[보안 따라잡기]고도화된 사이버위협 대응..모의해킹 자동화 '눈길'

자동화 솔루션으로 모의해킹 진행하는 'BAS 시장' 주목
24시간 중단없이 운영 가능해 취약점 빠르게 발견해 대처
국내 은행, 암호화폐 업체 도입.."내년 본격 공급 기대"
"가격 부담 커..컨설팅 받은 후 도입여부 판단할 필요있어"

(사진=이미지투데이 제공)

[이데일리 이후섭 기자] 최근 해킹 공격이 고도화·지능화되고 있어 이를 어떻게 대비하느냐가 기업의 중요한 과제로 떠오르고 있다. 실전을 방불케 하는 모의해킹을 통해 취약점을 진단하고 대응방안을 마련하는 과정이 중요한데, 최근에는 이러한 모의해킹도 자동화된 솔루션으로 진행할 수 있는 `BAS(Breach and Attack Simulation)` 시장이 주목받고 있다.

ADT캡스의 화이트 해커 그룹인 이큐스트(EQST, Experts, Qualified Security Team)에 따르면 BAS는 실전 공격 시뮬레이션을 통해 보안 상태를 점검하고 향후 일어날 공격에 대비할 수 있는 방법을 제시한다.

기존의 모의해킹은 정해진 시스템에 대해 사전에 협의된 시나리오나 항목에 대해서만 깊이 있는 점검을 수행할 수 있지만, BAS는 테스트할 대상에 대해 다양한 시스템 해킹 공격을 상시로 수행하기에 365일 24시간 중단없이 운영 가능하다. 이에 새로운 취약점을 빠르게 발견하거나 공격 의심 정황을 탐지할 수 있다.

또 예산과 시간의 한계 때문에 전체 시스템을 대상으로 공격을 진행하는 기존 방어 위주의 점검에서 벗어나 실전 공격 시나리오를 실시간으로 적용해 고객 운영 시스템의 보안실태를 검증할 수 있다. 가트너에서도 BAS를 가장 빨리 성장하는 보안 산업군 중 하나로 분류했으며, 시장조사기관 마켓 앤 마켓은 글로벌 BAS 시장이 2019년 1억3400만달러(약 1588억원)에서 연평균 40% 성장해 2024년에는 7억2200만달러(약 8559억원) 규모로 성장할 것으로 내다봤다.

ADT캡스에 따르면 현재 국내 은행과 암호화폐 업체에서 BAS 솔루션을 도입해 사용 중이며, 복수의 은행에서도 도입을 준비 중인 것으로 알려졌다. 일반 기업·기관과 금융기관, 에너지, 발전시설, 핵심 국가기관 등에서도 도입 논의가 시작되고 있어, 업계에서는 내년부터 국내에서 BAS 솔루션 공급이 본격화될 것으로 예상하고 있다.

BAS 솔루션은 자동화 시스템을 통해 공격을 사전에 대응한다는 장점이 있으며, 최신 해킹기법, 중요기술 등을 방법론화해 이용하고 다양한 공격 시나리오 기반의 공격 시뮬레이션으로 취약점을 발견해 대처할 수 있다.

하지만 BAS 솔루션은 1년 라이선스로 구매하는데, 비용이 연간 컨설턴트 몇 명의 상주 비용과 맞먹을 정도로 비싸다. 또 BAS는 이미 등록된 공격과 위협 시뮬레이션을 점검하기에 새로운 접근 방식으로 독창적인 점검을 하는 모의해킹을 대체할 수는 없다.

ADT캡스 관계자는 “가격 부담이 있는 솔루션인 만큼 전문 인력과 노하우를 갖춘 EQST에서 면밀히 컨설팅을 받은 후 도입 여부를 판단하는 것을 추천한다”며 “변화하는 모의해킹 트렌드에 발맞춰 새로운 솔루션과 서비스 도입을 검토해 각 기업의 상황에 맞는 대응 방안을 마련해야 한다”고 조언했다.

이후섭 (dlgntjq@edaily.co.kr)