보안 점검 자동화
취약점 점검 자동화 · 컴플라이언스 점검
는 여러 자산에서 설정과 상태를 수집하고 정해진 기준으로 판정하여 근거를 남기는 과정이다. 명령 실행 성공, 데이터 수집 성공, 보안 기준 충족은 서로 다른 결과로 관리한다.
밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.
01무엇이고, 어떤 일을 하나
- 반복 점검을 같은 기준으로 수행하고 수작업 누락을 줄인다.
- 양호·취약·해당 없음·수집 오류·수동 검토를 구분한다.
- 원본 증거와 기준 버전을 연결하여 결과의 재현성을 확보한다.
02어떤 순서로 동작하나
- 대상과 항목 로드
자산 ID, 접속 방법, 점검 항목과 기준 판본을 읽는다.
- 연결과 권한 확인
공통 Connector가 연결을 준비한다. 실패한 자산과 오류를 남기고 다른 대상 처리를 계속할 정책을 적용한다.
- Collector 실행
허용된 조회를 실행하고 stdout·stderr·종료 코드·시간 초과를 구분해 수집한다.
- Evaluator 판정
수집값에 적용 조건·예외·양호/취약 기준을 적용한다. 빈 출력과 수집 실패를 정상 상태로 바꾸지 않는다.
- Reporter 기록
자산·항목·판정 이유·관찰값·시각·수집기와 규칙 버전을 저장한다.
- 검토와 별도 조치
불명확한 항목은 수동 검토하고 승인된 조치는 별도 변경 과정으로 수행한다. 조치 후 재점검 결과를 연결한다.
03먼저 알아둘 용어와 구성요소
- 해당 항목을 판단할 충분한 증거가 있고 기준을 충족한 결과이다.
- 적용 대상 항목에서 기준을 충족하지 못한 사실이 확인된 결과이다.
- 적용 조건이 성립하지 않는 항목으로, 무조건 양호라는 뜻은 아니다.
- 접속·수집·해석 실패 등으로 판정에 필요한 근거를 확보하지 못한 상태이다.
Windows 계정 정책 화면을 점검 근거로 작성하기
점검 대상·판본·실제 설정·판정 조건을 구분하여 한 화면에서 확인할 수 있는 사실만 점검표에 옮긴다.
실습 구성과 전제
- 자신의 실습 에서 보안 정책을 읽기 전용으로 확인한다. 정책 변경은 관찰과 분리한다.
- 의 지정 여부와 적용 가이드 판본을 먼저 확인한다. 특정 업종이라는 이유만으로 모든 시스템이 동일 법적 점검 대상인 것은 아니다.
분야 분류를 실제 자산 목록에 대조하기
- 먼저 서버·네트워크 장비·보안 장비·DB·웹 애플리케이션 중 무엇을 점검하는지 구분한다. 같은 계정이라는 단어라도 로컬 계정과 DB 계정의 확인 위치는 다르다.
- 점검 항목 수와 번호는 판본·분야·적용 범위에 따라 달라진다. 요약 그림의 숫자를 현행 공식 점검표의 고정 분모로 삼지 않고 해당 가이드의 목록을 기준으로 범위를 만든다.
원본 크기로 보기 ↗- 가운데 주정통 점검 기준을 두고 서버, 네트워크 장비, 보안 장비, DB, 웹 애플리케이션 분야가 가지로 연결되어 있다.
- 그림의 약 400여 항목이라는 요약은 분야를 넓게 소개하는 숫자다. 개별 자산의 적용 항목 수나 현재 판본의 정확한 개수를 확정하지 않는다.
확인 기준자산 ID·OS/제품·가이드 판본·적용 항목을 연결한 뒤 설정 화면을 수집한다. 미적용 항목은 근거 없이 양호에 포함하지 않는다.
화면의 설정값과 판정 문장을 구분하기
- 로컬 보안 정책의 보안 옵션은 정책 이름과 현재 값을 보여 준다. 'Administrator 계정 이름 바꾸기'의 값이 Administrator이면 기본 이름이 그대로 관찰된 것이며, 관리자 권한 자체의 제거를 의미하지 않는다.
- 도메인에 가입된 환경에서는 정책 우선순위와 실제 적용 결과도 확인해야 한다. 한 로컬 화면만으로 전체 조직의 모든 계정 정책 상태를 대표하게 하지 않는다.
원본 크기로 보기 ↗- 보안 옵션 목록에서 Administrator 계정 이름 바꾸기 항목의 값이 Administrator로 보인다. 계정 이름 정책의 구체 관찰값을 얻을 수 있다.
- 빈 암호 사용을 콘솔 로그온으로 제한하는 항목은 사용으로 표시된다. 서로 다른 항목의 관찰값을 하나의 '계정 보안' 판정으로 합치지 않는다.
확인 기준관찰 사실을 먼저 적고 공식 점검 항목의 적용 조건·양호 기준에 대입한다. 화면에 없는 암호 복잡성이나 원격 접속 허용 상태를 추정하지 않는다.
발견 사항과 조치 후 재점검을 분리하기
- 보고서의 한 행에는 자산·항목·확인 경로·관찰값·판정 근거·영향을 기록한다. 예외 승인이나 대체 통제가 있다면 그 유효기간과 책임자를 별도 증거로 남긴다.
- 계정 이름 변경이 필요하더라도 서비스 계정 의존성과 운영 영향 검토를 거쳐 변경한다. 재점검은 변경된 설정값과 실제 인증·운영 기능을 함께 확인해야 하며, 캡처 교체만으로 끝내지 않는다.
확인 기준동일 판본의 판정 기준으로 변경 전후를 비교한다. 점검자가 관찰한 사실과 조치 담당자가 수행한 변경을 보고서에서 구별한다.
실습에서 확인한 동작 원리
- 점검은 화면 수집이 아니라 적용 조건·관찰값·판정 근거를 연결하는 작업이다.
- 정책 한 항목의 상태와 시스템 전체의 안전성·법적 적합성은 같은 결론이 아니다.
계정 정책 화면에서 관리통제의 증거 사슬 만들기
기술 설정 한 장을 자산 범위·승인·정기 검토·실제 접근 회수와 연결하여 관리체계의 설계와 운영을 구분한다.
실습 구성과 전제
- 실습 정책 화면과 가상의 계정 관리 절차를 사용한다. 특정 기관의 인증 획득이나 실제 운영 결과를 가정하지 않는다.
- 관리체계의 적용 범위·책임자·검토 주기를 문서로 정한 상태와 그 절차가 실제로 수행된 상태를 구분한다.
통제 대상의 경계를 먼저 정하기
- 자산 분류 그림에서 계정이 존재하는 시스템과 담당 부서를 찾는다. 서버만 포함했는지, DB·웹 애플리케이션·관리 장비 계정까지 포함했는지에 따라 계정 검토의 범위가 달라진다.
- 기술적 설정의 점검은 관리체계 증거의 일부다. 승인 절차·인사 변동 통보·권한 검토·시설 출입 관리가 어떻게 연결되는지도 각 통제의 책임과 증거로 정의해야 한다.
원본 크기로 보기 ↗- 서버 외에도 DB·네트워크·보안 장비·웹 애플리케이션이 별도 분야로 나뉜다. 계정 관리의 대상이 단일 OS만은 아님을 읽을 수 있다.
- 그림은 기술 분야의 범위를 보여 준다. 승인 기록이나 정기 검토가 실제 수행됐는지는 이 그림에 나타나지 않는다.
확인 기준범위 안의 자산별 계정 저장 위치와 관리 책임자를 빠짐없이 대응시킨다. 기술 점검표만으로 관리·물리 통제 전체가 충족됐다고 주장하지 않는다.
설정 증거를 절차와 운영 증거에 연결하기
- 화면의 계정 정책은 기술 통제의 현재 값을 보여 준다. 정책 문서가 요구하는 기준과 비교할 수 있지만, 누가 언제 승인하고 변경했는지는 변경 기록이 있어야 알 수 있다.
- 동일 통제를 설계 증거, 운영 증거, 효과 증거로 나누어 모은다. 가상의 계정 정책 문서, 승인된 검토 이력, 부적절한 접근이 거부되는 시험 결과는 서로 보완하는 자료다.
원본 크기로 보기 ↗- Administrator 계정 이름과 빈 암호의 콘솔 로그온 제한 등 정책별 값이 한 목록에 나타난다. 기술 통제의 관찰 지점을 구체화할 수 있다.
- 이 화면에는 정책 승인자·변경 일시·정기 검토 결과가 없다. 설정 화면을 승인이나 운영 이력의 대용으로 사용하지 않는다.
확인 기준설정값과 문서 기준이 맞는지 확인한 뒤, 승인·검토 기록의 대상 자산과 시점도 일치하는지 확인한다.
가상의 퇴사자 계정 회수에서 효과를 확인하기
- 예시 절차를 인사 통보→대상 계정 식별→권한 회수→세션 처리→완료 확인으로 나눈다. OS 계정만 잠그고 애플리케이션 세션이나 별도 DB 계정을 남기면 절차 완료와 접근 회수가 어긋날 수 있다.
- 가상의 시험 계정으로 승인된 범위의 로그인과 기존 세션을 시험하고, 거부 결과·남은 권한·처리 시각을 기록한다. 실패가 발견되면 담당자와 기한을 정해 보완한 뒤 같은 조건으로 재확인한다.
확인 기준절차 문서가 존재하는지, 실제 처리 기록이 있는지, 접근이 더 이상 허용되지 않는지 세 질문을 각각 답할 수 있어야 한다.
실습에서 확인한 동작 원리
- 관리체계는 정책의 존재뿐 아니라 적용 범위와 수행·효과 증거를 함께 평가한다.
- 캡처에 나타난 사실을 넘는 승인·인증·운영 성공 주장은 별도 증거가 필요하다.
04예제로 따라가기
- 가상 결과 집합: 60, 20, 10, 5, REVIEW 5인 100개 항목을 가정한다. 상태의 의미와 계산식은 이 교육 예제에서 정한 집계 계약이다.
- 적용 대상 분모: 근거가 있는 10개를 제외하면 적용 대상은 90개다. 와 REVIEW는 기준 충족이 확인되지 않았으므로 적용 대상에서 임의로 지우지 않는다.
- 판정 완료율: 판정을 마친 +은 80개다. 완료율은 80/90≈88.9%이며 나머지 10개는 미완료 이유를 별도로 표시한다.
- 판정 중 양호 비율: 완료된 결과 중 비율은 60/80=75%다. 이것을 전체 적용 대상이 75% 안전하다는 뜻으로 확대하지 않는다.
- 자동 판정 전제: 수집 성공 → 형식 검증 → 적용 조건 확인 → 기준 비교 순서로 처리한다. 수집 명령이 실패했는데 stdout이 빈 값이라는 이유로 를 내지 않는다.
- 다음 실행과 비교: 다음 실행에서 대상·기준 판본이 바뀌면 숫자 차이만으로 개선을 주장하지 않는다. 공통 대상의 상태 전환과 새로 추가·제외된 항목을 분리한다.
05혼동하기 쉬운 점과 확인 기준
- 부분 출력: 원격 세션 종료나 출력 길이 제한으로 결과가 잘릴 수 있다. 종료 상태·완료 표식·예상 구조를 확인하며 문자열 일부가 보인다는 이유만으로 완전한 수집으로 판단하지 않는다.
- 파싱 회귀: 로케일·제품 버전·열 순서 변화로 다른 값을 읽을 수 있다. 정상·취약뿐 아니라 빈 값·중복 값·잘린 출력·권한 거부를 표본으로 둔다.
- 신선도: 캐시된 출력이나 이전 실행의 결과를 현재 결과에 섞지 않는다. 수집 시각과 실행 식별자를 검사하고 너무 오래된 자료는 유효성 정책에 따라 재수집한다.
- 중복·누락: 동일 키 중복, 대상 목록에 없는 결과, 예정했으나 결과가 없는 항목을 각각 보고한다. 데이터베이스에 저장됐다는 사실이 전체 작업의 완결성을 보장하지는 않는다.
- 출력의 보안: 원문 증적은 제한된 저장소에 두고 보고서에는 필요한 부분만 표시한다. HTML·CSV로 내보낼 때 수집된 문자열이 실행 구문이나 수식으로 처리되지 않도록 출력 형식에 맞게 다룬다.
- 변경과 점검 분리: 판정 결과를 받은 후 설정을 자동으로 바꾸는 기능은 별도 승인·복구·검증 흐름으로 설계한다. 읽기 전용 수집 실패를 해결하려고 권한이나 정책을 임의 변경하지 않는다.
06상세 노트 · 실습 자료
헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.
함께 보는 학습 자료
아래 공식 자료를 본문의 개념·예제와 함께 읽어 보세요. 자료별로 확인할 위치와 관찰할 내용을 적었습니다.
NIST SP 800-53A — 통제 평가 절차와 평가 계획
문서 PDF 22쪽의 examine·interview·test 설명을 먼저 읽는다. 이어 관심 통제의 평가표에서 대상·방법·판정 근거가 어떻게 연결되는지 확인한다.
- 문서 확인, 관계자 설명, 실제 시험처럼 서로 다른 근거가 필요한 이유를 본문의 자동 수집 범위와 비교한다.
- 수집 성공만으로 통제 효과를 확정할 수 없는 항목 하나를 골라 수동 확인 질문과 추가 시험을 적는다.
공식 문서 · 표준
기초 개념과 동작 설명을 대조한 자료입니다. 제품 버전과 실제 설정에 따른 차이는 본문 및 원문에서 확인하세요.