열다섯 번째 발걸음진단 도구의 발견을 확인 가능한 판단으로 바꾸기

진단 결과가 빨간색이라고 모두 침해 사고인 것은 아니며, 결과가 비어 있다고 안전을 증명한 것도 아닙니다. 도구는 정해진 위치와 방법, 권한과 데이터로 관찰합니다. 무엇을 볼 수 있었는지와 어떤 판단을 했는지를 구분하는 것이 기본입니다. 먼저 자산과 정상 구성을 알고 있어야 발견한 서비스나 패키지가 업무에 필요한지, 실제로 영향을 받는지 검토할 수 있습니다.

Nmap은 네트워크를 통해 호스트와 포트의 응답을 관찰하고, 옵션에 따라 서비스나 버전을 추정하는 데 쓰입니다. open은 해당 관찰에서 요청을 받을 서비스가 있음을, closed는 도달했지만 그 방식의 서비스가 듣고 있지 않음을 나타냅니다. filtered는 필터링 등의 이유로 열림 여부를 판단하기 어려운 상태입니다. 이 값은 포트에 영원히 붙은 성질이 아니라 관찰 위치·시각·검사 방식에 따른 결과입니다. 버전 탐지도 응답에 근거한 추정이므로 공급자의 패치 정보와 설치 상태를 함께 확인합니다.

nmap -sT -sV -p 22,443,8080 192.0.2.10

PORT       STATE     SERVICE
22/tcp     filtered  ssh
443/tcp    open      https
8080/tcp   closed    http-proxy

서비스가 발견되면 “열린 포트니까 취약하다” 대신 업무 목적과 도달 범위를 확인합니다. 공개 웹 서비스의 443과 인터넷에 노출된 관리용 포트는 목적이 다릅니다. 스캐너에 관리자 자격 정보를 제공하여 내부 설정을 읽는 인증 기반 진단과, 밖에서 응답만 보는 진단의 확인 범위도 다릅니다. 검사로 생길 부하와 계정 사용, 대상 범위는 운영 조건에 맞추어 정해야 하며, 결과에는 그 조건을 남깁니다.

Trivy 같은 도구는 컨테이너 이미지나 구성 요소의 알려진 취약점, 설정 문제와 노출된 비밀 등을 정해진 검사 기능으로 찾는 데 쓰입니다. 모든 검사가 모든 실행 모드에서 자동으로 수행되는 것은 아니므로 대상과 사용한 검사 종류를 기록합니다. 알려진 취약점 식별자인 CVE가 나왔다면 영향받는 구성 요소, 설치·수정 버전, 사용 여부와 노출을 확인합니다. 알려지지 않은 결함이나 업무 권한의 논리 오류를 이 목록만으로 배제할 수는 없습니다.

ScoutSuite는 클라우드 제공자의 API로 구성 정보를 수집해 보안 관점에서 검토하는 도구입니다. 게스트 메모리나 애플리케이션 소스 전체를 분석하는 도구와 확인 범위가 다릅니다. 제공한 조회 권한 밖의 자원은 보지 못할 수 있고, 여러 계정·리전 중 일부만 검사했다면 그 범위를 결과에 표시해야 합니다. 설정 정보도 민감할 수 있으므로 진단용 권한과 결과 파일을 관리합니다. 두 도구의 차이는 이름을 비교하는 데서 끝나지 않고 무엇을 증거로 판단했는지의 차이입니다.

예방과 관찰을 함께 두기

단말 보호 제품을 묶어 EPP라고 부르며 악성코드 차단, 행위 통제 등 예방 기능을 포함할 수 있습니다. EDR은 프로세스·파일·연결 등의 단말 활동을 수집하여 탐지·조사·대응을 돕습니다. 실제 제품은 두 기능을 함께 제공하기도 하므로 “백신은 파일만 보고 EDR은 모든 공격을 잡는다”는 식으로 구분하지 않습니다. EDR의 기록 수집과 차단 정책, 격리 권한이 올바르게 운영되어야 효과가 나며, 수집되지 않은 활동까지 자동으로 볼 수는 없습니다.

중요 시스템 파일의 변경 감시도 유용합니다. 신뢰한 시점의 해시와 속성을 기준으로 현재 상태를 비교하는 파일 무결성 감시는 예상치 못한 변화를 찾습니다. 기준 파일까지 같은 권한으로 바꿀 수 있으면 비교의 신뢰가 약해집니다. 정상 패치에 따른 변경도 있으므로 변경 승인 기록과 함께 해석합니다. 도구가 대신할 수 없는 마지막 질문은 늘 같습니다. 무엇이 달라졌고, 왜 달라졌으며, 그 결과가 업무와 보호 목표에 맞을까요?

참고　[55] · [56] · [57] · [58] · [59] · [60]