취약점 평가는 시스템에서 알려진 취약점을 찾는 검사입니다. 이는 침투 테스트와는 다릅니다. 침투 테스트는 시스템의 결함을 악용하는 것을 목표로 합니다. 취약점 평가는 결함을 식별하고 목록화합니다. 검사 결과는 심각도 순으로 정렬된 보고서 형태로 제공됩니다. 조직은 어떤 결함을 언제 수정할지 결정합니다. 취약점 평가는 침투 테스트보다 빠르고 비용이 저렴하기 때문에 더 자주 수행됩니다. 분기별 검사가 일반적이며, 지속적인 검사가 점차 표준이 되고 있습니다.

사용하는 도구는 다양합니다. Nessus나 OpenVAS 같은 네트워크 스캐너는 호스트의 열린 포트, 오래된 소프트웨어, 누락된 패치를 탐지합니다. Burp Suite나 OWASP ZAP 같은 웹 애플리케이션 스캐너는 웹사이트에서 인젝션 취약점, 손상된 인증, 잘못된 구성을 찾아냅니다. 클라우드 보안 상태 점검 도구는 벤치마크를 기준으로 구성을 확인합니다. 하지만 모든 도구에는 한계가 있습니다. 스캐너는 오탐을 발생시키거나 사람의 분석이 필요한 논리적 오류를 놓칠 수 있습니다. 취약점 평가는 시작점일 뿐입니다. 어디를 살펴봐야 하는지 알려줄 뿐, 공격자가 실제로 무엇을 할지는 알려주지 않습니다. 평가와 침투 테스트를 결합하면 더 전체적인 상황을 파악할 수 있습니다. 스캔은 취약점을 찾아내고, 침투 테스트는 어떤 취약점이 중요한지 증명합니다.

취약성 평가 단계

• 범위 및 자산 목록을 정의합니다.
• 자동 스캔을 실행하세요
• 결과를 검증하고 오탐을 제거합니다.
• 심각도와 상황에 따라 우선순위를 정하십시오.
• 수정 후 재검사하여 확인하십시오.

검사만 실행되고 문제 해결로 이어지지 않는 것은 단순한 규정 준수 활동에 불과합니다. 진정한 가치는 문제 해결에 있습니다.