보안 용어 정리 2편: PAM·ASM·SBOM·NHI와 AI 보안

PAM특권 접근 관리Privileged Access Management

관리자나 root처럼 권한이 큰 계정을 금고에 보관하고, 쓸 때마다 승인과 기록을 거치며, 비밀번호를 자동으로 바꾸는 체계입니다.

서버와 데이터베이스의 관리자 비밀번호는 엑셀 파일이나 담당자 머릿속에 있는 경우가 많습니다. 사람이 바뀌어도 비밀번호는 그대로 남습니다. PAM은 이 계정들을 찾아 금고에 넣고, 사람에게 비밀번호를 보여 주지 않은 채 접속시키며, 접속한 뒤 무엇을 했는지 기록합니다.

IAM과의 차이: IAM은 전 직원의 일반 계정을 다루고, PAM은 그중 사고가 나면 피해가 가장 큰 특권 계정을 따로 떼어 더 엄격하게 다룹니다.

관련 솔루션: BeyondTrust Password Safe, 외부 인력의 원격 접속은 BeyondTrust PRA

NHI비인간 계정Non-Human Identity

서비스 계정, API 키, 토큰, 인증서, AI 에이전트처럼 사람이 아닌 주체가 시스템에 접속할 때 쓰는 신원입니다.

사람 계정은 입사와 퇴사로 정리되고 MFA를 걸 수 있습니다. 비인간 계정은 퇴사가 없고, MFA를 걸 수 없으며, 감사 기록에 사람 이름이 남지 않습니다. 시스템끼리 연결이 늘고 AI 에이전트가 등장하면서 그 수가 사람 계정보다 훨씬 빠르게 늘고 있습니다.

우리 회사에 이런 계정이 몇 개이고 어디까지 닿는지 확인하는 방법은 내부 자산 집중 점검에서 소개합니다.

최소 권한과 JITLeast Privilege · Just-In-Time Access

일에 필요한 권한만 주는 것이 최소 권한이고, 그 권한을 필요한 시간 동안만 주는 것이 JIT입니다.

늘 관리자 권한을 가진 계정은 탈취되는 순간 그대로 공격자의 권한이 됩니다. 평소에는 권한을 비워 두고, 작업할 때만 승인을 받아 잠시 올렸다가 내리면 노출되는 시간이 줄어듭니다.

ASM공격 표면 관리Attack Surface Management

인터넷에서 보이는 우리 회사 자산을 공격자의 눈으로 계속 찾아내고 관리하는 활동입니다.

잊힌 테스트 서버, 만료된 인증서, 열려 있는 관리 포트처럼 자산 목록에 없는 것이 침입 경로가 됩니다. 모르는 자산은 점검 범위에도 들어가지 않습니다. 외부에 노출된 자산만 다루는 경우 EASM(External ASM)이라고 부릅니다.

보안 등급Security Rating

외부에서 관측되는 사실만으로 조직의 보안 상태를 점수로 나타낸 것입니다.

기업의 신용등급과 비슷한 개념입니다. 대상 조직에 무언가를 설치하거나 동의를 받지 않고, 인터넷에서 보이는 증거로 점수를 냅니다. 그래서 우리 회사뿐 아니라 협력사도 같은 기준으로 비교할 수 있습니다.

BitSight는 이 점수를 250점에서 900점 사이로 매일 다시 계산합니다. 자세한 내용은 해커의 눈으로 감시하기와 BitSight SPM에 있습니다.

CTI사이버 위협 인텔리전스Cyber Threat Intelligence

누가, 어떤 수법으로, 무엇을 노리는지에 대한 정보를 모아 방어의 우선순위를 정하는 데 쓰는 것입니다.

취약점이 수백 개 나와도 전부 당장 고칠 수는 없습니다. 실제로 공격에 쓰이고 있는 취약점, 우리 업종을 노리는 공격 그룹을 알면 무엇부터 할지가 정해집니다.

보안 등급과의 차이: 보안 등급은 어디가 약한지 알려 주고, CTI는 지금 누가 그곳을 노리는지 알려 줍니다. 관련 솔루션: BitSight CTI

다크웹 모니터링Dark Web Monitoring

유출된 계정이나 내부 자료가 지하 시장과 해커 포럼에 올라왔는지 살피는 활동입니다.

직원의 회사 메일 계정과 비밀번호가 다른 사이트 유출을 통해 이미 돌아다니는 경우가 흔합니다. 공격자는 이 정보로 로그인을 시도합니다. 유출 사실을 먼저 알면 비밀번호를 바꾸고 MFA를 거는 조치를 앞당길 수 있습니다.

TPRM제3자 위험 관리Third-Party Risk Management

협력사, 수탁사, 솔루션 공급사처럼 우리 시스템과 데이터에 닿는 외부 조직을 통해 들어오는 위험을 평가하고 관리하는 일입니다.

공급망 보안이라고도 부릅니다. 우리 회사가 단단해도 협력사를 거쳐 침입당하는 사고가 늘면서 중요해졌습니다. 지금까지는 1년에 한 번 설문지를 받는 방식이 많았지만, 협력사가 스스로 적어 낸 답만으로는 실제 상태를 확인하기 어렵습니다. 관련 솔루션: BitSight TPRM

SAST정적 분석Static Application Security Testing

프로그램을 실행하지 않고 소스코드를 읽어 보안 약점을 찾는 검사입니다.

코드를 쓰는 단계에서 바로 돌릴 수 있어 가장 일찍 문제를 잡습니다. 코드에 그대로 적어 둔 비밀번호와 접속 키도 여기서 걸러집니다.

DAST동적 분석Dynamic Application Security Testing

실행 중인 애플리케이션에 실제로 요청을 보내 취약점이 드러나는지 확인하는 검사입니다.

SAST와의 차이: SAST는 코드를 안에서 읽고, DAST는 돌아가는 서비스를 밖에서 두드려 봅니다. 서로 찾는 문제가 달라 함께 씁니다.

SCA오픈소스 구성 분석Software Composition Analysis

소프트웨어에 어떤 오픈소스가 어떤 버전으로 들어 있는지 찾아, 알려진 취약점과 라이선스 문제를 확인하는 검사입니다.

요즘 소프트웨어는 직접 쓴 코드보다 가져다 쓴 오픈소스가 더 많습니다. 새 취약점이 발표되었을 때 "우리 제품에 그 부품이 들어 있는가"에 답하려면 이 목록이 있어야 합니다.

SBOM소프트웨어 구성 명세서Software Bill of Materials

소프트웨어를 이루는 구성 요소와 버전을 적은 목록입니다. 식품의 성분표에 해당합니다.

SCA가 검사라면 SBOM은 그 결과로 나오는 문서입니다. 소프트웨어를 납품받는 쪽에서 SBOM 제출을 요구하는 흐름이 국내외에서 넓어지고 있습니다. 배포한 뒤에 만들기는 어렵고, 개발하면서 함께 쌓아야 합니다.

DevSecOpsDevelopment, Security, Operations

개발과 배포 과정 안에 보안 점검을 넣어, 사람이 따로 챙기지 않아도 자동으로 돌아가게 하는 방식입니다.

출시 직전에 한 번 점검하는 방식으로는 개발 속도를 따라가기 어렵습니다. 코드를 올릴 때마다 SAST와 SCA가 돌고, 기준에 못 미치면 배포가 멈추도록 파이프라인에 넣습니다. AI가 코드를 쓰면서 생산량이 늘어난 만큼 이 자동 관문이 더 중요해졌습니다. 관련 솔루션: Sparrow Enterprise

RBI원격 브라우저 격리Remote Browser Isolation

웹 페이지를 사용자 PC가 아닌 격리된 원격 환경에서 실행하고, 안전한 화면만 사용자에게 전달하는 기술입니다.

직원이 악성 링크를 누르면 코드는 그 PC에서 실행됩니다. RBI는 실행되는 위치를 PC 밖으로 옮깁니다. 클릭을 막는 대신, 클릭해도 PC까지 닿지 않게 하는 접근입니다. 관련 솔루션: Menlo Security

불변 백업Immutable Backup

정해 둔 기간 동안 누구도, 관리자 계정으로도 지우거나 바꿀 수 없게 보관하는 백업입니다.

랜섬웨어 공격자는 백업 관리 콘솔에 들어가 백업부터 지웁니다. 불변 백업은 삭제 명령이 와도 실행되지 않습니다. 관련 솔루션: Veeam Data Platform, ExaGrid

3-2-1 규칙3-2-1 Backup Rule

사본을 3개 만들고, 서로 다른 매체 2종류에 나눠 담고, 그중 1개는 다른 장소에 두라는 백업 원칙입니다.

오래된 원칙이지만 지금도 기본입니다. 최근에는 지울 수 없는 사본 1개와 복구 검증 오류 0건을 더한 3-2-1-1-0으로 확장해 쓰기도 합니다. 그림과 함께 본 설명은 백업 저장소를 다룬 글에 있습니다.

프롬프트 주입Prompt Injection

AI가 읽는 입력 안에 지시를 숨겨, 원래 의도와 다른 동작을 하게 만드는 공격입니다.

사용자가 직접 넣는 경우도 있지만, 더 까다로운 것은 AI가 읽는 문서나 웹 페이지, 메일 속에 지시를 숨겨 두는 간접 주입입니다. AI는 읽은 글과 받은 지시를 사람처럼 구분하지 못합니다. 프롬프트 인젝션이라고도 씁니다.

섀도 AIShadow AI

회사가 승인하거나 파악하지 못한 채 직원이 업무에 쓰는 AI 도구입니다.

편해서 쓰기 시작한 외부 AI 서비스에 계약서나 고객 정보, 소스코드가 붙여 넣어집니다. 금지만으로는 줄지 않기 때문에, 무엇이 쓰이는지 파악하고 안전한 대안을 주는 쪽이 현실적입니다. 회사 데이터를 지키면서 AI를 쓰는 방법은 우리 회사 AI 데이터 보호에서 다룹니다.

AI 에이전트 보안AI Agent Security

스스로 도구를 골라 일을 수행하는 AI에 신원과 권한을 정해 주고, 무엇을 했는지 기록하며 통제하는 일입니다.

에이전트는 문서를 읽고 메일을 보내고 시스템에 명령을 내립니다. 일을 맡긴다는 것은 권한을 준다는 뜻이므로, 사람 계정에 하던 관리가 에이전트에도 필요합니다. 도입 전에 정할 원칙은 AI 에이전트 권한 원칙을 다룬 글에 정리했습니다.

가드레일AI Guardrails

AI가 받는 입력과 내놓는 출력을 검사해, 정해 둔 범위를 벗어나는 요청과 응답을 걸러 내는 장치입니다.

개인정보가 포함된 답, 업무와 무관한 요청, 주입된 지시를 따르는 동작을 막는 데 씁니다. 가드레일만으로 모든 위험이 사라지지는 않으므로 권한 제한, 기록과 함께 여러 겹으로 둡니다. 외부 공격에 대비하는 전체 그림은 외부 AI 공격에 대비하기에 있습니다.