 노출 상태를 판단할 수 있는 유효한 근거를 연중 어떻게 유지할 것인가입니다.
연간·분기별 모의침투 테스트에서 공백이 생기는 이유
이해를 돕기 위해 한 가지 상황을 가정해 보겠습니다. 한 기업이 3월에 모의침투 테스트를 마치고 보고된 문제를 해결했습니다. 4월에는 지원 업무를 위한 프로젝트에 원격 접속 기능이 도입되었습니다. 5월에는 애플리케이션을 이전하면서 두 환경 사이의 연결 구성이 변경되었습니다. 3월의 평가 결과는 당시 검증한 범위와 기간에 대한 기록으로 여전히 유효합니다. 이후 발생한 각각의 변경사항은 관련 결론을 다시 검토해야 할 이유가 됩니다.
정기 테스트 횟수를 늘리면 평가 사이의 간격을 줄일 수 있습니다. 여기에 더해 조직은 다음 정기 테스트가 진행되기 전에 어떤 변경사항을 검증해야 하는지 판단할 수 있어야 합니다. 이러한 절차가 없으면 새로 허용된 접근이 민감한 시스템으로 이어지는 경로를 만드는지 보안팀이 판단할 근거가 부족할 수 있습니다.
보고서가 얼마나 오래되었는지는 이 문제의 일부입니다. 최근에 수행한 테스트라도 핵심 애플리케이션이나 계정·권한 관리 시스템, 비즈니스 서비스가 검증 범위에서 빠져 있을 수 있습니다. CISO는 테스트 시점과 검증 범위, 이후 발생한 주요 변경사항을 함께 살펴봐야 합니다.
상시 보안 검증은 어떻게 운영되어야 하는가
상시 보안 검증은 조직의 노출 요소가 실제로 악용될 수 있는지 테스트하고, 결과를 기록하며, 조치가 효과적으로 적용되었는지 반복해서 확인하는 과정입니다. 365일 운영되는 검증 체계는 연중 발생하는 변화에 대응할 수 있어야 하며, 테스트 주기는 비즈니스 위험과 운영상 제약에 맞춰 정해야 합니다.
모든 자산에 모든 익스플로잇을 매일 실행할 필요는 없습니다. 자산과 노출 요소의 발견은 자주 수행하고, 배포 이후에는 관련 항목을 선별해 점검하며, 시스템에 영향을 줄 수 있는 테스트는 별도의 작업 시간에 진행할 수 있습니다. 각 검증 결과에는 범위, 시작 조건, 방법, 수행 시점과 한계를 명시해야 합니다. 테스트하지 않은 자산과 결론을 내리지 못한 결과도 보고에서 확인할 수 있어야 합니다.
이시우는 서밋 발표에서 검증을 지속적 위협 노출 관리(Continuous Threat Exposure Management, CTEM)의 5단계인 범위 설정, 발견, 우선순위 지정, 검증, 실행에 포함해 설명했습니다. 이 과정은 테스트에서 확보한 근거를 조직이 무엇을 조치해야 하는지에 대한 의사결정으로 연결합니다.
비즈니스 영향으로 이어지는 공격 경로 검증
취약점이 발견되었을 때는 이를 통해 어떤 행위가 가능해지는지 파악해야 실무에 활용할 수 있습니다. 외부에 노출된 애플리케이션을 통해 최초 침투가 가능한가요? 확보한 접근 권한으로 다른 시스템까지 이동할 수 있나요? 침해된 계정에 부여된 과도한 권한이 핵심 서비스에 대한 접근을 허용하나요?
서밋 세션에서는 취약점 악용, 인증정보 확보, 내부 이동, 권한 상승의 각 단계에서 근거를 수집하는 과정을 설명했습니다. 이를 통해 개별적인 취약 요소가 어떻게 하나의 공격 경로로 연결되는지 확인할 수 있습니다. CISO는 이 근거를 바탕으로 중요한 비즈니스 자산에 대한 접근을 차단하려면 무엇을 변경해야 하는지 판단할 수 있습니다.
예를 들어, 접근 가능한 서버와 재사용되는 관리자 인증정보가 결합되어 재무 시스템에 접근할 수 있다는 사실이 검증될 수 있습니다. 이 경우 조치 계획에는 서버 패치, 인증정보 관리 방식 개선, 연결 제한 등이 포함될 수 있습니다. 후속 테스트에서는 유사한 다른 경로가 여전히 남아 있는지도 확인해야 합니다.
조치 결과를 검증한 뒤에 완료 처리
서밋 발표에서 주목할 만한 사례 중 하나는 실습 환경에서 진행한 시연이었습니다. 조치 이후 평가를 다시 수행하자 주요 위협은 전반적으로 감소했지만, 추가 자산과 새로운 취약점도 발견되었습니다. 발표자는 이 사례를 통해 환경이 변화하는 만큼 검증도 반복되어야 한다고 설명했습니다.
실무에서는 검증된 각 문제에 담당자, 합의된 완료 기한, 재검증 계획이 필요합니다. 즉시 조치할 경우 서비스에 지장을 줄 수 있다면 임시 완화 조치와 잔여 노출 위험, 해당 결정을 다시 검토할 시점을 문서화해야 합니다.
완료 처리에는 목표로 삼은 공격 경로가 차단되었다는 근거가 포함되어야 합니다. 특정 항목을 대상으로 한 재테스트는 해당 조치가 제대로 적용되었는지 확인하는 데 활용할 수 있습니다. 더 넓은 범위의 재평가는 연결된 시스템과 이전 테스트 이후의 변경사항을 살펴볼 수 있습니다. 두 방식을 함께 활용하면 특정 문제만 수정한 뒤 관련 노출 위험을 남겨 두는 상황을 줄일 수 있습니다.
재검증 조건을 정하고 SOC 대응 확인
새로운 외부 서비스의 도입, 계정·권한 또는 네트워크의 주요 변경, 조직과 관련된 취약점의 실제 악용 정보, 조치 완료 등은 재검증을 시작할 수 있는 계기가 됩니다. 조직은 어떤 변경사항에 테스트가 필요한지, 누가 테스트를 시작하는지, 비즈니스 서비스의 유형별로 얼마나 신속하게 수행해야 하는지를 정해야 합니다.
반복적인 테스트를 수행하려면 운영상 허용 범위도 합의해야 합니다. NIST SP 800 115는 시스템에 직접 영향을 줄 수 있는 평가가 가용성과 데이터에 미치는 위험, 적절한 기법과 환경을 선택해야 할 필요성을 다룹니다. 테스트를 정기적으로 반복하기 전에 허용되는 행위, 민감한 시스템, 중단 조건과 책임자를 정해야 합니다.
탐지와 대응이 훈련에 포함된다면 예상한 텔레메트리 데이터가 수집되었는지, 경보가 분석가에게 전달되었는지, 계획대로 대응이 이루어졌는지를 기록해야 합니다. 핵심 시스템에 대한 접근 가능성을 입증한 테스트는 SOC가 가시성의 공백을 파악하는 데에도 도움이 되어야 합니다. 방어 성능에 대한 판단이 왜곡되지 않도록 해당 테스트에만 적용한 예외 설정도 문서화해야 합니다.
검증 범위와 조치 완료를 지표로 관리
CISO는 다음 네 가지 지표를 활용해 검증 근거가 현재 상태를 적절히 반영하고 있는지 평가할 수 있습니다. 이는 운영 관리를 위해 제안하는 지표이며, 목표치는 조직의 서비스와 테스트 제약에 맞춰 정해야 합니다.
지표 | 확인할 내용 |
검증 범위 | 핵심 서비스 중 관련성이 있고 현재 상태를 반영하는 테스트 근거를 확보한 서비스의 비율. 제외 항목은 별도로 표시합니다. |
관련 검증 이후 경과 시간 | 최근의 주요 변경사항을 반영한 테스트를 수행한 뒤 경과한 시간입니다. |
검증된 조치 완료까지의 시간 | 노출 위험을 확인한 시점부터 재테스트를 통해 공격 경로가 차단되었음을 확인한 시점까지의 시간입니다. |
노출 위험의 재발 | 해결한 문제가 다시 발생했는지, 어떤 설정이나 프로세스가 재발의 원인이 되었는지 확인합니다. |
전문가의 모의침투 테스트를 병행
자동화된 검증에는 테스트 범위, 사용 가능한 인증정보, 지원하는 기법, 환경에 대한 접근 수준에 따른 한계가 있습니다. 전문가는 애플리케이션의 비즈니스 로직이나 비정형적인 공격 경로, 사전에 정의된 테스트가 놓칠 수 있는 가정을 검토하는 데 중요한 역할을 합니다. 취약점 악용에 실패한 결과도 해석이 필요합니다. 필요한 사전 조건이 충족되지 않았거나 테스트 범위가 제한되어 결과에 영향을 미쳤을 수 있기 때문입니다.
실무적인 출발점은 하나의 핵심 비즈니스 서비스와 그 서비스가 의존하는 시스템입니다. 현재 범위를 정하고, 관련 공격 경로를 검증한 뒤, 조치 담당자를 지정하고 결과를 다시 테스트합니다. 이후에는 기존 검증 근거의 유효성에 영향을 줄 수 있는 변경사항과 검증 절차를 연결해야 합니다. 이 과정을 여러 서비스로 확대하면 CISO는 연중 보안 의사결정을 내릴 때 현재 상태를 더 잘 반영하는 근거를 확보할 수 있습니다.
출처
PAGO Security Summit Insight Report. Proactive SecOps 세션.
NIST SP 800 115, Technical Guide to Information Security Testing and Assessment, 2008년 9월, 6.3절 및 6.5절. 평가 기법, 운영 위험 및 테스트 계획.
