취약점 관리의 이해와 위협 우선순위화를 위한 프로세스와 소프트웨어 4가지

취약점 관리(Vulnerability management)는 취약점을 파악하고 이에 대한 수정을 더 자주, 효과적으로 내놓기 위한 프로세스다. 수정이 필요한 취약점은 네트워크에 가장 즉각적인 위험을 내포하는 취약점 순서로 우선순위화해야 한다.


Credit: Getty Images Bank

보안 업체는 교육과 모범 사례 구현부터 보호 대상 조직에 가장 위험한 위협 요소만 남도록 취약점 노이즈를 필터링하는 방법에 이르기까지 다양한 방법으로 취약점에 대처한다.

사이버보안에서 취약점은 큰 부분을 차지한다. 취약점이 없으면 침해도 거의 없을 것이기 때문이다. 취약점 그 자체는 능동적인 위협이 아니므로 기업에서 어느 취약점을 어떤 순서로 처리해야 할지 알기가 어렵다. 특히 취약점의 수가 엄청나게 많은 경우(대규모 네트워크에서는 수백만 개 단위가 되기도 함) 더욱 그렇다.

취약점은 갑옷에 난 구멍과 같다. 구멍은 당장 문제가 되지 않더라도 언젠가는 문제를 일으킬 가능성이 높다. 최선은 다른 사람이 예를 들어 그 구멍으로 화살을 쏘는 등의 공격을 하기 전에 구멍을 막는 것이다. 문제는 사이버보안의 경우 취약점 수가 많다는 점이다.

거의 모든 것이 취약점이 되고 네트워크 보안의 골칫거리가 될 수 있다. 패치되지 않은 운영체제, 또는 오래된 소프트웨어 버전을 실행하는 프로그램과 애플리케이션, 현대적 네트워크에 연결된 격리된 애플리케이션은 흔히 볼 수 있는 취약점이다.

좀더 앞서 나가는 공격자는 아무도 모르는 악용 가능한 취약점을 찾아내 아직 알려지지 않은 갑옷의 구멍을 공격할 수 있다. 때로는 사용자가 취약점으로 간주되기도 한다. 현재 피싱과 같은 표적 공격은 대부분 사용자가 방어를 해제해 공격의 문을 열어주도록 기만하므로 이런 현상이 더욱 두드러진다.

취약점 관리 소프트웨어
이와 같은 중대한 상황에서 혁신적인 4가지 취약점 관리 툴이 어떻게 대처하는지 살펴보자.

1. 케나 시큐리티
케나 시큐리티(Kenna Security)의 취약점 관리 플랫폼은 보호 대상 네트워크에 해를 입힐 가능성이 있는 가장 위험한 취약점을 우선 처리하도록 설계됐다. 주요 위협 피드를 모니터링하고 이 데이터를 보호 대상 네트워크 내의 자산과 비교한다.

케나 플랫폼은 소프트웨어 서비스(SaaS) 모델로 배포된다. 사용자는 연간 사용료를 내고 자신에게 있는 취약점 데이터를 수집하는 보안 사이트에 로그인한다. 케나가 수집하는 데이터는 플랫폼 전반의 보안을 개선하는 데 사용되므로 이 플랫폼을 구매하는 조직이 많아질수록 대처할 수 있는 위협도 많아진다. 현재 케나는 전 세계에 걸쳐 20억 개의 취약점을 추적하며 이 수는 매일 늘어나고 있다.

2. 크로스보
때로는 공격이 최선의 방어인 경우도 있다. 보안 업체 사이드(SCYTHE)는 이를 원칙으로 취약점 평가 플랫폼 크로스보(Crossbow)를 만들었다. 소프트웨어 서비스(SaaS) 또는 구내 설치를 통해 구축되는 크로스보는 가상 위협 샌드박스로, 관리자가 워너크라이(WannaCry), 골든아이(Goldeneye), 핵스도어(Haxdoor)와 같은 과거의 실제 공격을 로드하거나 새 위협을 직접 만들 수 있다. 이런 공격을 로드 또는 만든 다음 보호 대상 네트워크로 전송해서 취약점을 탐색하는 방식이다.

크로스보는 지금까지 본지가 살펴본 가장 위험한 방어 프로그램 가운데 하나다. 로드하거나 만드는 모든 공격은 과거 많은 조직의 사이버 보안 방어를 뚫었던 실제 기술과 기법을 사용하는 실제 공격이다. 페이로드만 중화되지만 그나마 옵션이다.

결과적으로 크로스보는 취약점에 접근해 이를 평가하고 테스트하고 관리하기 위한 가장 현실적인 툴이다. 군대로 비유하자면 시뮬레이션보다 실제 사격 훈련에 가깝다. 크로스보의 가상 위협 사격은 실제 사격이기 때문이다.

3. 리스크 패브릭
많은 취약점 관리 프로그램은 비핵심 자산에 대한 중대 위협을 우선순위에서 높게 배치하고 정작 조직에 큰 피해를 입힐 수 있는 위협을 한참 아래에 배치해 IT 팀의 노력을 낭비한다. 프로그램의 잘못이 아니다. 다만 맥락을 모를 뿐이다. 이는 취약점 관리 분야에서 큰 문제 가운데 하나이며 베이 다이나믹스 리스크 패브릭(Bay Dynamics Risk Fabric) 프로그램은 바로 이 문제를 해결하도록 설계됐다.

리스크 패브릭에 대해 차세대 취약점 관리 툴이라는 표현은 적합하지 않다. 순수 스캔 결과에 실제 맥락을 추가함으로써 IT 팀은 문제를 신속하게 수정하지 않을 경우 발생하는 잠재적 비용을 포함, 네트워크 내에 숨은 진정한 위험을 훨씬 더 정확히 볼 수 있다.

4. CAWS 지속적 보안 검증 플랫폼
NSS 랩(NSS Labs)의 CAWS 지속적 보안 검증 플랫폼(CAWS Continuous Security Validation Platform)은 네트워크를 목표로 하는 위협 요소를 찾아 수정하는 일을 전문으로 하는 테스트 연구소다. 이 프로그램을 사용하는 고객은 제품의 두 가지 형태(퍼블릭 또는 프라이빗) 가운데 하나를 선택할 수 있다. 둘 모두 방어를 계획하고 취약점을 관리할 때 큰 도움이 된다.

SMB나 네트워크 규모가 작은 조직을 위한 CAWS 퍼블릭 인스턴스는 방어를 뚫을 수 있는 실질적 위협을 IT 팀에 경고해주는 유용한 툴이다. 포천 500대 기업, 금융기관, 정부 조직 및 대규모 네트워크를 운영하거나 공격자들이 노리는 중대한 네트워크를 운영하는 경우 더 고가인 프라이빗 서비스가 유리하다.

프라이빗 서비스는 보호 대상인 실제 네트워크의 완벽한 미러를 제공한다. 막대한 피해를 입히는 위협이 이 미러 네트워크를 공격하도록 두면 된다. 테스트 네트워크를 공격할 뿐이므로 무력화할 필요도 없다. 실제 네트워크에는 아무런 위험 없이 대신 맞으면서 취약점을 드러나게 하므로 강력한 보안이 필요한 네트워크에 매우 유용한 툴이다. editor@itworld.co.kr