사이버 보안, 예측에서 증명으로의 패러다임 전환

과거 사이버 보안은 마치 견고한 성벽을 쌓는 건축 설계와 같았습니다. 꼼꼼한 계획, 문서화된 절차, 그리고 정기적인 감사 체크리스트를 통해 ‘이론적으로’ 안전한 환경을 구축하는 데 집중했지요. 하지만 이러한 방식은 끊임없이 진화하는 공격자들의 맹렬한 압력 앞에서 한계를 드러내곤 했습니다. 공격자들은 설계도에 관심이 없습니다. 그들은 오직 어디서 균열이 발생하고, 어디가 무너질 수 있는지에만 집중합니다. 이런 상황에서 ‘Breach and Attack Simulation (BAS)’은 단순한 보안 점검을 넘어, 실제 환경에서 방어 체계가 어떻게 반응하는지를 ‘증명’하는 핵심적인 수단으로 자리매김했습니다. 더 이상 보안은 추측이나 희망에 기반해서는 안 됩니다.

최근 Picus Breach and Simulation (BAS) Summit에서 여러 연구원, 실무자, CISO들은 한목소리로 사이버 방어의 핵심은 더 이상 예측이 아니라 증명이라는 메시지를 던졌습니다. 새로운 취약점이 공개되면 공격자들은 몇 분 안에 인터넷을 스캔하고, 일단 발판을 확보하면 측면 이동(Lateral Movement)은 눈 깜짝할 사이에 이루어집니다. 만약 우리 방어 체계가 이러한 실제 공격 기법에 대비해 테스트되지 않았다면, 우리는 그저 희망하는 것에 불과합니다. 최고 경영진(Boardroom)은 새로운 익스플로잇이 트위터에 올라온 바로 그 순간부터 답변을 원합니다. “다음 주에 알려드리겠습니다”라고 말할 시간이 없어진 지 오래입니다. 이제 우리에게 남은 시간은 며칠이 아닌 몇 시간뿐입니다. BAS는 더 이상 연례적인 규정 준수 활동이 아니라, 매일매일 우리 방어의 유효성을 실시간으로 확인하는 필수적인 ‘전압 테스트’가 된 것입니다.

BAS, 체크리스트를 넘어선 실전 방어의 핵심

오랜 기간 동안 보안은 건축과 같은 접근 방식을 취했습니다. 시스템을 설계하고, 구축하고, 검사하고, 인증하는 체크리스트 기반의 방식이 주를 이루었습니다. 하지만 공격자들은 결코 이러한 계획에 동의하지 않습니다. 그들은 마치 물리학처럼 끊임없는 압력을 가하여 방어 체계가 꺾이거나 부서질 때까지 밀어붙입니다. 그들에게는 청사진이 중요한 것이 아니라, 구조물이 어디서 실패하는지가 핵심입니다. 물론 모의 침투 테스트(Pentest)도 여전히 중요하지만, 이는 특정 시점의 스냅샷일 뿐 변화하는 위협에 대한 지속적인 대응력을 보여주기 어렵습니다.

여기서 BAS의 진정한 가치가 빛을 발합니다. BAS는 단순히 설계를 인증하는 것이 아니라, 실제 환경에서 방어 체계의 ‘반응’을 스트레스 테스트합니다. 안전하고 통제된 방식으로 실제 공격자 행동을 재현하여, 우리의 방어 시스템이 예상대로 반응하는지, 아니면 중요한 순간에 무력화되는지를 명확하게 보여줍니다. SANS의 수석 강사 크리스 데일(Chris Dale)이 지적했듯이, BAS는 “잠재력이 아닌 반응을 측정”합니다. 즉, “어디에 취약점이 있는가?”라고 묻는 대신 “공격이 가해졌을 때 무슨 일이 발생하는가?”에 답을 주는 것입니다. 침해 자체가 아니라, 침해의 ‘영향’이 발생했을 때 우리는 진정으로 패배하기 때문입니다.

자신을 아는 것이 실질적인 방어의 시작

적을 시뮬레이션하고 에뮬레이션하기 전에, 우리는 먼저 우리 자신을 정확히 이해해야 합니다. 보이지 않는 것은 방어할 수 없습니다. 이는 방치된 자산, 태그 없는 계정, 그리고 도메인 관리자 권한으로 여전히 실행 중인 오래된 스크립트 등 IT 인프라 운영팀이 흔히 놓칠 수 있는 부분들입니다. 실무에서는 이러한 ‘잊혀진’ 요소들이 가장 치명적인 공격 경로가 되는 경우가 많습니다.

다음 단계는 최악의 시나리오, 즉 가장 두려운 결과(Outcome)를 상정하고 역으로 방어 전략을 설계하는 것입니다. 예를 들어, 백업을 삭제하고 PowerShell을 악용하며 공유 드라이브를 통해 확산되는 Akira 랜섬웨어 공격을 가정해볼 수 있습니다. 이 공격 행위를 우리 환경 내에서 안전하게 재현해본다면, 우리의 방어 시스템이 해당 랜섬웨어 체인을 중간에 차단할 수 있는지 여부를 추측이 아닌 실제 데이터로 확인할 수 있습니다. 성숙한 BAS 프로그램은 두 가지 핵심 원칙을 따릅니다. 첫째, ‘결과 우선(Outcome first)’ 원칙입니다. 자산 목록이 아닌 예상되는 침해의 영향부터 시작하는 것이지요. 둘째, ‘기본 보라색(Purple by default)’ 원칙입니다. BAS는 단순히 공격(Red team)과 방어(Blue team)의 대결이 아니라, 인텔리전스, 엔지니어링, 운영팀이 함께 시뮬레이션하고 관찰하며 조정하고 재시뮬레이션하는 협력적인 프로세스입니다. Texas Mutual Insurance의 CISO인 존 삽(John Sapp)은 “검증을 주간 리듬으로 만든 팀들은 과거의 가설들이 증명으로 바뀌는 것을 목격하기 시작했다”고 강조했습니다.

AI의 역할은 ‘생성’보다 ‘큐레이션’이다

올해 컨퍼런스에서는 AI가 모든 곳에 등장했지만, 가장 가치 있는 통찰력은 AI의 ‘힘’이 아니라 ‘절제’에 관한 것이었습니다. 속도는 중요하지만, 출처와 정확성은 더 중요합니다. AI 모델이 페이로드를 즉흥적으로 만들거나 공격 행위에 대해 자체적으로 가정을 세우는 것을 원하는 사람은 아무도 없습니다. 실제 IT 인프라 보안팀이 마주하는 위협 데이터는 방대하고 비정형적입니다.

적어도 현재로서는 가장 유용한 종류의 AI는 무언가를 창조하는 AI가 아니라, 복잡하고 비정형적인 위협 인텔리전스를 방어팀이 실제로 활용할 수 있는 형태로 ‘정리(Curation)’하는 AI입니다. AI는 이제 단일 모델보다는 여러 전문가들의 ‘릴레이’처럼 작동하며, 각기 다른 역할과 중간 검증 단계를 가집니다. 계획자는 무엇을 수집해야 할지 정의하고, 연구원은 위협 데이터를 검증하고 보강합니다. 빌더는 정보를 안전한 에뮬레이션 계획으로 구조화하며, 검증자는 실행 전에 신뢰도를 확인합니다. 각 에이전트가 이전 단계를 검토함으로써 정확도를 높이고 위험을 낮추는 구조입니다. 한 가지 예시가 이를 완벽하게 요약합니다. “Fin8 캠페인 링크를 알려주면, MITRE 기술 매핑을 며칠이 아닌 몇 시간 안에 보여줄 수 있습니다.” 이는 더 이상 희망 사항이 아니라, 이미 운영 가능한 현실입니다. 과거 일주일이 걸리던 수동 교차 참조, 스크립트 작성, 검증 작업이 이제는 단 하루 만에 완료될 수 있습니다. 헤드라인을 보고 -> 에뮬레이션 계획을 세우고 -> 안전하게 실행하는 과정이 화려하진 않지만, 훨씬 빨라졌습니다.

BAS의 현장 증명, 일상적인 보안 운영의 필수 요소

Picus Summit에서 가장 기대되었던 세션 중 하나는 실제 환경에서의 BAS 라이브 시연이었습니다. 이는 단순한 이론이 아니라, 운영적인 증명이었습니다. 한 헬스케어 팀은 해당 산업의 위협 인텔리전스에 맞춰 랜섬웨어 체인을 실행하고, 탐지 및 대응 시간을 측정했습니다. 그리고 놓친 탐지 결과를 SIEM 및 EDR 규칙에 다시 반영하여 랜섬웨어 체인이 조기에 차단되도록 시스템을 개선했습니다.

또 다른 보험사는 주말 동안 BAS 파일럿을 운영하여 엔드포인트 격리가 실제로 작동하는지 검증했습니다. 이러한 시뮬레이션은 공격자가 악용할 수 있었던 ‘조용한’ 잘못된 구성(misconfiguration)을 사전에 발견하는 데 결정적인 역할을 했습니다. 결론은 명확했습니다. BAS는 더 이상 실험실 수준의 도구가 아니라, 일상적인 보안 운영의 필수적인 부분이 되어가고 있습니다. 리더십이 “이 위협으로부터 우리가 보호받고 있는가?”라고 물었을 때, 이제는 ‘의견’이 아닌 ‘증거’에 기반한 답변을 제시할 수 있게 된 것입니다.

‘모두 패치’ 대신 ‘중요한 것만 패치’하는 전략

컨퍼런스에서 가장 날카로웠던 순간 중 하나는 흔히 등장하는 경영진의 질문이었습니다. “모든 것을 패치해야 합니까?” 이에 대한 답변은 솔직하고 명확했습니다. “아니요.” BAS 기반 검증은 모든 것을 패치하는 것이 비현실적일 뿐만 아니라, 불필요하다는 것을 증명했습니다. 모든 IT 인프라 관리자가 공감하는 부분이겠지만, 수많은 시스템에 존재하는 모든 취약점을 빠짐없이 패치하는 것은 엄청난 자원 소모와 업무 부담을 야기합니다.

정말로 중요한 것은 ‘우리 환경에서 실제로 악용 가능한’ 취약점이 무엇인지 아는 것입니다. 취약점 데이터와 실제 제어 시스템의 성능을 결합함으로써, 보안팀은 점수 시스템이 아닌 실제 위험이 집중되는 곳을 정확히 파악할 수 있습니다. Picus의 공동 설립자이자 CTO인 볼칸 에르튀르크(Volkan Ertürk)는 “모든 것을 패치할 필요는 없습니다. 제어 검증을 활용하여 노출된 취약점의 우선순위 목록을 얻고, 당신에게 정말로 악용 가능한 부분에 집중해야 합니다”라고 말했습니다. 즉, 검증된 예방 및 탐지 체계로 보호되는 CVSS 9.8점짜리 취약점은 실제 위험이 적을 수 있지만, 노출된 시스템의 중간 심각도 취약점은 실제 공격 경로를 열어줄 수 있다는 것입니다. ‘가정에 기반한 패치’에서 ‘증거에 기반한 패치’로의 전환은 이번 행사의 핵심적인 메시지 중 하나였습니다. BAS는 어디에 문제가 있는지 전체를 알려주는 대신, ‘우리에게 무엇이 위협이 되는가’를 정확히 알려주며, 지속적 위협 노출 관리(CTEM)를 이론에서 전략으로 전환시키는 데 기여합니다.

BAS, CTEM의 핵심 동력으로 작동하다

Gartner의 지속적 위협 노출 관리(CTEM) 모델은 “평가(Assess), 검증(Validate), 동원(Mobilize)”의 세 단계로 이루어져 있습니다. 이 모델은 검증이 ‘지속적’이고 ‘상황적’이며 ‘행동’으로 이어질 때만 진정으로 작동합니다. 바로 이 지점에서 BAS가 핵심적인 역할을 수행합니다. BAS는 독립적인 도구가 아니라, CTEM의 정직성을 유지하는 엔진과 같습니다. 노출 점수를 제공하고, 제어 엔지니어링을 안내하며, 기술 스택과 위협 환경이 변화함에 따라 보안 민첩성을 유지시켜 줍니다.

최고의 팀들은 BAS 검증을 마치 심장 박동처럼 규칙적으로 실행합니다. 모든 변경 사항, 모든 패치, 모든 새로운 CVE는 또 다른 검증의 파동을 촉발합니다. 이것이 바로 ‘지속적인 검증’이 의미하는 바입니다. 복잡한 시스템의 변경사항이 빈번한 IT 인프라 환경에서 이러한 지속적인 검증은 필수적입니다. 단 몇 주 만에 가치를 증명한 사례들도 많습니다. 대부분의 팀은 한두 가지 범위(예: 재무 엔드포인트 또는 특정 프로덕션 클러스터)를 선택하고 이를 보호하는 제어 시스템을 매핑하는 것부터 시작합니다. 그 다음 데이터 암호화와 같은 현실적인 공격 목표를 설정하고, 이를 달성할 수 있는 최소한의 TTP(전술, 기술, 절차) 체인을 구축합니다. 안전하게 실행하여 예방 또는 탐지가 실패하는 지점을 확인하고, 중요한 부분을 수정하고, 다시 실행하는 과정을 반복하는 것입니다. 이러한 반복 루프는 놀랍도록 빠르게 가속화됩니다. 3주차에는 AI 기반 워크플로우가 이미 위협 인텔리전스를 갱신하고 안전한 공격 시나리오를 자동 생성하고 있었습니다. 4주차에는 검증된 제어 데이터와 취약점 발견 사항이 통합되어 경영진이 한눈에 파악할 수 있는 노출 스코어카드까지 생성되었습니다. 팀원들이 전날 적용된 규칙 덕분에 시뮬레이션된 킬 체인이 중간에 멈추는 것을 목격하는 순간, 모든 것이 명확해졌습니다. BAS는 더 이상 일회성 프로젝트가 아니라, 그들의 일상적인 보안 실무의 핵심이 된 것입니다.

보안의 미래는 ‘증명’에 달려있다

과거의 사이버 보안은 믿음에 기반했지만, 이제 Breach and Attack Simulation (BAS)은 이러한 믿음을 ‘증명’으로 대체하고 있습니다. 마치 회로에 전류를 흘려보내 어디서 회로가 끊기는지 확인하는 것과 같습니다. AI는 작업의 속도를 높여주고, 자동화는 규모를 확장시켜 줍니다. 그리고 검증은 가장 중요한 ‘진실’을 가져다줍니다. BAS는 이제 단순히 보안에 대해 이야기하는 방식이 아니라, 보안의 효과를 ‘증명’하는 핵심적인 방법이 된 것입니다. IT 인프라 팀에게 BAS는 복잡한 시스템의 취약점을 선제적으로 파악하고, 방어 체계를 지속적으로 강화하며, 제한된 자원을 가장 효율적인 곳에 배분할 수 있도록 돕는 강력한 도구입니다. 더 이상 “만약을 대비하여” 패치하는 것이 아니라, “확실하게 증명된” 위험에 집중하여 보안을 운영할 수 있게 되었습니다.

참고: THE DEATH OF THE SECURITY CHECKBOX: BAS IS THE POWER BEHIND REAL DEFENSE – The Hacker News, 2025