[관점]
국내 보안 투자 논의는 「무엇을 더 살 것인가」로 시작해 거기서 끝나는 경우가 많다. 도입한 제품이 계속 유효한지를 묻는 자리는 따로 없고, 갱신 시점에 가격만 다시 협상한다.
이 보고서가 던지는 질문은 방향이 다르다. 우리 방어 수단이 충분한가가 아니라, 그 수단이 계속 관찰되고 갱신되고 있는가다. 공격자가 우리가 산 제품을 연구하고 있다면, 구매 시점의 성능은 유효 기간이 있는 값이 된다.
SOCRadar 의 2026년 보고서는 관측치 하나에서 출발한다. 지하 채널 논의의 60%가 보안 벤더와 그 제품을 직접 언급하며, 다크웹 게시물의 25%는 보안 제품 우회를 주제로 삼는다.
이 숫자가 뜻하는 바는 단순하다. 보안 제품은 방어 수단이면서 동시에 공격자의 연구 대상이다.
조직적 연구의 과정
보고서는 위협 행위자가 널리 쓰이는 보안 제품을 연구하는 과정을 세 단계로 구분한다. 제품을 확보해 분석하고, 우회 방법을 시험하고, 그 방법을 공유한다. 그 결과 만들어진 악성코드는 흔한 방어 구성을 통과하도록 설계된다.
문제의 성격이 여기서 분기한다. 통제가 없어서 뚫리는 것이 아니라 통제가 있는데도 경보가 울리지 않는다. 성숙한 보안 스택을 갖춘 조직도 기존 탐지에 걸리지 않는 방법으로 노출된다.
보고서가 강조하는 또 하나는 시간이다. 다크웹 포럼과 유출 사이트, 비공개 채널의 논의는 실제 사고보다 며칠에서 몇 주 앞서 나타난다. 관찰 가능한 선행 신호가 존재한다는 뜻이며, 이것이 이 보고서가 위탁 운영과 상시 인텔리전스를 연결하는 근거다.
문제의 성격
이 문서가 지목하는 실제 위험은 기술의 부재가 아니다. 제품이 스스로를 방어한다는 가정이다.
도입 시점에 유효하였던 구성은 시간이 지나면 알려진 구성이 된다. 알려진 구성은 우회 대상이 된다. 이 순환을 차단하려면 구성이 계속 조정되어야 하며, 조정하려면 무엇이 연구되고 있는지 파악해야 한다.
국내 적용 관점
위탁처를 공급망 점검 범위에 넣어야 한다. 국내 조직은 관제와 보안 운영을 위탁하는 비중이 높은데, 위탁처 자체가 공격 경로가 되는 경우는 거의 검토되지 않는다. 위탁처가 우리 환경에 접근하는 경로와 권한 수준을 문서로 확인하고, 그 경로가 실제로 악용 가능한지를 검증 범위에 포함해야 한다.
보안 제품의 구성 검토를 정기 업무로 만들어야 한다. 도입 시 설정한 정책이 그대로 유지되는 조직이 많다. 예외 규칙은 쌓이고, 튜닝 이력은 남지 않고, 담당자는 바뀐다. 반기 단위로 예외 목록과 탐지 규칙을 되짚는 절차를 두는 편이 새 제품을 사는 것보다 값이 크다.
「탐지되지 않았다」를 안전 신호로 읽지 않아야 한다. 경보가 없다는 사실은 공격이 없었다는 뜻일 수도, 통과하였다는 뜻일 수도 있다. 두 상태를 구분하려면 통제가 실제로 반응하는지를 능동적으로 확인해야 하며, 이것이 통제 유효성 검증이 필요한 이유다.
위탁 계약에 통지 의무와 책임 범위를 명시해야 한다. 위탁처에서 사고가 발생했을 때 언제까지 무엇을 알려야 하는지가 계약에 없으면 대응이 지연된다. 국내 감독 규정에서 요구하는 위탁 관리 항목과 함께 정리해 두는 편이 효율적이다.
선행 신호를 받는 경로를 만들어야 한다. 우리가 쓰는 제품과 버전이 지하 채널에서 언급되는지 관찰하는 것은 위협 인텔리전스의 실용적인 용도 가운데 하나다. 자산 목록과 인텔리전스를 연결해 두어야 신호가 우리 것인지 판별할 수 있다.
검토 회의에서 확인할 항목
질문 1 위탁처가 우리 환경에 접근하는 경로와 권한을 문서로 갖고 있는가?
질문 2 보안 제품의 예외 규칙 목록을 마지막으로 점검한 시점은 언제인가?
질문 3 통제가 실제로 반응하는지 확인하는 절차가 있는가?
질문 4 위탁 계약에 사고 통지 기한과 책임 범위가 규정되어 있는가?
질문 5 우리가 쓰는 제품·버전 목록이 인텔리전스 대상에 등록되어 있는가?출처 · SOCRadar, MSSP Report 2026 — The Strategic Case for MSSP Partnership (2026-02). 인용한 비율은 원문이 제시한 다크웹 관측 집계이며 국내 수치가 아니다.