강병탁 AI스페라 대표
“금융권 보안은 이제 악성 IP 차단만으로는 부족하며, 익명 IP와 공격 인프라까지 함께 식별하지 못하면 공격 징후 자체를 초기에 포착하기 어렵다.”
4월 9일 여의도 콘래드서울호텔 6층 스튜디오4에서 열린 ‘금융권 내·외부 보안 위협 가시화 및 대응 전략’ CISO 조찬세미나에서 강병탁 AI스페라 대표는 금융권 보안이 더 이상 내부 통제만으로 완결되지 않는다고 진단했다. 이날 행사는 데일리시큐와 쿼드마이너, AI스페라가 공동 주최했으며 금융사 CISO 30여 명이 참석했다.
강 대표는 금융권 보안의 시선을 내부 사용자 행위와 거래 이상 징후에만 묶어둘 수 없다고 강조했다. 공격은 사용자 단말에서만 시작되는 것이 아니라 외부 공격 인프라에서 출발하는 경우가 많기 때문에, 로그인과 접속이 이뤄지는 단계에서 익명 IP와 우회 인프라, 외부 노출 자산을 함께 식별해야 한다는 것이다. 그는 FDS, 제로트러스트, 위협 인텔리전스, 공격표면관리(ASM)를 따로 운영할 것이 아니라 하나의 연속된 대응 체계로 봐야 한다고 설명했다.
이날 강연은 크게 네 갈래로 이어졌다. 액티브X 제거 이후 금융권 FDS가 어디까지 진화해야 하는지, 보안 솔루션 자체가 왜 공급망 리스크가 되는지, 제로트러스트가 갖는 현실적 한계는 무엇인지, 그리고 이를 보완하기 위해 ASM이 어떤 역할을 해야 하는지를 차례로 짚었다. 강 대표는 특히 금융권이 지금까지 상대적으로 익숙했던 내부 통제 중심 사고에서 벗어나, 외부에 노출된 공격면을 실시간으로 확인하고 보완하는 운영 체계로 전환해야 한다고 강조했다.
데일리시큐 주최 CISO 조찬세미나에서 강병착 AI스페라 대표가 강연을 진행하고 있다.
FDS 이후 금융권이 먼저 봐야 할 것은 익명 IP와 공격 인프라
강 대표는 금융권이 최근 FDS 고도화를 가장 큰 과제로 고민하고 있지만, 단순히 솔루션을 추가하는 방식으로는 한계가 있다고 설명했다. 무엇보다 먼저 봐야 할 것은 악성 IP만이 아니라 익명 IP라고 했다. 악성 IP는 이미 악성코드 유포나 취약점 악용, 악성 링크 배포 등 공격 행위와 연결된 인프라를 뜻하지만, 익명 IP는 VPN, 프록시, 토르, 호스팅 기반 인프라처럼 사용자의 실제 위치와 정체를 흐리는 접속 경로를 의미한다는 것이다. 금융권이 두 범주를 같은 개념으로 보면 안 된다는 점을 분명히 했다.
그는 특히 방탄호스팅처럼 신고를 무시하거나 법 집행을 회피하며 운영을 지속하는 공격 친화적 인프라도 금융권이 반드시 살펴야 할 대상으로 언급했다. 금융 서비스에서 이상거래를 판단하는 시점은 점점 뒤로 밀리고 있지만, 실제 공격은 접속 이전 단계에서 이미 시작되는 경우가 많기 때문이다. 이 때문에 금융권은 거래 결과만 분석하는 구조에서 벗어나, 접속 자체의 출발점과 배경을 함께 분석하는 방향으로 FDS를 확장해야 한다고 설명했다.
강 대표는 결국 금융권의 FDS가 단순 이상행위 탐지 도구를 넘어, 위험 인프라를 식별하고 추가 인증이나 차단까지 연계하는 구조로 진화해야 한다고 봤다. 사용자 행동만 보는 방식으로는 선제 대응이 어렵고, 공격 인프라 분석과 접속 맥락 분석이 함께 움직여야 실제 초동 대응 속도를 높일 수 있다는 것이다.
보안 솔루션이 뚫리면 그 자체가 공급망 리스크
강연의 두 번째 축은 공급망 리스크였다. 강 대표는 공급망 해킹을 이미 설치된 프로그램 악용, 배포 인프라와 관리자 시스템 장악, 외부 컴포넌트 및 오픈소스 패키지 오염의 세 가지로 나눠 설명했다. 이 가운데 금융권이 특히 민감하게 봐야 할 부분으로 보안 솔루션 자체의 외부 노출 문제를 꼽았다.
강 대표는 현장에서 DLP, SFTP 서버, 메일 보안 솔루션, 데이터베이스 계정 노출 사례 등을 언급하며, 생각보다 많은 보안 솔루션과 관리 시스템이 외부에 드러나 있거나 기본적인 계정 관리가 허술한 상태라고 지적했다. 그의 설명에 따르면, 보안 솔루션 관리자 영역은 조직 전체를 움직일 수 있는 통제 지점이다. 이 지점이 노출되면 공격자는 단말 하나하나를 뚫지 않아도 정책을 바꾸고, 탐지를 무력화하고, 설정과 에이전트를 배포하며, 로그를 조작해 사고를 숨길 수 있다. 강 대표가 “보안 솔루션이 뚫리면 거기가 엄청난 공급망 구멍이 된다”고 말한 이유도 여기에 있다.
그는 금융권처럼 여러 보안 제품을 동시에 운영하는 환경일수록 이 문제를 더 엄중하게 다뤄야 한다고 강조했다. 외부에 노출된 관리자 페이지를 상시 탐지하고, 접근제어와 다중인증을 기본으로 적용하며, 인터넷에서 보이는 노출 상태를 지속적으로 점검하는 체계가 필요하다는 것이다.
제로트러스트도 만능은 아냐… 관리자 페이지와 협력사, 방치 자산의 사각지대
강 대표는 제로트러스트 자체를 부정하지는 않았다. 다만 제로트러스트를 도입했다고 해서 외부 공격면 문제가 자동으로 사라지는 것은 아니라고 선을 그었다. 그는 VPN과 제로트러스트 모두 외부에서 최초 인증을 위한 중개 시스템이 필요하다는 점에서 공통점이 있으며, 결국 외부에서 접속받는 포트와 게이트웨이가 존재하기 때문에 설정과 패치가 미흡하면 기존 VPN과 유사한 공격표면 문제가 발생할 수 있다고 설명했다. 특히 개별 보안회사의 자체 게이트웨이 서버나 기업의 자체 프록시 서버 기반 구조라면 이런 문제는 더 직접적으로 나타날 수 있다고 지적했다.
그는 제로트러스트의 대표적 약점으로 관리자 페이지를 꼽았다. 강력한 인증 체계를 도입하더라도 관리자 페이지가 뚫리면 OTP가 없는 계정을 새로 만들거나 권한 체계를 우회하는 방식으로 내부 접근이 가능해질 수 있다는 설명이다. 또 최근에는 계정 없이도 명령이 실행되는 취약점이 잇따라 등장하고 있어, 계정 기반 권한 통제만으로는 막기 어려운 구간도 분명히 존재한다고 했다.
협력사 리스크도 금융권이 놓치기 쉬운 부분으로 지목했다. 금융회사가 내부 통제를 강화해도 협력사를 쓰지 않을 수 없고, 실제 업무와 데이터는 협력사 시스템과 연결되는 경우가 많다. 문제는 사고가 터졌을 때 시장과 고객은 협력사 이름보다 금융회사 이름을 먼저 기억한다는 점이다. 결국 협력사 보안 문제는 곧 금융회사 신뢰 문제로 돌아온다는 것이다. 강 대표는 금융권이 내부 시스템만 관리하는 시야에서 벗어나 협력사까지 포함한 외부 노출 상태를 함께 봐야 한다고 설명했다.
그는 또 방치된 자산 문제를 함께 짚었다. 제로트러스트는 현재 알고 있는 자산을 기준으로 정책을 적용하는 체계이기 때문에, 보안팀이 존재 자체를 모르는 자산이나 누락된 자산까지 스스로 찾아내는 데는 한계가 있다는 것이다. 실제 운영이 길어질수록 신규 서비스와 서버, 예외 규칙이 늘어나면서 정책은 점차 느슨해지고, 결국 넓게 허용하는 구조로 퇴행할 위험이 있다고 진단했다.
AI 대화형 ASM, 보고서형 점검이 아니라 실시간 운영 도구
강 대표는 이런 한계를 보완할 현실적인 도구로 ASM을 제시했다. 다만 단순 보고서형 ASM으로는 부족하다고 했다. 무료형이나 일회성 점검 서비스는 대체로 포트 기반 탐지에 머무르는 경우가 많은데, 실제 공격표면은 그것보다 훨씬 복잡하다는 것이다. 데이터베이스 포트가 외부에 직접 열려 있지 않아도 웹 애플리케이션 취약점을 통해 내부 구조와 정보가 노출될 수 있기 때문에, 단순 스캔 결과만으로는 운영 현장의 위협을 제대로 설명하기 어렵다고 말했다.
그는 ASM의 본질을 “기업이 모르고 있던 자산을 먼저 찾아내는 것”이라고 설명했다. 보안팀이 알지 못한 채 사업부가 새 서버를 만들거나, 종료된 줄 알았던 서비스가 외부에 남아 있거나, 관리 범위 밖 자산이 인터넷에 노출돼 있는 상황을 먼저 포착해야 한다는 것이다. 이런 자산을 찾아내야 제로트러스트 정책도 현실에 맞게 보완할 수 있고, 예외 규칙이 누적되며 생기는 허점을 줄일 수 있다고 강조했다.
강 대표는 특히 최근 ASM이 AI 대화형 방식으로 진화하고 있다는 점을 강조했다. 보안팀이 복잡한 쿼리를 직접 작성하는 대신, “우리 회사가 새 취약점 영향 대상인지 확인해달라”거나 “클라우드에 노출된 우리 회사 서버를 찾아달라”는 식으로 자연어로 질문하면 AI 에이전트가 전체 자산을 탐색해 결과를 내주는 구조가 중요해지고 있다는 것이다. 금융권 CISO에게 필요한 것은 단순 점검 보고서가 아니라, 이슈 발생 시 “문제없다” 또는 “특정 서버가 문제다”라고 즉시 답을 줄 수 있는 실시간 분석 체계라고 그는 설명했다.
리액트 기반 서비스도 공격표면 관리 대상
강 대표는 발표 말미에 프론트엔드 구조 변화와 리액트 기반 서비스도 새로운 공격표면 문제로 연결될 수 있다고 짚었다. 디지털 서비스가 빠르게 고도화되면서 프론트엔드와 API 중심 구조가 늘고 있지만, 보안 패치를 적용했다고 해서 공격표면 자체가 사라지는 것은 아니라는 설명이다. 이미 배포된 서버, 이미 열려 있는 내부 API, 이미 노출된 관리자 기능, 이미 알려진 URL은 그대로 남아 있을 수 있기 때문이다.
그는 서비스가 종료된 줄 알았던 화면과 정적 자산이 외부에 계속 남아 있는 문제도 함께 관리해야 한다고 말했다. 화면을 구성하는 파일이 CDN이나 오브젝트 스토리지, 정적 웹 호스팅 환경에 그대로 남아 있으면, 백엔드 기능을 정리했더라도 공격자 입장에서는 여전히 유용한 정보와 접근 경로가 남게 된다. 금융권도 서비스 전환과 개편이 빨라질수록 종료된 페이지와 정적 자산까지 포함한 전체 외부 노출 상태를 관리해야 한다는 것이다.
금융 보안은 더 이상 내부 인증 체계와 거래 이상 탐지만으로 완전하지 않다. 익명 IP와 공격 인프라를 먼저 보는 시야, 보안 솔루션 자체의 외부 노출을 점검하고, 제로트러스트의 빈틈을 현실에서 검증하는 장치, 그리고 협력사와 방치 자산까지 포함한 공격표면 통제가 함께 가야 한다는 것이다. 강 대표는 금융권 보안이 이제 내부 중심 방어에서 외부 노출 기반의 현실형 운영 체계로 넘어가야 한다고 강조했다.
댓글
0