“이미 스캐너를 돌리고 있으니 충분해요.” 이 말을 들어본 적 있나요? 보안 분야에서 가장 흔하고, 가장 비싼 오해 중 하나입니다. 모의 침투 테스트(penetration testing)와 취약점 스캐닝(vulnerability scanning) 논쟁에서 두 가지는 서로 다른 역할을 하며, 이를 혼동하면 보안상 허점이 생깁니다.
취약점 스캔이 하는 일
스캐너는 알려진 약점 데이터베이스를 기반으로 시스템을 점검하는 자동화된 소프트웨어입니다. 오래된 라이브러리, 누락된 패치, 잘못 설정된 서버, 열린 포트 등을 확인합니다. 빠르고 저렴하며, 매주 돌려도 큰 부담이 없습니다.
이를 연기 감지기에 비유할 수 있습니다. 무언가 문제가 있을 수 있다고 알려줄 뿐입니다. 건물 전체에 불이 어떻게 번질지는 알려주지 않습니다.
모의 침투 테스트가 하는 일
펜테스트는 숙련된 사람(도구를 보조적으로 사용)이 공격자처럼 행동하는 것을 이용합니다. 단순히 약점 목록을 나열하지 않습니다. 이 약점들을 연결하여 사슬처럼 만듭니다. 여기에서 작은 정보 유출, 저기서의 취약한 권한 설정 등 여러 요소를 조합하면 갑자기 관리자 패널에 침입할 수 있게 됩니다.
이것이 핵심적인 차이입니다. 스캔은 개별적인 문제를 찾아냅니다. 펜테스트는 공격자가 그 문제들로 실제로 무엇을 할 수 있는지, 그리고 어떤 문제가 가장 중요한지를 보여줍니다.
명확한 차이점
- 깊이(Depth). 스캔은 표면에 머물며 알려진 패턴과 일치하는지 확인합니다. 펜테스트는 깊숙이 들어가 논리 자체를 테스트합니다.
- 수행 주체(Who does it). 스캔은 스스로 실행됩니다. 펜테스트는 창의적으로 생각하는 인간이 필요합니다.
- 오탐률(False positives). 스캐너는 많은 오탐을 발생시킵니다. 테스터는 보고하기 전에 발견된 사항들을 검증합니다.
- 비즈니스 로직(Business logic). 스캐너는 한 고객이 다른 고객의 데이터를 볼 수 없다는 논리적 제약을 알려줄 수 없습니다. 테스트 전문가는 할 수 있습니다.
- 비용 및 빈도(Cost and frequency). 스캔은 저렴하고 지속적입니다. 펜테스트는 비용이 더 들고 주기적으로 수행됩니다.
- 규정 준수 가중치(Compliance weight). 감사관이나 엔터프라이즈 구매자들은 종종 펜테스트를 요구합니다. 일반적인 스캔 결과만으로는 그들을 만족시키기 어렵습니다.
그렇다면 무엇이 필요할까요?
솔직히 말하자면? 둘 다, 다만 시기에 따라 다릅니다.
초기 단계이며 예산이 빠듯한가요? 정기적인 스캔부터 시작하세요. 적은 비용으로 명백한 취약점을 잡아낼 수 있습니다. Intruder 같은 도구가 이 단계에 적합하지만, 이것들이 수동 테스트를 대체할 수는 없는 단순 스캐너라는 점을 분명히 할 가치가 있습니다.
더 큰 고객과 계약하거나, 보안 설문지에 응답하거나, SOC 2 또는 ISO 27001 준비를 하게 되는 순간에는 제대로 된 침투 테스트(penetration test)를 추가해야 합니다. 그때는 누군가 보고서를 요구할 것이고, 스캔 결과물로는 부족합니다.
성숙한 제품은 보통 두 가지를 모두 수행합니다: 백그라운드에서 지속적인 스캐닝과 더불어 최소 연 1회 및 대규모 출시 후에 수동 침투 테스트를 진행하는 것입니다.
결정하기 쉬운 방법
어떤 질문에 답하려고 하는지 물어보세요.
- "패치가 누락되었거나 알려진 문제가 노출되어 있나요?" 이것은 스캔입니다.
- "누군가 실제로 우리 제품에 침입하여 고객 데이터에 접근할 수 있을까요?" 이것은 침투 테스트(pentest)입니다.
침투 테스트 파트너 선택하기
수동 테스트가 다음 단계라면, 테스트 깊이, 보고서 품질, 가격을 기준으로 공급업체를 비교하세요. SaaS 침투 테스트 서비스에 대한 저희의 개요는 주요 제공업체들이 어떻게 다른지 보여주며, 어떤 곳은 자동화에 치우치고 어떤 곳은 수동 작업에 치우치는지를 포함하므로, 스캐너 결과물에 침투 테스트 가격을 지불하지 않도록 도와줍니다.
피해야 할 실수들
- 스캔을 침투 테스트라고 부르는 것. 일부 공급업체가 그렇게 합니다. 실제 사람 테스터가 무엇을 했고 몇 시간 동안 작업했는지 물어보세요.
- 스캔 결과 발견된 취약점을 고치기 전에 침투 테스트를 하는 것. 스캐너가 잡아낼 것을 찾기 위해 테스터에게 돈을 지불하지 마세요.
- 재테스트를 절대 하지 않는 것. 수정 사항이 새로운 문제를 야기할 수 있습니다.
- 한 번 하고 잊어버리는 것. 제품은 끊임없이 변경됩니다. 테스트도 그에 맞춰야 합니다.
최종 생각
스캔은 커버리지(coverage)를 제공합니다. 침투 테스트는 깊이(depth)를 제공합니다. 둘 중 하나가 없으면 사각지대가 생깁니다. 현재 단계와 예산이 허용하는 것부터 시작하여, 두 가지 모두를 향해 구축하세요. 다음에 누군가 "저희는 스캐너를 돌리니 괜찮아요"라고 말할 때, 무엇을 물어봐야 할지 정확히 알게 될 것입니다.
자주 묻는 질문(FAQs)
취약점 스캔이 모의 침투 테스트(pentest)와 같은가요?
아닙니다. 스캔은 알려진 문제들을 자동으로 플래그합니다. 반면, 모의 침투 테스트는 인간 전문가가 약점을 연결하고 도구가 볼 수 없는 논리적 결함까지 찾아냅니다.
어느 것이 더 저렴한가요?
스캔이 훨씬 더 저렴합니다. 모의 침투 테스트는 숙련된 테스터들이 고객님의 제품에 수동으로 시간을 할애하기 때문에 비용이 더 많이 듭니다.
둘 다 필요한가요?
대부분 성장하는 SaaS 기업들은 둘 다 필요합니다. 커버리지를 위한 지속적인 스캐닝과, 깊이와 규정 준수 증거를 위한 주기적인 모의 침투 테스트입니다.