🛡️ KISA가 기업에 보안 강화를 권고했습니다
최근 국내 금융권과 민간기업을 대상으로 침해사고가 잇따랐습니다.
이에 따라 추가 공격에 대비한 보안 강화 권고가 나왔습니다.
권고의 핵심은 이렇습니다.
초기 침입에 자주 악용되는 웹·API 취약점과
인증정보 노출 여부를 우선 점검하고,
침입 이후 내부 시스템 접근과 중요정보 유출을 차단할 수 있도록
단계별 보호조치를 이행하라는 것입니다.
무엇을 점검하고, 무엇을 봐야 하는지 정리했습니다.
📌 이 글의 성격
공개된 권고 내용을 정리한 일반 안내입니다.
실제 적용은 운영 환경과 서비스 특성에 따라 검토가 필요합니다.
1. 다섯 단계로 나눠 봅니다
침입 전부터 유출 탐지까지
다섯 단계 구성 [01]
| 구분 | 우선 점검사항 |
| ① 외부 노출 시스템 | 미사용 서비스 차단 · 취약점 보완 · 관리 기능 접근 제한 |
| ② 웹·API | 데이터·기능별 권한 검증 · 입력값 처리 · 조회 범위 제한 |
| ③ 계정·인증정보 | 관리자 MFA · 노출 키 폐기·교체 · 최소 권한 |
| ④ 서버·내부망 | 서비스 계정 권한 축소 · 시스템 간 통신 제한 |
| ⑤ 중요정보·대응체계 | 다운로드 권한 제한 · 로그 통합 · 초동대응 점검 |
🔀 단계를 나눈 이유가 있습니다
· ①②③ — 침입을 막는 단계
· ④ — 들어왔을 때 퍼지는 것을 막는 단계
· ⑤ — 정보가 나가는 것을 탐지하는 단계
앞 단계가 뚫려도 뒤 단계에서 피해를 줄일 수 있습니다.
2. 무엇을 볼 것인가
모니터링 대상
단계별 모니터링 대상 [02]
| 구분 | 모니터링 대상 |
| 외부 노출 | 여러 경로·서비스에 대한 반복 접근, 설정·백업 파일 조회 시도 |
| 웹·API | 식별자를 변경한 연속 조회, 접근 거부 이후 다른 경로를 통한 조회 |
| 계정·인증 | 새로운 접속 환경에서의 인증정보 사용, 계정 생성 및 권한 확대 |
| 서버·내부망 | 웹서버의 비정상 명령 실행, 내부 시스템 탐색, 신규 외부통신 |
| 중요정보 | 다수 자료의 순차 조회, 비정상 반출, 로그 삭제·수집 중단 |
하나하나는 정상 요청처럼 보일 수 있습니다.
다만 '거부당한 뒤 다른 경로로 다시 시도'처럼
묶어서 보면 드러나는 패턴이 있습니다.
3. 가장 먼저 할 일
내 자산부터 파악하십시오
외부 노출 자산 점검 [03]
| 항목 | 내용 |
| 자산 확인 | 도메인·하위 도메인·IP·웹서비스·원격접속 운영 현황 |
| 정리 대상 | 담당자가 지정되지 않은 자산, 시험용·미사용 서비스 |
| 접근 제한 | 관리자 페이지·DB·관리용 접속은 지정된 경로에서만 |
| 패치 | OS·웹 프레임워크·라이브러리 보안 업데이트 |
| 노출 점검 | 설정 파일·소스코드 저장소 정보·백업 파일·상세 오류 |
📋 '담당자가 없는 자산'이 가장 위험합니다
누가 만들었는지, 왜 떠 있는지 모르는 서비스는
패치도 안 되고 모니터링도 안 됩니다.
권고에서 이 항목을 앞에 둔 이유입니다.
즉시 패치가 어렵다면 접근 제한 등 임시 보호조치를 먼저 적용하고 후속 조치 일정을 관리해야 합니다.
"나중에 하겠다"로 끝내지 않는 것이 핵심입니다.
⭐ 4. 웹·API에서 자주 놓치는 것
로그인했다고 끝이 아닙니다
웹·API 점검 항목 [04]
로그인 여부와 별도로 각 요청에 대해
해당 데이터·기능의 이용 권한을 서버에서 검증해야 합니다.
| 항목 | 내용 |
| 권한 검증 | 일반 사용자의 관리자 기능 접근 차단 |
| 직접 확인 | 시험 계정으로 요청 값을 바꿔 남의 정보가 보이는지 |
| DB 질의 | 매개변수화된 쿼리 등 안전한 방식 사용 |
| 외부 URL 요청 | 허용된 목적지·프로토콜로 제한 |
| 호출 제한 | 조회 기간·반환 건수·다운로드 용량에 상한 |
두 번째 항목이 실무적으로 가장 유용합니다.
🧪 직접 해보는 게 가장 빠릅니다
별도 시험 계정을 만들어
문서번호·사용자번호 같은 요청 값을 바꿔 보십시오.
다른 사용자의 정보가 조회되거나 수정되는지 확인하고,
권한 없는 요청이 거부되는지 보면 됩니다.
그리고 외부 URL의 내용을 가져오는 기능은 특히 조심해야 합니다.
내부 관리 서비스나 클라우드 인증 정보 제공 경로에 접근하지 못하도록 통제해야 합니다.
5. 노출된 키는 지운다고 끝나지 않습니다
폐기와 교체
인증정보 노출 대응 [05]
| 흔한 대응 | 권고 |
| 게시물·파일을 삭제하고 끝 | 사용 차단 후 폐기·교체 |
| 키는 그대로 유효 | 사용 이력까지 조사 |
▶ 어디를 점검하나
소스코드, 코드 저장소 변경 이력, 설정 파일, 협업 도구에서 비밀번호·접근키·인증토큰 노출 여부를 봐야 합니다.
🔍 '변경 이력'이 중요합니다
지금 파일에 없어도 과거 커밋에 남아 있을 수 있습니다.
그리고 노출된 정보로 이미 접근한 흔적이 있는지도
함께 확인해야 합니다.
▶ 그밖의 계정 관리
| 항목 | 내용 |
| MFA | 관리자·원격접속 계정에 적용 |
| 계정 분리 | 일반 업무계정과 관리 계정 구분 |
| 연동 계정·접근키 | 필요한 자원·기능에만 권한 · 유효기간 짧은 임시 인증정보 |
| 외부 유지보수 계정 | 최소 권한 + MFA + 사용 후 반드시 제거 |
외부 유지보수 계정은 네트워크 접속 연결도 동일하게 운영해야 합니다.
6. 서버 침해 확산 방지
들어왔을 때를 가정합니다
| 항목 | 내용 |
| 실행 계정 권한 | 웹·애플리케이션 실행 계정의 관리자 권한 제거 |
| 저장소 접근 | DB·파일 저장소 접근을 업무 범위로 제한 |
| 업로드 경로 | 서버 측 스크립트가 실행되지 않도록 설정 |
| 파일 점검 | 웹 경로의 비인가 파일 생성·변경 여부 |
| EDR·백신 | 작동 상태 확인 + 경보 설정 |
경보는 웹서버 프로세스의 비정상 명령 실행과 내부 시스템 접속 시도에 걸어둡니다.
7. 대량만 보면 놓칩니다
누적 분석이 필요한 이유
탐지 방식 비교 [06]
| 단시간 탐지 | 장시간 누적 분석 |
| 대량 요청을 잡습니다 | 조금씩 쌓인 조회를 잡습니다 |
🐌 공격자도 압니다
한 번에 많이 가져가면 탐지에 걸립니다.
그래서 소량씩 나눠 반복하는 방식이 쓰입니다.
누적 관점으로 보지 않으면 그대로 지나갑니다.
▶ 로그는 이렇게
| 항목 | 내용 |
| 시간 동기화 | 웹·API·인증·서버·DB·클라우드 로그 |
| 연계 확인 | 계정·요청 식별정보로 시스템 간 행위를 묶어서 |
| 기록 항목 | 발생 시각 · 요청 경로 · 처리 결과 · 접근 대상 · 전송량 |
| 저장하면 안 되는 것 | 비밀번호·인증토큰 원문 |
시간 동기화가 안 되면 로그를 아무리 모아도 순서를 맞출 수 없습니다.
8. 침해가 의심되면
순서가 있습니다
침해 의심 시 대응 [07]
| 순서 | 내용 |
| ① | 신고 — KISA 보호나라(boho.or.kr) 또는 국번없이 118 |
| ② | 격리 — 의심 시스템을 네트워크에서 신속히 분리 |
| ③ | 보존 — 시스템 로그와 증적을 훼손·변조 없이 보존 |
🚫 격리와 삭제는 다릅니다
네트워크에서 분리하되 안의 내용은 그대로 두어야 합니다.
증적이 없으면 원인도, 범위도 밝히기 어렵습니다.
포맷하거나 악성코드를 지우면 분석이 불가능해집니다.
한 줄 정리
막는 것과 퍼지는 걸 줄이는 건 다른 일입니다.
· 침입을 막으려면 → 외부 노출 자산 · 웹·API 권한 · 인증정보
· 퍼지는 걸 막으려면 → 계정 권한 · 시스템 간 통신 제한
· 나가는 걸 잡으려면 → 로그 연계 · 누적 분석
어느 한 단계라도 제대로 돼 있으면 피해가 줄어듭니다.
이번 권고에서 반복해 나오는 단어가 있습니다.
'최소 권한'과 '지정된 경로'입니다.
결국 열어둔 만큼 위험하다는 이야기로 모입니다.
※ 이 글은 2026년 10월 기준 공개된 보안 권고 내용을 정리한 일반 안내입니다. 권고 사항은 참고 기준이며, 실제 적용은 운영 환경과 서비스 특성에 따라 검토가 필요합니다. 최신 내용과 상세 지침은 KISA 보호나라(boho.or.kr)에서 확인하시기 바랍니다.
'IT 이모저모' 카테고리의 다른 글
| AI 사이버공격 대비 — CEO 수칙 7가지와 실무 6영역 (0) | 2026.10.17 |
|---|---|
| 보안 전문가는 무엇을 읽는가 — 기술 매거진 4선 (0) | 2026.10.15 |
| 실제 침해사고로 본 서버 보안 설정 — 피해를 키운 건 기본 설정이었다 (0) | 2026.10.14 |
| 침해사고 신고는 언제, 어디로 — 24시간·72시간의 차이 (0) | 2026.10.13 |
| ARTEX가 뭐길래 — 43초 만에 뚫고 비용은 20원 (0) | 2026.10.08 |
