공격 표면이란 무엇인가?
사이버 보안에서 공격 표면(Attack Surface)이란 인가되지 않은 사용자가 시스템에 침투하여 데이터를 탈취하거나 손상시킬 수 있는 모든 잠재적 진입 지점을 의미합니다. 하드웨어, 소프트웨어, 네트워크 구성 요소 전반에 걸친 알려진 취약점, 미지의 취약점, 잠재적 위험 요소까지 모두 포함되며, 이를 '사이버 보안 매트릭스'라고 부르기도 합니다.
공격 표면이 작을수록 시스템을 보호하기가 훨씬 쉬워집니다. 따라서 IT 보안을 강화하는 핵심 전략 중 하나는 바로 이 공격 표면을 최소화하는 것입니다.
공격 표면을 줄이는 방법
1. 공격 표면 분석 실시
먼저 악용 가능한 모든 취약점을 파악하는 공격 표면 분석을 수행해야 합니다. 자산 관리 정책을 재점검하고, 사용하지 않는 서비스와 중복되거나 과도하게 허용된 규칙을 제거하여 시스템을 단순화하세요. 가장 취약한 지점부터 우선적으로 보강하는 것이 효과적입니다.
2. 최소 권한 원칙 적용
불필요한 서비스를 중지하고, 모든 계정과 프로세스에 최소 권한(Lowest Privilege) 설정을 적용하세요. 접근 제어(Access Control)는 공격 표면을 줄이는 대표적인 방법으로, 조직은 민감한 데이터와 리소스에 대한 외부 및 내부 접근을 엄격히 제한해야 합니다. 생체 인식, 접근 카드, 다중 인증(MFA) 등의 기술을 활용하면 더욱 안전합니다.
3. 패치 및 업데이트 유지
보안 시스템과 모든 소프트웨어를 최신 패치 상태로 유지하는 것이 매우 중요합니다. 정기적인 취약점 스캔을 실행하고, 새로운 소프트웨어 도입 시 증가하는 사이버 취약점을 지속적으로 관리해야 합니다.
4. 실행 코드와 진입 지점 최소화
공격 표면 축소 기법에는 신뢰할 수 없는 사용자가 접근할 수 있는 진입 지점을 줄이고, 실행 중인 코드의 양을 최소화하며, 자주 요청되지 않는 서비스를 제거하는 것이 포함됩니다.
공격 표면의 예시
공격 표면에 해당하는 대표적인 자산은 다음과 같습니다.
- 워크스테이션 및 노트북
- 네트워크 파일 서버
- 네트워크 애플리케이션이 실행되는 서버
- 기업 방화벽 및 스위치
공격 표면 vs 취약점 vs 공격 벡터
세 개념은 서로 밀접하게 연관되어 있지만 차이가 있습니다.
- 공격 표면(Attack Surface): 공격자가 침투할 수 있는 잠재적 지점의 총합
- 취약점(Vulnerability): 공격 표면 내에서 실제로 악용될 수 있는 약점. 공격 표면을 줄여도 취약점이 초래할 피해 자체가 사라지는 것은 아닙니다.
- 공격 벡터(Attack Vector): 시스템이나 네트워크에 무단으로 접근하기 위해 공격자가 사용하는 구체적인 경로나 방법
공격 표면의 세 가지 유형
공격 표면은 크게 세 가지로 분류할 수 있습니다.
- 디지털 공격 표면: 네트워크, 소프트웨어, 웹 애플리케이션 등 온라인상의 모든 진입 지점
- 물리적 공격 표면: 물리적으로 접근 가능한 장비, 단말기, 시설 등
- 사회공학(Social Engineering) 공격 표면: 피싱, 스미싱 등 사람의 심리적 취약점을 노린 공격 경로
보안 리스크 관리 및 감소 전략
체계적인 리스크 관리 프로세스 구축
평가, 계획, 설계, 구현으로 이어지는 종합적인 리스크 관리 및 컴플라이언스 프로세스를 구축하세요. 끊임없이 진화하는 새로운 위협을 지속적으로 모니터링하고 보안 체계를 업데이트하는 것이 필수입니다.
인터넷 보안 리스크를 줄이는 실천 방법
- 항상 최신 보안 패치 적용
- 외부로 나가는 데이터(Outgoing Data) 보호 및 암호화
- 강력한 비밀번호 사용과 비밀번호 관리 시스템 구축
- 정기적인 직원 보안 교육 실시
- 로그인 시도 횟수 제한
- 킬 스위치(Kill Switch) 설치 검토
보안 리스크는 완전히 제거할 수 있을까?
결론적으로 보안 리스크는 완전히 제거할 수 없습니다. 리스크 관리 전문가 Sean Clancy의 설명처럼, 리스크 완화란 공격 발생 전에 위협을 차단하거나, 강화된 보안으로 공격 기회를 없애거나, 공격이 성공했을 때의 피해 결과를 줄이는 것을 의미합니다. 통제(Control)와 위험 이전(Transference) 점수가 만족스러운 수준에 도달할 때까지 이 과정을 반복해야 합니다.
공격 표면 열거(Enumeration)란?
공격 표면 열거는 특정 애플리케이션과 그 사용자에 대한 구체적인 정보를 수집하여 대상 애플리케이션의 공격 표면을 정의하는 과정입니다. 이를 통해 보안 담당자는 예시와 도구 활용 가이드를 참고하여 체계적으로 취약점을 식별할 수 있습니다.