취약성 관리 라이프사이클이란 무엇인가요?

매달 미국 국립표준기술연구소(NIST)에서는 2,000개가 넘는 새로운 보안 취약점을 국가 취약점 데이터베이스에 추가합니다. 보안 팀은 이러한 모든 취약점을 추적할 필요는 없지만 시스템에 잠재적인 위협이 되는 취약점을 식별하고 해결할 수 있는 방법은 필요합니다. 이것이 바로 취약성 관리 라이프사이클의 존재 이유입니다.

일반적인 라이프사이클 라운드는 다음과 같은 5단계로 구성됩니다.

1. 자산 재고 및 취약성 평가.
2. 취약성 우선순위 지정.
3. 취약성 해결.
4. 검증 및 모니터링.
5. 보고 및 개선.

취약성 관리 라이프사이클을 통해 조직은 취약성 관리에 대한 보다 전략적인 접근 방식을 취함으로써 보안 태세를 개선할 수 있습니다. 보안팀은 새로운 취약점이 나타날 때마다 대응하는 대신 시스템의 결함을 적극적으로 찾아냅니다. 조직은 위협 행위자가 공격하기 전에 가장 중요한 취약점을 파악하고 보호 조치를 취할 수 있습니다.

취약성이란 해커가 회사에 피해를 입히기 위해 악용할 수 있는 네트워크나 자산의 구조, 기능 또는 구현상의 보안 약점을 말합니다.

취약점은 자산 구성의 근본적인 결함으로 인해 발생할 수 있습니다. 인기 있는 Java 라이브러리의 코딩 오류로 인해 해커가 피해자의 컴퓨터에서 원격으로 맬웨어를 실행할 수 있었던 악명 높은 Log4J 취약성의 경우가 한 예입니다. 다른 취약성은 민감한 데이터를 공용 인터넷에 노출시키는 잘못 구성된 클라우드 스토리지 버킷과 같은 인적 오류로 인해 발생합니다.

모든 취약점은 조직에 위험 요소입니다. IBM의 X-Force Threat Intelligence Index에 따르면 공개 앱의 취약점 악용은 가장 일반적인 사이버 공격 벡터 중 하나입니다. 

해커들이 사용할 수 있는 취약성이 점점 더 많아지고 있습니다. 이에 따라 기업들은 취약성 관리를 사이버 위험 관리 전략의 핵심 요소로 삼고 있습니다. 취약성 관리 라이프사이클은 끊임없이 변화하는 사이버 위협 환경에서 효과적인 취약성 관리 프로그램을 위한 공식적인 모델을 제공합니다. 조직은 이 라이프사이클을 도입함으로써 다음과 같은 이점을 얻을 수 있습니다.

• 사전 예방적 취약점 발견 및 해결: 기업은 해커가 취약점을 악용할 때까지 취약점에 대해 알지 못하는 경우가 많습니다. 취약점 관리 라이프사이클은 지속적인 모니터링을 중심으로 구축되어 보안 팀이 공격자보다 먼저 취약점을 찾을 수 있습니다.
  
  
• 전략적 리소스 할당: 매년 수만 개의 새로운 취약점이 발견되지만 조직과 관련된 취약점은 극히 일부에 불과합니다. 취약점 관리 라이프사이클은 기업이 네트워크에서 가장 중요한 취약점을 정확히 찾아내고 수정을 위해 가장 큰 위험의 우선순위를 지정하는 데 도움이 됩니다.
  
  
• 보다 일관된 취약성 관리 프로세스: 취약성 관리 라이프사이클은 보안 팀이 취약성 발견부터 수정 및 그 이후까지 반복 가능한 프로세스를 따를 수 있도록 합니다. 프로세스가 일관적일수록 더 일관된 결과를 얻을 수 있으며, 이를 통해 기업은 자산 재고, 취약성 평가 및 패치 관리와 같은 주요 워크플로를 자동화할 수 있습니다.

네트워크에서는 언제든지 새로운 취약성이 발생할 수 있으므로 취약성 관리 라이프사이클은 일련의 개별 이벤트가 아닌 지속적인 루프입니다. 라이프사이클의 각 라운드는 다음 라운드로 바로 이어집니다. 한 라운드에는 일반적으로 다음 단계가 포함됩니다.

0단계: 계획 및 사전 작업

엄밀히 말하면 계획과 사전 작업은 취약성 관리 라이프사이클 전에 이루어지므로 '0단계'라고 합니다. 이 단계에서 조직은 다음을 포함하여 취약성 관리 프로세스의 중요한 세부 정보를 확인합니다.

• 참여하게 될 이해관계자와 이들이 맡게 될 역할
  
  
• 인력, 툴, 자금 등 취약점 관리에 사용할 수 있는 리소스
  
  
• 취약점의 우선순위 지정 및 대응을 위한 일반 지침
  
  
• 프로그램의 성공을 측정하기 위한 메트릭

조직은 라이프사이클의 매 라운드가 시작되기 전에 이 단계를 거치지 않습니다. 일반적으로 기업은 공식적인 취약성 관리 프로그램을 시작하기 전에 광범위한 계획 및 사전 작업 단계를 수행합니다. 프로그램이 준비되면 이해관계자는 필요에 따라 전체 지침과 전략을 업데이트하기 위해 정기적으로 계획 및 사전 작업을 다시 검토합니다.

1단계: 자산 검색 및 취약성 평가

공식적인 취약성 관리 라이프사이클은 조직 네트워크에 있는 모든 하드웨어 및 소프트웨어의 카탈로그인 자산 재고로 시작됩니다. 재고에는 공식적으로 승인된 앱과 엔드포인트가 포함되며 직원이 승인 없이 사용하는 모든 섀도우 IT 자산도 포함됩니다.

새로운 자산이 회사 네트워크에 정기적으로 추가되기 때문에 자산 재고는 라이프사이클의 모든 라운드 전에 업데이트됩니다. 기업은 종종 공격 표면 관리 플랫폼과 같은 소프트웨어 툴을 사용하여 재고를 자동화합니다.

자산을 식별한 후 보안 팀은 자산의 취약성을 평가합니다. 팀은 자동화된 취약성 스캐너, 수동 침투 테스트, 사이버 보안 커뮤니티의 외부 위협 인텔리전스 등 다양한 툴과 방법을 조합하여 사용할 수 있습니다.

라이프사이클의 모든 라운드에서 모든 자산을 평가하는 것은 번거로울 수 있으므로 보안 팀은 일반적으로 일괄적으로 작업합니다. 라이프사이클의 각 라운드는 특정 자산 그룹에 초점을 맞추며, 더 중요한 자산 그룹은 더 자주 스캔을 받습니다. 일부 고급 취약성 스캔 도구는 모든 네트워크 자산을 실시간으로 지속적으로 평가하여 보안 팀이 취약성 검색에 더욱 동적인 접근 방식을 취할 수 있도록 지원합니다.

2단계: 취약성 우선순위 지정

보안팀은 평가 단계에서 발견한 취약성의 우선순위를 정합니다. 우선순위 지정을 통해 팀이 가장 중요한 취약성을 먼저 해결할 수 있습니다. 이 단계는 또한 팀이 위험성이 낮은 취약성에 시간과 리소스를 쏟는 것을 방지하는 데 도움이 됩니다. 

취약성의 우선순위를 지정하기 위해 팀은 다음 기준을 고려합니다.

• 외부 위협 인텔리전스의 중요도 등급: 여기에는 MITRE의 공통 취약점 및 노출(CVE) 목록 또는 공통 취약점 점수 시스템(CVSS)이 포함될 수 있습니다.
  
  
• 자산 중요도: 중요 자산의 중요하지 않은 취약성은 덜 중요한 자산의 중요 취약성보다 우선순위가 높은 경우가 많습니다. 
  
  
• 잠재적 영향: 보안 팀은 해커가 특정 취약점을 악용할 경우 비즈니스 운영에 미치는 영향, 재정적 손실 및 법적 조치 가능성을 포함하여 발생할 수 있는 상황을 평가합니다.
  
  
• 악용 가능성: 보안 팀은 해커가 실제로 적극적으로 사용하는 알려진 익스플로잇의 취약점에 더 많은 주의를 기울입니다.
  
  
• 거짓 긍정: 보안 팀은 리소스를 할당하기 전에 취약성이 실제로 존재하는지 확인합니다.

3단계: 취약성 해결

보안 팀은 가장 심각한 취약성부터 심각도가 가장 낮은 취약성까지 우선순위가 지정된 취약성 목록을 토대로 작업합니다. 조직은 취약성을 해결하기 위해 다음과 같은 세 가지 옵션을 사용할 수 있습니다.

1. 수정: 운영 체제 버그 패치, 잘못된 구성 수정, 네트워크에서 취약한 자산 제거 등 취약점을 완전히 해결하여 더 이상 악용될 수 없도록 합니다. 수정이 항상 가능한 것은 아닙니다. 일부 취약점의 경우 발견 시점에 완전한 수정이 불가능한 경우도 있습니다(예: 제로데이 취약점). 다른 취약점의 경우 수정에 너무 많은 리소스가 필요할 수 있습니다.
   
   
2. 완화: 취약성을 악용하기 더 어렵게 만들어 취약성을 완전히 제거하지 않고 악용의 영향을 줄입니다. 예를 들어, 웹 애플리케이션에 더 엄격한 인증 및 권한 부여 조치를 추가하면 해커가 계정을 도용하는 것이 더 어려워집니다. 확인된 취약성에 대한 사고 대응 계획을 수립하면 사이버 공격의 피해를 완화할 수 있습니다. 보안 팀은 일반적으로 수정이 불가능하거나 비용이 엄청나게 많이 드는 경우 완화 방법을 선택합니다. 
   
   
3. 수용: 일부 취약성은 영향이 너무 적거나 악용될 가능성이 낮아 이를 수정해도 비용 효율적이지 않을 수 있습니다. 이러한 경우 조직은 취약성을 수용하도록 선택할 수 있습니다.

4단계: 검증 및 모니터링

보안 팀은 완화 및 수정 노력이 의도한 대로 작동했는지 확인하기 위해 방금 작업한 자산을 다시 스캔하고 다시 테스트합니다. 이러한 감사의 주요 목적은 보안 팀이 알려진 모든 취약성을 성공적으로 해결했는지 확인하고 완화 및 수정으로 인해 새로운 문제가 발생하지 않았는지 확인하는 것입니다.

이 재평가 단계의 일환으로 보안 팀은 네트워크를 보다 광범위하게 모니터링합니다. 팀은 마지막 스캔 이후에 새로 생긴 취약성, 더 이상 사용되지 않는 오래된 완화 조치 또는 조치가 필요할 수 있는 기타 변경 사항을 찾습니다. 이러한 모든 결과는 다음 라운드의 라이프사이클을 결정하는 데 도움이 됩니다.

5단계: 보고 및 개선

보안 팀은 발견된 취약성, 취한 해결 조치 및 결과를 포함하여 라이프사이클의 가장 최근 라운드의 활동을 문서화합니다. 이러한 보고서는 경영진, 자산 소유자, 규정 준수 부서 등을 포함한 관련 이해관계자와 공유됩니다. 

보안 팀은 또한 가장 최근의 라이프사이클 라운드가 어떻게 진행되었는지에 대해서도 되돌아봅니다. 팀은 평균 탐지 시간(MTTD), 평균 대응 시간(MTTR), 총 중요 취약성 수 및 취약성 재발률과 같은 주요 메트릭을 살펴볼 수 있습니다. 보안 팀은 이러한 메트릭을 시간 경과에 따라 추적함으로써 취약성 관리 프로그램의 성과에 대한 기준을 설정하고 시간이 지남에 따라 프로그램을 개선할 수 있는 기회를 파악할 수 있습니다. 라이프사이클의 한 라운드에서 얻은 교훈을 통해 다음 라운드를 더 효과적으로 진행할 수 있습니다.