[보안 101] 더보기 ▶

매달 하나의 주제를 선정해 질문을 던지며, 보안에 한 걸음 더 가까이 다가갑니다.
복잡하고 어렵게 느껴질 수 있는 보안 지식을 초보자도 쉽게 이해할 수 있도록, 기초 개념부터 최신 이슈까지 차근차근 풀어갑니다.

보안이 알고 싶을 땐, 보안 101으로 시작해 보세요.
물음표를 느낌표로 바꾸는 여정을 이글루코퍼레이션이 함께합니다.

조직의 IT 환경은 날로 복잡해지고 있습니다. 온프레미스뿐 아니라 클라우드, SaaS, 원격접속 환경, API, 외부 협력사 연계 서비스까지 보안 관리 대상이 빠르게 확대되고 있기 때문입니다. 이에 따라 조직이 관리해야 할 공격 표면도 넓어지고, 취약점·잘못된 설정·과도한 권한·미관리 자산 등 다양한 보안 이슈가 지속적으로 발생하고 있습니다.

문제는 발견되는 모든 이슈를 같은 우선순위로 처리할 수 없다는 점입니다. 보안팀은 제한된 시간과 인력 안에서 어떤 문제를 먼저 해결해야 하는지 판단해야 합니다. 단순히 취약점 점수가 높다는 이유만으로 우선 대응하기보다 해당 노출이 실제 공격에 활용될 수 있는지, 조직의 핵심 서비스나 데이터에 어떤 영향을 줄 수 있는지를 함께 살펴봐야 합니다.

이처럼 공격자가 악용할 수 있는 지점을 지속적으로 확인하고, 실제 위험이 큰 항목부터 줄여 나가기 위한 운영 방식이 바로 CTEM(Continuous Threat Exposure Management), 즉 지속적 위협 노출 관리입니다.

01. CTEM(지속적 위협 노출 관리)이란?

---

CTEM(지속적 위협 노출 관리)은 조직의 공격 표면 전반에서 보안 노출을 지속적으로 식별하고, 실제 위협으로 이어질 가능성을 검증한 뒤, 우선순위에 따라 대응까지 연결하는 선제적 보안 관리 체계입니다. 여기서 말하는 ‘노출(Exposure)’은 소프트웨어 취약점에만 한정되지 않습니다. 인터넷에 공개된 자산과 서비스, 잘못된 클라우드 설정, 불필요하게 유지된 계정, 과도한 권한, 외부에 노출된 인증 정보, 관리되지 않는 도메인과 시스템 등 공격자가 침해에 활용할 수 있는 다양한 조건을 포함합니다. CTEM의 핵심은 보안 이슈를 많이 찾아내는 데 있지 않습니다. 조직의 비즈니스와 서비스 환경을 고려해, 실제 침해 가능성이 높고 피해 규모가 클 수 있는 노출을 먼저 가려내고 개선하는 데 있습니다. 이를 통해 조직은 변화하는 공격 표면을 지속적으로 점검하고, 발생 가능한 위험을 사전에 줄임으로써 사이버 위협에 대한 대응력과 복원력을 강화할 수 있습니다.

02. CTEM은 기존 취약점 관리와 무엇이 다른가요?

---

기존 취약점 관리(Vulnerability Management)는 시스템과 애플리케이션에서 발견된 취약점을 식별하고, 기술적 심각도에 따라 패치 또는 설정 변경을 수행하는 데 초점을 둡니다. 이는 보안 운영의 중요한 기반이며, CTEM 역시 이러한 활동을 필요로 합니다. 다만 CTEM은 주기적인 취약점 점검이나 단발적인 조치에서 한단계 더 나아가, 시시각각 변화하는 보안 위협을 실시간으로 파악하고 대응하는 체계적인 보안 전략입니다. 또한 CTEM은 개별 취약점의 심각도만으로 대응 순서를 정하지 않습니다. 자산의 중요도, 외부 노출 여부, 공격자의 접근 가능성, 계정과 권한의 연결 관계, 기존 보안 통제의 효과 등을 함께 고려해 실제 위험도를 판단합니다.

예를 들어 인터넷에 노출된 웹 서비스에서 중간 수준의 취약점이 발견됐다고 가정해 보겠습니다. 해당 취약점만 놓고 보면 긴급 조치 대상이 아닐 수 있습니다. 그러나 이 서비스가 관리자 계정과 연결돼 있고, 그 계정이 핵심 시스템에 접근할 수 있는 권한을 보유하고 있다면 이야기는 달라집니다. 공격자에게는 하나의 취약점이 단순한 시스템 침해가 아니라, 더 중요한 자산으로 이동하기 위한 시작점이 될 수 있기 때문입니다.

이처럼 CTEM은 “어떤 취약점이 존재하는가”를 넘어, “이 노출이 실제 침해로 이어질 수 있는가”를 중심으로 대응 우선순위를 판단합니다. 또한 CTEM은 취약점 관리나 공격 표면 관리(ASM), 보안 통제 검증을 대체하는 개념이라기보다, 여러 보안 활동을 하나의 위험 감소 목표 아래 연결하는 운영 프레임워크에 가깝습니다. 취약점 관리가 기술적 결함을 찾고 조치하는 활동이라면, CTEM은 그 결과를 바탕으로 조직이 먼저 줄여야 할 위험을 결정하는 방식이라고 볼 수 있습니다.

03. CTEM은 어떤 프로세스로 진행되나요?

---

CTEM은 일회성 진단이나 정기 점검으로 끝나지 않습니다. 조직 환경의 변화에 따라 새롭게 생기는 노출을 확인하고, 실제 위험을 검증하며, 개선 결과를 다시 운영에 반영하는 반복 구조로 이루어집니다. 가트너(Gartner)는 CTEM의 작동 단계를 ▲범위 설정(Scoping), ▲노출 식별(Discovery), ▲우선순위화(Prioritization), ▲검증(Validation), ▲개선 실행(Mobilization)의 다섯 단계로 설명합니다.

① 범위 설정(Scoping)

먼저 조직이 우선적으로 보호해야 할 대상과 관리 범위를 정합니다. 고객 정보, 대외 서비스, 인증 시스템, 핵심 업무 시스템, 주요 운영 인프라 등 침해 사고 발생 시 조직의 비즈니스에 큰 영향을 줄 수 있는 영역이 우선 대상이 됩니다. CTEM은 모든 자산을 동일하게 다루기보다 조직의 중요한 업무와 자산을 기준으로 관리의 출발점을 설정합니다.

② 노출 식별(Discovery)

그 다음은 설정된 범위 안에서 공격자가 활용할 수 있는 노출을 찾아내는 단계입니다. 조직이 이미 알고 있는 자산과 취약점뿐만 아니라, 관리 목록에 포함되지 않은 외부 노출 시스템이나 미식별 자산까지 함께 확인합니다. 이 단계의 목적은 단순한 자산 목록화를 넘어 해당 자산에 영향을 미치는 모든 위험을 사전에 파악하는 데 있습니다. 조직의 실제 공격 표면을 가능한 한 정확하게 이해해야, 공격자가 악용할 수 있는 취약점과 노출 지점을 선제적으로 식별하고 대응할 수 있습니다.

③ 우선순위화(Prioritization)

식별된 모든 노출을 동일하게 처리하지 않고, 실제 위험이 큰 항목부터 우선순위를 정합니다. 이때 취약점의 기술적 심각도 외에도 자산의 중요도, 외부 노출 여부, 악용 가능성, 권한 수준, 비즈니스 영향 등을 함께 고려합니다. 이를 통해 보안팀은 수많은 이슈 가운데 조직에 가장 큰 피해를 줄 수 있는 항목에 대응 역량을 집중할 수 있습니다.

④ 검증(Validation)

우선순위가 높은 노출이 실제로 공격에 활용될 수 있는지 확인하는 단계입니다. 해당 노출이 공격 경로의 일부가 될 수 있는지, 기존 보안 통제가 이를 차단할 수 있는지, 조치가 필요한 수준의 위험인지 검토합니다. 검증은 단순히 기술적으로 문제가 존재하는지를 재확인하는 과정이 아닙니다. 조직이 실제로 감수하고 있는 위험을 구체화하고, 불필요한 대응 부담을 줄이는 과정입니다.

⑤ 개선 실행(Mobilization)

검증된 고위험 노출은 실제 개선 활동으로 연결되어야 합니다. 이 단계에서는 패치 적용, 설정 변경, 권한 축소, 불필요한 계정 정리, 접근 통제 강화, 네트워크 분리 등 위험을 줄이기 위한 구체적인 조치를 수행합니다. 동시에 자산 담당 조직과 조치 책임자를 명확히 지정해, 발견된 노출이 실제 개선으로 이어질 수 있도록 관리해야 합니다.

여기서 중요한 것은 조치 요청을 전달하는 데서 끝나지 않는다는 점입니다. 개선 이후 해당 노출이 실제로 해소됐는지, 공격자가 악용할 수 있었던 조건이 제거됐는지까지 확인해야 합니다. 다시 말해 CTEM은 노출을 발견하고 보고하는 활동에 머무르지 않습니다. 식별된 위험이 실질적으로 줄어들었는지를 반복적으로 확인하고, 그 결과를 다시 운영에 반영하는 지속적 보안 관리 사이클입니다.

04. CTEM이 주는 이점은 무엇인가요?

---

CTEM의 이점은 단순히 더 많은 취약점이나 보안 이슈를 발견하는 데 있지 않습니다. 조직이 실제로 줄여야 할 위험을 선별하고, 공격자가 활용할 수 있는 노출을 지속적으로 줄여 나간다는 데 있습니다. 특히 공격 표면이 넓어지고 보안 경보가 증가하는 환경에서 CTEM은 보안팀이 제한된 자원을 보다 효과적으로 활용할 수 있도록 돕습니다. 조직은 미관리 자산과 외부 노출 지점을 지속적으로 확인해 보안 사각지대를 줄이고, 발견된 노출이 실제 공격으로 이어질 가능성을 기준으로 대응 우선순위를 정할 수 있습니다.

또한 CTEM은 취약점, 자산, 권한, 위협 정보, 조치 결과를 하나의 흐름으로 연결함으로써 보안 운영을 보다 체계적으로 만듭니다. 이를 통해 단발성 점검이나 개별 이슈 대응에 그치지 않고, 변화하는 IT 환경과 위협에 맞춰 위험을 반복적으로 확인하고 개선할 수 있습니다. 그 결과 조직은 공격자가 활용할 수 있는 경로를 지속적으로 축소하고, 보안 사고 발생 가능성을 낮추며, 위협이 현실화되기 전에 선제적으로 대응할 수 있는 기반을 마련할 수 있습니다. 나아가 침해 가능성을 줄이는 것은 물론, 사고 발생 시에도 더 빠르게 대응하고 회복할 수 있는 사이버 복원력 강화로 이어집니다.

05. CTEM 운영에서 SOC는 왜 중요한가요?

---

CTEM은 솔루션 하나를 도입한다고 완성되는 체계가 아닙니다. 발견된 노출이 실제 위험으로 이어지는지 판단하려면 여러 보안 요소가 하나의 맥락 안에서 연결되어야 합니다. 특정 노출이 어떤 서비스와 관련되어 있는지, 외부에 열려 있는지, 어느 수준의 대응이 필요한지까지 파악할 수 있어야 실제 개선 활동으로 이어질 수 있기 때문입니다. 이러한 판단과 실행의 흐름이 일회성 점검에 그치지 않으려면, 변화하는 IT 환경과 위협 정보를 지속적으로 관찰하고 운영에 반영할 중심 조직이 필요합니다. CTEM 프레임워크에서 그 역할을 수행하는 조직이 바로 보안운영센터, SOC(Security Operations Center)입니다.

SOC는 기존에도 보안 이벤트를 모니터링하고 침해 여부를 분석·대응하는 역할을 수행해 왔습니다. CTEM 환경에서는 여기에 더해, 공격 표면에서 확인된 노출과 실제 보안 이벤트, 위협 인텔리전스, 자산 정보를 함께 분석해 우선 대응이 필요한 위험을 식별합니다. 이후 조치가 이루어진 뒤에는 해당 위험이 실제로 줄어들었는지 확인하고, 그 결과를 다시 운영에 반영하는 역할을 맡을 수 있습니다. 결국 CTEM의 가치는 노출을 얼마나 많이 발견했는지가 아니라, 발견된 위험을 얼마나 지속적으로 줄여 나가느냐에 달려 있습니다. SOC는 이 과정에서 위험 판단과 개선 흐름을 이어주는 운영 주체로서, CTEM이 실제 보안 성과로 이어지도록 만드는 핵심 역할을 합니다.

💌 후속 콘텐츠, 계속 받아보세요 ▶