공격 표면 드리프트: 어제의 자산 목록이 이미 틀린 이유

요약: 클라우드 자산, 서브도메인, 외부 연동은 매일 바뀝니다. 분기별 감사가 아니라 지속적인 탐색만이 공격자가 실제로 접근할 수 있는 범위를 정확히 파악하게 해 줍니다.

신뢰하는 자산 목록은 흐름이 아니라 한순간의 스냅샷이다

대부분의 보안 프로그램은 여전히 자산 목록을 주기적으로 작성합니다. 감사 시점에 스프레드시트를 갱신한 뒤 그대로 낡게 둡니다. 클라우드 네이티브 환경에서는 이런 가정이 몇 시간 만에 무너집니다. 새 서브도메인이 생성되고, 스테이징 환경이 외부에 노출되며, 아무도 다시 검토하지 않은 포트가 외부 연동을 통해 열립니다.

운영 중이라고 생각하는 범위와 인터넷에서 실제로 접근 가능한 범위의 차이에서 예방할 수 있었던 사고 대부분이 시작됩니다.

실무에서 드리프트가 나타나는 모습

• 출시 후에도 공개적으로 조회되는 상태로 방치된 스테이징 또는 미리보기 호스트
• 분기별 검사로 포착할 수 있는 속도보다 빠르게 생겼다 사라지는 와일드카드 DNS와 임시 클라우드 인스턴스
• 조직의 브랜드는 이어받았지만 보안 통제는 이어받지 않은 인수 기업 또는 파트너 인프라
• 조용히 콘텐츠를 계속 제공하는 만료된 인증서와 방치된 버킷

기본 통제로서의 지속적인 탐색

해법은 연례 감사를 더 크게 벌이는 것이 아니라 감사를 지속적으로 수행하는 것입니다. 일정에 따라 탐색하고, 마지막으로 확인한 정상 상태와 차이를 비교하며, 변경 사항을 표시하면 공격 표면 관리를 특정 시점의 보고서에서 운영 신호로 바꿀 수 있습니다.

KENSAI는 탐색을 상시 입력으로 취급합니다. 각 검사는 무엇에 언제 어떤 방식으로 접근할 수 있었고 어떻게 바뀌었는지 보여 주는 증거 추적 기록을 남깁니다. 따라서 드리프트가 사고로 이어지기 전에 확인할 수 있습니다.

핵심 요약

자산 목록은 최신 상태일 때만 쓸모가 있습니다. 지속적인 탐색은 지도를 현실과 일치시켜, 지난 분기에 문서화한 대상이 아니라 공격자가 오늘 접근할 수 있는 대상을 조치하게 합니다.