[지속적 위협 관리①] 취약점, 빠르게 발견하는 것이 급선무

버그바운티로 알려지지 않은 취약점 식별해 조치

오펜시브 시큐리티로 공격자 관점 공격 시도

[데이터넷] 지난달 전 세계 여러 기업·기관에 영향을 미친 비욘드트러스트의 원격코드실행(RCE) 취약점(CVE-2026-1731)은 2024년 미국 재무부 해킹에 악용된 같은 솔루션의 취약점 CVE-2024-12356과 유사한 것으로 보인다. 팔로알토 네트웍스는 비욘드트러스트 원격접속 및 제어 솔루션 ‘RS(Remote Support)’, ‘PRA(Privileged Remote Access)’에 영향을 미치는 이 두 취약점이 입력값 검증 부족(Insufficient Validation)으로 인한 것이라는 사실을 경계해야 한다고 설명했다. 또한 이번에 발견된 취약점 공격에서 발견된 백도어 중 SparkRAT는 오픈소스로 공개되어 있기 때문에 언제든지 유사 공격이 발생할 갓능성도 있다.

10년 전 취약점이 공격에 악용

이 사고에 주목해야 하는 이유는 동일 제품에서 유사한 취약점이 반복적으로 발견되고 있다는 사실과 함께, 취약점이 알려지고 개념증명(PoC)이 공개된지 24시간도 지나지 않아 해당 취약점을 표적으로 삼은 정찰이 시작됐기 때문이다. 이는 취약점 공개 후 24시간 내에 패치해야 공개된 취약점을 악용하는 시도를 막을 수 있다는 뜻이다.

그러나 조직은 취약점 패치 시 다른 시스템에 영향을 미치거나 시스템 중단으로 이어지는 것을 막기 위해 업무시간이 아닌 야간이나 새벽, 주말 등을 이용해 패치한다. 취약점 우선순위가 낮거나 보안 조직이 인지하지 못한 경우, 관리가 소홀한 경우 몇 달, 혹은 몇 년이 지나도 패치되지 않는 경우가 있다.

취약점이 공개되고 CVE 번호를 부여받았지만 실제로 공격에 이용되지 않는 경우도 많다. 취약점을 발현시키기 어렵거나 영향을 받는 시스템이 극히 적을 경우, 중요도가 낮아서 공격할 필요가 없는 경우를 대표적으로 들 수 있다.

그런데 이러한 취약점이 수년 후 공격에 악용될 수 있다. 해당 취약점을 이용해 중요 시스템으로 이동할 수 있거나, IT 환경이 변경되어 취약점 발현이 용이해질 경우, 다른 취약점과 함께 사용해 공격 효과를 높일 수 있게 되면 공격자들이 악용한다.

래피드7이 2025년 3분기 악용된 CVE 53개를 분석한 결과, 10개의 취약점은 1년 이상 지난 취약점이었다. 그중에는 6766일(약 18.5년), 4347일(약 11.9년) 등 10년 이상 된 취약점도 있었다. 래피드7은 공격자가 오래된 취약점과 최신 취약점을 복합적으로 사용하면서 공격하고 있다고 설명했다.

수년간 공격에 악용되고 있었음에도 이를 인지하지 못하는 사례도 있다. ‘델 가상머신용 리커버포인트(Dell RecoverPoint for Virtual Machines)’에서 CVSSv3.1 점수 10.0 수준의 심각한 취약점이 공개됐는데, 구글 클라우드 맨디언트는 이 취약점을 이용해 중국 연계 그룹이 2024년부터 이를 악용한 공격을 펼쳐왔다고 설명했다. VPN 등 네트워크 엣지 장비를 대상으로 위협 캠페인을 벌여온 UNC6201에 의해 진행된 것으로 보인다.

취약점 관리 전략/ 팔로알토 네트웍스

버그바운티로 알려지지 않은 취약점 신속하게 발굴

취약점이 없는 완전 무결한 IT 시스템은 없다. 그래서 공격자보다 먼저 취약점을 발견하고 조치하는 것이 필요하다. 특히 공개되지 않은 취약점을 찾아내는 것이 필수다. 이에 버그바운티(Bug Bounty) 프로그램이 활발하게 진행되고 있다. 버그바운티는 IT 제품의 취약점을 찾아 제보하면 포상하는 프로그램으로, IT 솔루션 및 서비스 제공업체, 공공기관에서 적극적으로 운영하고 있다.

우리나라에서는 한국인터넷진흥원(KISA), 금융보안원, 국가정보원 등에서 공공·민간을 대상으로 정기·상시 버그바운티를 운영하고 있으며, 네이버, 카카오, 삼성전자, 토스 등 대기업도 자체 프로그램을 통해 취약점 발굴에 나선다. 안랩, 지니언스 등 보안 기업도 독자적인 프로그램을 운영하거나 KISA의 ‘소프트웨어 취약점 신고 포상제’에 파트너로 참여해 자사 제품의 보안성을 점검받는다.

버그바운티에 대한 인지도가 높아지면서 화이트해커와 기업을 연결시켜주는 플랫폼도 경쟁을 시작했다. 버그바운티 플랫폼은 기업과 화이트해커 사이에 지켜야 할 규칙을 정의하고, 포상금 지급을 보장하며, 화이트해커의 커리어 관리를 도와준다. 기업이 화이트해커의 제보 내용을 검증하고 포상금 지급 기준을 제안하며, 화이트해커 모집을 용이하게 한다. 기업의 특성에 따라 공개형, 혹은 선별된 전문가만 참여하도록 하는 방식으로 기업 맞춤형 매칭 프로그램을 제공한다.

글로벌 버그바운티 플랫폼 시장의 리더인 해커원(HackerOne)이 2025년 유넷시스템즈와 파트너십을 체결하고 국내에서 활동을 시작했다. 해커원은 전 세계 240만 명 이상의 검증된 화이트해커가 365일 24시간 실제 공격자 관점에서 기업의 서비스와 인프라를 점검한다. 이를 통해 알려지지 않은 취약점과 비즈니스에 직접적인 영향을 미칠 수 있는 고위험 취약점을 조기에 발견하고 대응할 수 있다.

해커원은 ‘AI 레드티밍(AI Red Teaming)’ 서비스도 제공한다. 전문 리서처가 AI 모델 탈옥, 정책 우회, 논리적 오류를 검증한다. AI 분석 엔진 ‘하이(Hai)’를 통해 보고서 작성과 위험 우선순위화를 자동화해 대응 시간을 단축시킨다. AWS, 앤트로픽 등 글로벌 AI 선도 기업이 활용하고 있다.

해커원을 국내에 공급하는 유넷시스템즈는 20년 이상의 보안·인증·네트워크 보안 경험을 바탕으로 오펜시브 시큐리티(Offensive Security) 시장 공략을 위해 해커원과 파트너십을 체결했다. 유넷시스템즈는 AI·클라우드로 인해 확장되는 공격표면의 위험을 해결하기 위해 해커원의 버그바운티와 취약점 공개 프로그램(VDP), AI 레드티밍 서비스를 공급하고 있다. 이 서비스는 기업·기관의 능동적·지속적 보안 체계 구축에 도움을 줄 것이라고 강조한다.

오펜시브 시큐리티로 조직 보안 수준 평가

노출관리와 신규 취약점 발굴 노력을 적극적으로 수행한다 해도 ‘공격자가 절대 침투할 수 없는 완벽한 보안’은 불가능하다. 방대한 IT 시스템과 복잡한 공급망 생태계의 한 지점 이상에 제거되지 않은 취약점, 방치된 자산, 설정오류, 부적절한 구성, 과도한 권한 등의 문제가 있다. 따라서 지속적인 침투 테스트와 레드팀 테스트를 통해 해결되지 않은 취약점을 찾아내고 조직의 대응 능력을 확인하며 부족한 부분을 조치해야 한다. 가트너는 2028년까지 핵심 애플리케이션에 대한 CTEM 프레임워크에 침투 테스트를 통합하는 조직은 파괴적인 사이버 침해에 직면할 가능성을 35% 줄일 수 있다고 전망했다.

이를 위한 프로그램이 ‘오펜시브 시큐리티’이다. 공격자의 기술로 보안 시스템과 체계를 평가하는 전략으로, 침투테스트, 레드티밍, 취약점 분석, 버그바운티 등이 포함된다. 조직의 취약한 부분을 공격자가 악용하기 전에 미리 찾아 조치하고, 실제 조직의 보안 수준을 평가해 보완하며, 보안 시스템의 대응 능력을 확인하고 개선한다.

엔키화이트햇의 ‘오펜(OFFen)’이 이를 구현할 수 있는 플랫폼으로, 대규모 자산을 자동으로 식별·분석하고, 자동화 기술과 화이트해커의 전문 분석을 유기적으로 결합해 ASM, 모의해킹 및 침투테스트, 레드팀 프로젝트까지 실전 수준의 보안 진단과 대응을 지원한다. 적응형 스캔 기반 공격표면 탐지 및 LLM 기반 침투테스트 기술로 국가 신기술(NET) 인증을 획득했으며, 보안 진단·분석·탐지 분야에서 20건 이상의 특허를 확보하고 있다.

엔키화이트햇은 보안 이론·실습 교육부터 워게임, CTF 운영까지 아우르는 통합 보안 교육 플랫폼 ‘오펜 캠프(OFFen CAMP)’도 제공한다. 이 플랫폼을 이용하면 실무자와 교육생은 기초부터 심화까지 다양한 난이도의 학습 콘텐츠를 체계적으로 학습할 수 있으며, 최신 보안 기술을 익히고, 반복적인 실전 대응 훈련을 할 수 있다.

Tag

#취약점

#제로데이 취약점

#버그바운티

#해커원

#유넷

#오펜시브 시큐리티

#엔키화이트햇

저작권자 © 데이터넷

김선애 기자

다른기사 보기