Continuous Exposure Validation

01 · 문제

취약점 목록은 늘어나지만, 무엇이 실제로 위험한지는 여전히 모릅니다

스캐너와 진단은 결함의 존재를 알려주지만, 그 결함이 자산·권한·경로와 결합해 어떤 피해로 이어지는지는 말해주지 않습니다. 그 결과 조치 우선순위는 심각도 점수를 따라가고, 예산은 실현 가능성이 아니라 문서화된 위험을 따라 배분됩니다.

경영진이 반복해서 묻는 질문은 하나입니다. 「지금 우리가 실제로 뚫릴 수 있는가, 그리고 무엇을 먼저 막아야 하는가.」

노출 검증은 이 질문에 목록이 아니라 판정으로 답합니다. 산출물은 자산에 존재하는 결함의 목록이 아니라, 그 결함이 초기 침투부터 권한 상승과 측면 이동을 거쳐 핵심 자산에 도달하는 경로로 성립하는지에 대한 판정과 그 근본 원인입니다.

이 차이가 우선순위 산정을 뒤집습니다. CVSS 점수가 높아도 경로가 성립하지 않으면 순위가 하락하고, 점수가 낮아도 경로의 시작점이면 상승합니다.

02 · 기존 방식의 한계

점검은 시점을 기록하고, 검증은 지금의 상태를 증명합니다

Gartner 는 2024년 이후 BAS 와 자동화 침투 검증·레드팀 기술을 AEV(Adversarial Exposure Validation)라는 단일 범주로 묶었습니다. 무엇이 발생할 수 있는지를 예측하는 대신 안전한 공격 시나리오를 실행해 판정한다는 점이 기존 범주와 갈라지는 지점입니다.

구분	산출물	실행 주체	주기	경로 증명
취약점 스캐닝	결함 목록 · CVSS	자동	상시	불가
BAS	탐지·차단 통제의 반응	자동 · 시나리오 고정	상시	부분
자동화 침투 검증 (AEV)	공격 경로 · 근본 원인	자동 · 환경 적응	상시	가능
수동 모의침투	보고서	사람	연 1~2회	가능

BAS 와 자동화 침투 검증은 대체 관계가 아닙니다. BAS 는 고정된 시나리오로 통제의 반응을 확인하고, 자동화 침투 검증은 환경 상태에 따라 경로를 탐색합니다.

AEV 는 CTEM 다섯 단계 가운데 검증 단계를 담당합니다. 앞의 세 단계가 「무엇이 취약한가」를 산출하면, 검증 단계는 「그것으로 실제 침해가 성립하는가」를 판정합니다.

03 · 접근

공격자와 같은 순서로 실행하고, 그 결과를 조치 순서로 옮깁니다

1. 01공격면 재구성자산·계정·연결을 공격자 시점으로 다시 묶어 검증 대상을 정의합니다.
2. 02경로 검증개별 결함이 아니라 실제 연결되는 경로를 대상으로 악용 가능성을 확인합니다.
3. 03통제 유효성 확인탐지·차단이 의도대로 동작했는지를 검증 결과와 함께 기록합니다.
4. 04의사결정 번역검증 결과를 조치 순서와 투자 판단이 가능한 형태로 정리합니다.

실행은 얼라이언스 파트너 Pentera 의 자동화 보안 검증 플랫폼으로 수행합니다. 대상 자산에 에이전트를 배포하지 않습니다. 검증 주체는 네트워크에 배치된 실행 지점이고, 단말과 서버에는 소프트웨어를 설치하지 않습니다.

국내 환경에서 이 설계의 이점은 분명합니다. 전사 단말에 에이전트를 배포하는 승인 절차를 건너뛸 수 있고, 이 절차는 대개 도입 일정에서 가장 긴 구간입니다. 대가도 분명합니다. 실행 지점의 네트워크 도달 범위가 곧 검증 범위가 되므로, 망 분리 구간마다 별도 배치가 필요한지를 먼저 확인해야 합니다.

실행 결과는 개별 결함이 아니라 경로입니다. 「패치되지 않은 서비스 → 로컬 권한 상승 → 재사용된 자격증명 확보 → 인접 구간 측면 이동 → 도메인 관리자 권한 획득」이 하나의 경로로 제시되고, 그 경로를 성립시킨 최초 원인이 함께 표기됩니다. 조치 대상은 경로 전체가 아니라 그 원인입니다.

실행 기법은 자격증명 계열(Active Directory 비밀번호 해독 · 자격증명 수집 · NTLM relay · credential stuffing), 권한 상승과 측면 이동, CISA KEV 목록 대상 검증과 OWASP Top 10 웹 공격, LOLBins 를 이용한 내장 도구 악용, 주요 랜섬웨어 계열의 동작 재현을 포함합니다.

모든 실행 동작은 MITRE ATT&CK 기법 식별자에 대응해 기록됩니다. 산출된 경로가 정찰·실행·지속·권한 상승·방어 우회·측면 이동·유출 전술로 표기되므로, 기존 탐지 규칙 체계와 같은 축에서 대조할 수 있습니다. SOC 관점에서 이 점이 실질적입니다. 검증 결과가 별도 문서가 아니라 탐지 룰의 입력값이 됩니다.

04 · 범위와 산출물

실행 모듈이 경로를 증명하고, 조치 관리가 그 경로를 닫습니다

모듈	역할	검증 대상
Core	내부망 kill chain 실행	워크스테이션 · 서버 · Active Directory · 분할 구간
Surface	외부 공격면 실행	웹 애플리케이션 · 인터넷 노출 시스템 · 노출된 신원
Cloud	클라우드 네이티브 경로 실행	침해된 신원 · 설정 오류 · 권한 범위
Resolve	조치 관리	검증된 경로의 우선순위 · 담당 배정 · 재검증
Credential Exposure	유출 자격증명의 실사용 판정	Active Directory · 단말 · 클라우드
RansomwareReady	랜섬웨어 대응 태세 검증	탐지·차단 통제의 반응

Credential Exposure 의 역할이 이 구성에서 가장 실용적입니다. 공개·다크웹 유출 자료와 인포스틸러 수집 자료에서 대상 도메인의 자격증명을 선별한 뒤, 그것을 실제 인증 경로에 투입해 사용 가능 여부를 판정합니다. 평문·해시·부분 자격증명을 모두 대상으로 합니다. 「유출되었다」와 「지금 사용 가능하다」를 분리하는 것이 이 모듈의 역할이며, 국내 조직이 다크웹 알림을 받고도 판단하지 못하고 멈추는 지점이 정확히 여기입니다.

산출물은 검증된 경로를 MITRE ATT&CK 기법에 대응시킨 실행 기록과 감사 로그입니다. PCI DSS v4.0 · SOC 2 · ISO/IEC 27001 · NIST · CMMC · DORA · NIS2 · GDPR 통제 매핑을 제공하며, SIEM·EDR·CSPM·EASM·취약점 관리 플랫폼과 티켓 시스템·SSO 로 연계됩니다.

05 · 의사결정 가치

보고 문장이 「패치했습니다」에서 「이 경로는 더 이상 성립하지 않습니다」로 바뀝니다

조치 목록이 짧아집니다. 경로로 성립하지 않는 항목은 순위가 하락합니다. 남는 것은 실제로 핵심 자산까지 이어지는 소수의 경로이며, 그 경로마다 최초 원인 하나가 붙습니다. 조치 대상이 수천 건에서 몇 건의 원인으로 줄어듭니다.

조치가 끝났음을 증명할 수 있습니다. 같은 경로를 다시 실행해 닫혔는지 확인합니다. 경영진 보고에서 의미가 다른 문장이 됩니다.

탐지 통제의 실제 반응을 함께 얻습니다. 실행 과정에서 어느 지점이 탐지되고 어느 지점이 통과했는지가 기록됩니다. 통제 투자가 실제로 동작하는지를 별도 과제로 돌리지 않아도 됩니다.

유출 계정 알림에 판단이 붙습니다. 「지금 사용 가능한 것」만 남으므로, 전수 비밀번호 초기화 대신 대상을 좁힌 대응이 가능해집니다.

06 · 적용 조건

도입 순서가 결과를 가릅니다

자산 발견과 우선순위 산정 체계가 먼저 서고 검증이 뒤에 옵니다. 순서를 뒤집으면 검증이 산출한 경로를 받아 처리할 조직과 기한이 없어 결과물이 축적만 됩니다. 이 판단은 제품 자료가 아니라 CTEM 단계 정의에서 도출됩니다.

운영망 실행을 변경관리 체계에서 어떤 작업 유형으로 분류할지 사전에 규정해야 합니다. 분류가 없으면 실행할 때마다 개별 승인이 필요하고, 그 순간 「상시 검증」이라는 전제가 무너집니다. 국내 금융·제조에서 이 항목이 도입 일정의 실제 병목입니다. 정보보호위원회 상정 전에 현업과 변경관리 라인의 분류 합의를 먼저 받아 두는 편이 빠릅니다.

기존 탐지 통제와의 상호작용을 미리 산정해야 합니다. EDR·NDR 이 실행을 차단하면 검증이 중단되고, 예외로 등록하면 탐지 검증의 의미가 축소됩니다. 예외 범위와 적용 기간을 사전에 정하고, 예외 구간에서 얻은 결과와 예외 없이 얻은 결과를 구분해 기록해야 합니다. 이 구분이 없으면 회차 간 비교가 성립하지 않습니다.

검증 계정의 권한 수준을 기록해 두어야 합니다. 자격증명 계열 기법의 결과는 부여된 권한에 따라 분기합니다. 권한을 명시하지 않은 채 결과만 남기면 다음 회차와 비교할 수 없고, 개선 여부를 증명하지 못합니다.

유출 자격증명 판정을 쓴다면 데이터 처리 위치를 확인해야 합니다. 외부 위협 인텔리전스 피드를 사용하므로 도메인·계정 정보의 처리 위치가 국내 규제와 맞물립니다. 금융권이라면 클라우드 이용 절차와 같은 트랙에 놓아야 계약 직전에 절차를 다시 밟는 상황을 피할 수 있습니다.

운영 안전장치

운영망에서 실제 공격 기법을 실행하므로 통제 수단이 기능 목록과 같은 비중의 검토 대상이 됩니다. 벤더 자료가 명시하는 수단은 여섯 가지입니다.

• 처리량 제한 — 실행이 소모하는 자원의 상한 설정
• 영향 상한 — 고객이 정의한 범위를 넘는 동작 차단
• 긴급 중지 — 실행 중 즉시 종료
• 읽기 전용 모드 — 필요한 구간에서 변경 동작 배제
• 전체 감사 로그 — 모든 실행 동작과 통제의 반응 기록
• 비파괴 실행과 자동 정리 — 실행 잔재 회수

여섯 항목은 벤더 자료 기준입니다. PoC 구간에서 각 수단이 실제로 동작하는지 확인하는 편이 낫고, 그 확인 기록이 이후 변경관리 승인의 근거가 됩니다.

07 · 전달 맥락

좁게 시작하고, 확인한 것을 기록으로 남깁니다

PoC 는 좁은 구간에서 시작합니다. 실행 지점 한 대가 도달하는 범위를 먼저 정하고, 그 안에서 안전장치 여섯 항목의 동작을 확인합니다. 이 기록이 전사 확대 시 변경관리 승인의 근거가 됩니다.

견적 이전에 확정하는 편이 이후 재협의 비용이 낮은 항목은 다음과 같습니다.

질문 1  실행 지점의 네트워크 도달 범위는 어디까지인가?
        망 분리 구간마다 별도 배치가 필요한가, 라이선스에 영향을 주는가?
질문 2  운영망 실행이 변경관리에서 어떤 작업 유형으로 분류되는가?
질문 3  EDR·NDR 예외의 범위와 적용 기간은 어떻게 정할 것인가?
질문 4  라이선스 산정 단위는 자산 수인가, 모듈인가?
질문 5  검증 결과를 이관할 조치 체계와 기한이 이미 있는가?

수동 모의침투와의 역할 분담도 함께 정합니다. 자동화가 대체하는 범위와 대체하지 않는 범위를 사전에 획정해야 하며, 규제상 요구되는 모의침투 요건을 자동화 결과로 충족할 수 있는지는 해당 규제에 따라 분기합니다.

출처 · Pentera 공식 자료(플랫폼 · Core · Credential Exposure 데이터시트) 및 Gartner AEV 범주 정의. 접근 시점 2026-08-15. 벤더가 공표한 효과 수치는 산정 기준과 표본이 공개되지 않아 본문에 싣지 않았습니다.