[공급망 위협⑤] 비즈니스 영향도 맞춘 자산·취약점 관리 필요

급증하는 취약점, 실제 공격 가능성·비즈니스 영향도 파악해 관리해야

버그바운티 통한 신규 취약점 발굴 필수···AI-사람 협업 모델로 정확도 높여

[데이터넷] 공급망 공격과 제3자 위협이 가장 심각한 보안 리스크로 부상하고 있다. 소프트웨어 공급망뿐 아니라 파트너사, IT·인력 공급업체 등 조직과 연결된 제3자를 통한 위협도 갈수록 확대되는 상황이다. 최근 다양한 위협 사례를 통해 공급망 보안의 현실을 진단하고 대응 방안을 살펴본다.<편집자>

공급망 위협 방어는 조직 내·외부 취약성을 제거하는 것에서 시작해야 한다. 모든 자산을 식별하고, 자산의 보안 태세를 평가하며, 제거되지 않은 취약점을 해결해 공격표면을 제거하며 자사 보안 문제로 공급망의 다른 기업이 피해를 입지 않도록 해야 한다.

그런데 취약점과 공격표면 관리가 쉬운 것은 아니다. 가장 큰 문제는 관리해야 하는 자산과 취약점이 너무 많다는 것이다. IT 환경 변화에 따라 기업·기관이 사용하는 디지털 자산의 숫자와 종류는 정확하게 파악하기 어려운 상황이다. 특히 AI 사용이 늘어나면서 섀도우 AI로 인한 공격표면 확장도 심각한 문제로 떠오르고 있다.

다양한 취약점 관리 체계로 복잡성 더 높아져

취약점 문제는 더 심각하다. 지난해 등록된 신규 CVE는 4만8000개로 하루 평균 131개가 등록됐으며 그중 38%가 높은 위험도로 분류됐다. CVE 외에도 ENISA 취약점 데이터베이스(ENISA VDB), 유럽연합 컴퓨터 비상대응팀(CERT-EU)의 취약점 정보, 한국인터넷진흥원(KISA)의 사이버 보안 취약점 정보 포털(KNVD) 및 KISA 보호나라 취약점 정보 등 다양한 기관에서 취약점 정보를 제공하고 있다.

제로데이 취약점과 공급망 공격으로 인한 피해가 늘어나면서 취약점 공개 정책(VDP)도 새로 마련된다. VDP는 협력적 취약점 공개(CVD) 프로그램을 정책화 한 것으로, 보안 연구자가 준수해야 하는 사항과 탐지한 취약점에 대한 신고 및 처리 방법, 법적 책임과 보호, 발견된 취약점 조치 방안 등을 안내하는 정식 규정이다.

미국, 유럽 등에서 정책화되어 있으며, 우리나라에서는 AI 전략위원회가 2월 25일 로드맵을 의결하면서 공식 시작됐다. 공공기관은 국가정보원, 민간기업은 과학기술정보통신부가 주도하며, 올해 시범사업을 실시하고, 내년까지는 가이드라인 마련, 관련 지침 개정 등을 시행한다.

발견된 취약점이 모두 공격에 악용되는 것은 아니기 때문에 기업·기관은 운영중인 시스템 중에서 실제 비즈니스에 영향을 미치는 취약점을 찾아 조치해야 한다. 이를 위해 실제 위험도와 악용 가능성을 수치화한 공통 취약점 점수 시스템(CVSS)과 익스플로잇 예측 점수 시스템(EPSS)을 참고할 수 있다.

그러나 이 지표는 비즈니스 중요도, 운영 환경, 규제 요구사항 등 조직 고유의 맥락을 반영하지 않아 현실적이지 않다. 테너블은 실제 발생한 사고 중 52.9%가 중요도 점수가 낮은 것이었다고 설명한다.

네트워크·웹·API 취약점 심각도 분포/ 엣지스캔 ‘2026 취약점 현황 보고서’

점점 더 어렵고 복잡해지는 취약점 관리 문제를 해결하기 위해 악용 가능성 등 다양한 검증 체계를 기반으로 한 관리 프레임워크가 필요하다. 미국 국립표준기술연구소(NIST)는 취약점 데이터베이스(NVD) 운영 방식을 ‘선택과 집중 형 리스크 기반 모델’로 전환했다. CISA KEV 카탈로그를 통해 실제 공격에 악용된 것으로 확인된 취약점 중에서 정부 시스템에 직접적인 위협이 되는 취약점, 특히 국가 인프라에 중요한 소프트웨어 취약점을 가장 먼저 대응한다.

NIST가 모든 취약점을 처리할 수 없어 기업·유관기관과 협력하는 ‘NVD 컨소시엄’ 구성을 추진하며, 분석 작업을 분담하고 자동화된 시스템을 구축하여 장기적인 지속 가능성을 확보한다는 계획을 밝혔다. 이로 인해 보안 관리자는 NVD에만 의존하는 패치 우선순위 정책에서 벗어나 자사 조직에 실제 위협이 되는 것을 파악하고 조치해야 한다.

위드네트웍스는 비즈니스 영향도에 따른 우선순위를 제공하는 ‘위드VTM 3.0’으로 이 문제 해결을 돕는다. 위드VTM 3.0은 조직이 운영 중인 자산을 식별하고, 비즈니스 관점에서 취약점의 우선순위를 결정한다.

CVSS 뿐만 아니라 ▲자산의 비즈니스 중요도 (사용자가 정의한 가중치 적용) ▲네트워크상 위치(인터넷 노출 여부, DMZ, 내부망 등) ▲데이터 민감도(개인정보, 영업비밀 등 처리 여부) ▲실제 공격 발생 가능성 (위협 인텔리전스 기반) ▲공격 시 예상 피해 규모(가용성, 기밀성, 무결성 영향) ▲패치 적용 난이도 및 소요 시간 등의 다차원 분석으로 우선순위를 정하고, 보안조직이 효과적으로 취약점을 제거할 수 있도록 한다.

AI 기반 공격표면 관리 필수

취약점과 자산을 연결해 공격자 관점의 공격 표면을 찾는 ASM/EASM의 필요성도 높아지고 있다. 아이티언이 국내에 공급하는 AI 기반 EASM ‘수지비(SooJiBee)’는 AI를 이용해 실제 침해 가능성을 검증한다. 또한 자동 진단(AI Checker)과 검증(AI Validation) 모듈을 통해 AI 기반 공격에 악용될 수 있는 위협 요소를 자동 식별하고, 실제 공격 가능 여부까지 함께 검증한다.

위협 인텔리전스(TI)와 ASM의 결합으로 더 정확하게 공격 표면을 관리할 수 있다. AI스페라의 ‘크리미널IP(Criminal IP)’가 대표적인 예로, 대규모 악성 IP 및 도메인 데이터를 기반으로 악성 IP·도메인 탐지, AI 기반 취약점 자동 분석, 공격표면관리(ASM), 섀도우 IT 탐지 등을 제공한다.

이 서비스는 공급망 공격 대응 측면에서도 활용도가 높다. 접근통제가 미흡한 관리자 페이지 및 중앙관리 서버, 외부에 노출된 원격 접속 포트, 방치된 계정 권한 및 API 키 등 공격에 악용될 수 있는 요소를 사전에 식별해 공격 발생 이전 단계에서 차단할 수 있도록 지원한다. 아울러 불법 사이트 운영이나 디지털 저작권 침해 등 법적 리스크가 있는 활동을 탐지해 수사기관에 전달함으로써 안전한 디지털 생태계 조성에도 기여하고 있다.

한편 AI스페라는 자사 서비스에 AI와 사람의 전문성까지 결합시킨 ‘AITEM’으로 발전시킨다는 계획을 밝히기도 했다. AITEM은 지속적 위협 노출 관리(CTEM)에 AI와 사람 전문가 협업 서비스를 결합한 개념으로, AI 기반 자율형 보안운영센터(AI SOC)로의 진화를 가속화시킬 수 있다.

버그바운티·침투테스트로 제로데이 취약점 관리

공격자 관점의 침투테스트를 통해 보다 적극적인 취약점 관리 정책을 운영하는 것도 필요하다. 유넷시스템즈가 국내에 공급하는 버그바운티 플랫폼 ‘해커원’은 업계 최고의 보안 분석가를 통해 조직 전반의 침투 가능성과 공급망 취약점을 검증할 수 있다. AI 레드티밍을 통해 조직이 사용하는 AI 공급망으로 인한 위협도 막을 수 있다.

유넷시스템즈는 PKI 기반 인증 기술도 공급망 보호에 사용된다고 강조했다. 소프트웨어 개발부터 배포까지 전 과정의 무결성을 검증하고, API와 서비스 간 인증을 강화하며, 공급망 참여자 신원검증을 지원한다. 해커원을 연계해 지속적인 보안 테스트 자동화를 이룰 수 있다.

유넷시스템즈 보안연구소장인 신동규 부사장은 “업데이트 파일 감염, 오픈소스 라이브러리 악성코드 삽입, CI/CD 파이프라인 공격, 협력업체 및 제3자를 통한 피해 등 ‘신뢰된 공급망’을 악용한 공격이 늘어나는 이유는 공급망 전반의 신뢰 검증 체계가 없기 때문”이라며 “유넷시스템즈는 PKI 기반 인증 시스템과 해커원의 화이트해킹 역량을 결합해 공급망 전반의 위협을 지속적으로 점검하고 대응할 수 있다”고 설명했다.

유넷시스템즈는 단기적으로 인증서 자동화와 클라우드 PKI 확대를 추진하며, 중기 계획으로 제로 트러스트 통합 플랫폼 구축을 진행해 장기적으로는 AI 기반 인증 및 위협 대응에 나설 계획이다.

오펜시브 보안 기업 엔키화이트햇도 화이트해킹 역량을 기반으로 한 공급망 공격 위협 대응을 지원한다. 엔키화이트햇은 ‘오펜(OFFen)’ 플랫폼을 통해 공급망 공격의 시작 지점을 선제적으로 줄인다. 이 플랫폼은 화이트해커 전문 조직과 AI 기반 플랫폼을 결합한 것으로, AI가 1차로 광범위한 자산을 스캐닝해 의심 구간을 제시하고, 해커가 2차로 심층 검증해 실제 공격 가능성을 확정한다. 이를 통해 오탐은 줄이고, 고객이 지금 바로 조치해야 할 핵심 위협을 명확히 제시할 수 있다

구체적인 프로세스를 예로 들어 설명하면 오펜 ASM으로 보안팀이 미처 관리하지 못하던 테스트 서버, 서드파티 오픈 API, 외부 노출 호스트 등 그림자 자산을 상시 식별하고 위험도에 따라 우선순위를 제시한다. 위험도가 높은 자산은 오펜 PTaaS로 즉시 화이트해커에게 침투 가능 여부를 의뢰한다.

Tag