보안 사고 대응 보고서 - 2026

4.1. 일반적인 기여 요인: 공격이 성공하는 이유

공격자가 제로데이 익스플로잇에 성공하는 경우는 거의 없습니다. 2025년에 대응한 보안 사고의 90% 이상에서 예방 가능한 범위의 공백과 일관성 없이 적용된 제어가 침입에 직접적으로 기여한 것으로 나타났습니다.

이러한 격차는 공격자가 얼마나 쉽게 초기 액세스 권한을 얻고, 얼마나 빠르게 측면으로 이동하며, 방어자가 제때 탐지하고 대응할 수 있는지를 결정합니다. 올해 조사에서 세 가지 시스템적 질환이 반복적으로 나타났습니다.

1. 가시성 격차: 누락된 컨텍스트 지연 감지

많은 조직이 초기 단계의 공격자 행동을 관찰하는 데 필요한 원격 측정을 활용하지 못하고 있습니다. 초기 접속 및 초기 공격자 활동에 대한 중요한 지표는 SOC가 엔드포인트, 네트워크, 클라우드, SaaS 계층에서 신호를 운영하지 않기 때문에 눈에 띄지 않는 경우가 많습니다. 그 결과, 방어자는 개별 이벤트를 볼 수는 있지만 활성 침입을 인식할 수 있는 상관관계가 부족하여 컨텍스트가 누락됩니다.

이러한 파편화로 인해 대응자는 서로 다른 도구에서 공격을 수동으로 재구성해야 하므로 공격자가 이를 악용할 수 있는 지연이 발생합니다. 보안 사고의 87%에서 Unit 42 조사관들은 사건의 진상을 규명하기 위해 두 개 이상의 서로 다른 출처에서 증거를 검토했으며, 복잡한 사건의 경우 10개에 달하는 증거를 검토하기도 했습니다. 통합 가시성이 부족하면 지속적으로 탐지가 느려져 방어자가 전체 상황을 파악하기 전에 적들이 측면 이동을 시작할 수 있었습니다.

2. 환경의 복잡성: 불일치가 만들어내는 가장 저항이 적은 경로

보안 기준선이 보편적으로 적용되는 경우는 거의 없습니다. 시간이 지남에 따라 레거시 시스템, 기술 채택 또는 인수합병 활동으로 인한 환경 변화로 인해 기업 전체에 일관된 표준을 적용하기가 어려워집니다.

여러 조사에서 엔드포인트 보호와 같은 중요한 제어 기능이 한 사업부에는 완전히 배포되었지만 다른 사업부에는 누락되었거나 성능이 저하된 경우가 있었습니다. 이러한 불일치로 인해 저항이 가장 적은 경로가 만들어집니다. 데이터 침해의 90% 이상이 새로운 익스플로잇이 아닌 잘못된 설정이나 보안 적용 범위의 차이로 인해 발생했습니다.

3. 신원: 과도한 신뢰는 측면 이동으로 이어집니다

조사 전반에 걸쳐 신원 취약점이 초기 발판을 광범위한 접근으로 전환하는 일이 반복적으로 발생했습니다. 핵심 문제는 과도한 신뢰 권한과 접근 경로가 지나치게 허용적이거나 필요한 시기가 지난 후에도 그대로 유지되는 경우가 많았습니다.

공격자는 폐기되지 않은 레거시 역할과 과도한 권한이 부여된 서비스 계정을 오용하여 권한을 확대했습니다. 이들은 침입하는 대신 조직이 신뢰를 너무 많이 남겨둔 곳에 유효한 액세스 권한을 사용하여 공격했습니다.

이러한 실패는 신원 혼란을 반영합니다. 권한이 누적되고 예외가 지속될수록 침입자는 더 적은 장벽에 부딪히게 됩니다. 보안 사고의 거의 90%가 조사 대상 또는 주요 공격 벡터로서 신원 관련 요소로 거슬러 올라갑니다.

4.2. 방어자를 위한 권장 사항

다음 권장 사항은 위에서 설명한 시스템적 문제를 해결하기 위한 실질적인 조치에 중점을 둡니다.

1. 보안 운영의 역량을 강화하여 더 빠르게 탐지하고 대응하기

현재 가장 빠른 공격은 약 1시간 만에 데이터를 유출하기 때문에 보안 운영은 기계의 속도로 움직여야 합니다. 이는 기업 전반에 걸친 포괄적인 가시성, 노이즈 속 신호를 식별하는 AI, 즉각적인 대응 및 해결을 위한 자동화를 통해 SOC의 역량을 강화하는 데서 비롯됩니다. 이 6가지 기능을 도입하면 SOC가 성공할 수 있는 최상의 위치에 서게 됩니다.

• 모든 관련 보안 데이터를 수집합니다. 공격자는 사일로에서 활동하지 않지만 방어자는 사일로에서 모니터링하는 경우가 많습니다. 2025년에는 특히 SaaS, 클라우드 ID, 자동화 계층 전반의 가시성 격차가 공격자의 성공을 좌우하는 주요 요인이 될 것입니다. 중요한 원격 측정은 종종 존재했지만 서로 다른 시스템에 갇혀 있었기 때문에 방어자가 세션 토큰과 같은 자동화 출력 또는 브라우저에 저장된 아티팩트와 ID 이동의 상관관계를 파악할 수 없었습니다.

  최신 침입을 탐지하려면 조직은 신원 공급업체, 클라우드 플랫폼, SaaS 애플리케이션의 신호를 수집하고 정규화하여 통합된 보기로 만들어야 합니다. 이러한 통합은 공격자가 악용하는 취약점을 차단하여 방어자가 에스컬레이션 경로를 조기에 식별할 수 있도록 합니다. 규칙 기반 탐지를 사용하든 AI를 사용하든 인사이트의 품질은 전적으로 인사이트에 제공되는 데이터의 완전성에 달려 있습니다.

• AI 기반 기능으로 위협을 예방, 탐지 및 우선순위를 지정하십시오. 높은 경보 볼륨과 파편화된 도구로 인해 공격자는 시스템 전체에 활동을 확산하여 숨을 수 있습니다. 상관관계가 없으면 이러한 작업은 서로 관련이 없는 것처럼 보이므로 에스컬레이션이 지연됩니다. 이러한 이질적인 신호를 통합된 운영 관점으로 연결하려면 AI 기반 기능이 필수적입니다.

  행동 분석은 클라우드 자동화를 통해 규칙 기반 탐지로는 포착하지 못하는 비정상적인 토큰 사용이나 측면 이동과 같은 미묘한 이상 징후를 발견하는 데 도움이 됩니다.

  AI는 신원, 엔드포인트, 클라우드, 네트워크 계층 전반에서 이벤트를 상호 연관시켜 방어 기능을 강화하고, 백그라운드 노이즈보다 충실도가 높은 보안 사고의 우선순위를 지정합니다. 이를 통해 보안 팀은 조직화된 공격과 일상적인 활동을 즉시 구분할 수 있으므로 분석가들은 오탐을 쫓는 대신 가장 큰 위험을 초래하는 위협에 집중할 수 있습니다.

• 자동화를 통해 실시간 위협 대응을 지원합니다. 차단 지연은 종종 소유권이 불분명하고 공격자 자동화를 따라가지 못하는 수동 검증 단계로 인해 발생합니다. 효과적인 대응을 위해서는 토큰을 취소하거나 워크로드를 격리하는 등 자동화된 격리 조치에 대한 명시적인 권한을 할당하여 실행이 주저 없이 진행될 수 있도록 해야 합니다.

  즉흥적인 판단을 표준화되고 검증된 플레이북으로 대체함으로써 조직은 감사 가능한 순서에 따라 대응할 수 있습니다. 그러나 최신 위협의 속도에 대응하기 위해서는 에이전트 AI를 궁극적인 방어 가속기로 배치해야 합니다. 이러한 자율 시스템은 복잡한 알림을 동적으로 조사하고 여러 도메인의 데이터를 기계의 속도로 상호 연관시켜 전체 상황을 파악합니다.

  검증이 완료되면 에이전트는 마이크로세그멘테이션을 통해 영향을 받는 시스템을 격리하는 것부터 손상된 자격 증명을 자동으로 취소하는 것까지 동적이고 정밀한 격리 조치를 실행할 권한이 부여됩니다. 이러한 체계적이고 지능적인 접근 방식은 운영의 편차를 획기적으로 줄이고 공격자의 체류 시간을 제한하며 고립된 침해가 더 큰 사고로 확대되는 것을 방지합니다.

• 사후 대응에서 사전 예방적 보안으로 전환하십시오. 사후 대응적 방어에서 벗어나기 위해 조직은 기존의 펜테스팅을 넘어 지속적인 공격적 테스트로 전환해야 합니다. 특정 시점의 감사로는 공격자가 실제 침입에서 악용하는 ID 이동과 클라우드 잘못된 구성의 상호 작용을 포착하는 경우가 거의 없습니다. 방어자는 현실적인 조건에서 제어가 어떻게 작동하는지 검증하여 원격 측정 파이프라인과 대응 워크플로가 의도한 대로 작동하는지 확인해야 합니다.

  사전 대응은 복구까지 확장됩니다. 복원력이 있는 조직은 서비스를 복원하기 전에 시스템에 손상된 자격 증명이나 변경된 구성과 같은 남아있는 액세스 권한이 없는지 확인합니다. 단순히 오래된 스냅샷을 복원하는 것이 아니라 근본적인 원인을 해결하면 빠른 재감염을 방지하고 장기적인 복원력을 강화하는 데 도움이 됩니다.

• 고성능 성과를 위해 SOC를 업그레이드하십시오. 보안 사고가 진행 중일 때 일관성 없는 봉쇄 또는 소유권이 불분명하면 공격자가 다시 접속할 수 있는 구멍이 생깁니다. 고성능 SOC는 분석가나 시간에 관계없이 대응 조치가 균일하게 적용되도록 함으로써 이러한 편차를 제거합니다.

  압박 속에서도 일관성을 유지하는 것은 매우 중요하며, 이는 고립된 침해가 더 큰 위기로 확대되는 것을 방지합니다.

  이를 달성하려면 보안, IT 및 DevOps 전반에 걸쳐 운영 사일로를 연결해야 합니다. 플레이북은 시스템이 원래 설계된 방식이 아니라 현재 운영되는 방식을 반영하여 자동화된 작업이 실제 비즈니스 로직과 일치하도록 해야 합니다. 분석가에게 알림 분류만 담당하는 것이 아니라 엔드투엔드 보안 사고 대응과 같은 더 광범위한 책임을 부여하면 유지율이 향상되고 활용도가 높아지며 측정 가능한 비즈니스 성과를 창출할 수 있습니다.

• IR 리테이너로 벤치를 더 깊게 해서 대응 역량을 강화하십시오. 올바른 리테이너는 비상 대응을 넘어 역량을 확장합니다. 앞서 나가려면 조직은 위협 행위자가 야생에서 사용하는 특정 행동에 대해 제어 기능을 테스트하고 검증해야 합니다. 공격 보안, AI 보안, SOC 프로세스 및 클라우드 보안 전반에 걸쳐 반복적인 평가를 통해 원격 측정 파이프라인과 대응 워크플로가 실제 공격 조건에서 의도한 대로 작동하는지 확인할 수 있습니다.

  IR 유지 파트너는 사전 준비 상태 점검, 탐지 엔지니어링 및 검증을 위해 전문가에게 신속하게 접근할 수 있도록 지원하여 시간이 지나도 방어 개선이 지속되도록 해야 합니다. 지속적인 테스트와 유지된 전문 지식을 결합함으로써 조직은 복원력을 향상시킬 수 있습니다.

이러한 핵심 원칙에 따라 SOC를 조정하면 방어 체계를 적을 능가하고 위협이 확대되기 전에 차단할 수 있는 고속 대응 엔진으로 전환할 수 있습니다.

2. 제로 트러스트를 도입하여 영향 영역을 제한하기

제로 트러스트는 ID가 주요 공격 표면이 된 환경에서 전략적으로 필수적인 요소입니다. 목표는 사용자, 디바이스, 애플리케이션 간의 암묵적인 신뢰 관계를 없애고 디지털 상호작용의 모든 단계를 지속적으로 검증하는 것입니다.

실제로 제로 트러스트를 달성하는 것은 복잡합니다. 그러나 작은 개선이라도 공격 표면을 줄이고 측면 이동을 제한하며 환경에 대한 초기 액세스의 영향을 최소화할 수 있습니다. 방어자는 경계 내부의 안전에 대한 가정을 제거함으로써 공격자가 모든 접근을 위해 더 열심히 노력하도록 하여 속도를 늦추고 탐지할 기회를 더 많이 만들 수 있습니다.

• 사용자, 디바이스, 애플리케이션을 지속적으로 확인합니다. 공격자는 초기 로그인 후에도 유지되는 정적 신뢰를 악용하는 경우가 많습니다. 일단 내부에 들어가면 탈취한 세션 토큰이나 유효한 자격 증명을 사용하여 합법적인 사용자로 가장하고, 경계 통제를 완전히 우회하는 경우가 많습니다. 출입구에 설치된 정적인 점검 지점만으로는 더 이상 충분하지 않습니다.

  지속적인 확인은 세션 중 조건이 변경되면 결정을 재검토하여 신뢰를 동적으로 처리합니다. 신원 컨텍스트, 디바이스 상태 및 애플리케이션 동작을 실시간으로 확인하면 조직은 합법적인 세션이 탈취되거나 사용자 동작이 표준에서 벗어나는 시점을 감지할 수 있습니다. 그 결과, 침해된 계정이나 디바이스는 제한된 기간 동안만 공격자에게 유용하게 사용되므로 액세스 권한을 확장하거나 데이터를 스테이징할 수 있는 기회가 줄어듭니다.

• 공격자의 이동을 제한하기 위해 최소 권한을 적용합니다. 과도한 권한은 공격자의 역량을 배가시키는 수단으로 작용합니다. 2025년에 발생한 많은 보안 사고에서 침입자는 조직이 제거하지 못한 누적된 권한과 폐기되지 않은 역할을 사용하여 신원 이동을 이용하여 내부 제어를 우회했습니다. 복잡한 익스플로잇에 의존하는 대신, 유효하지만 과도하게 프로비저닝된 액세스 경로를 통해 측면으로 이동했습니다.

  최소 권한을 적용하면 사용자, 서비스 및 애플리케이션이 해당 기능에 필요한 액세스 권한으로만 제한되어 공격 표면이 줄어듭니다. 이는 인간 사용자를 넘어 머신 신원 및 서비스 계정까지 확장되어야 하며, 종종 광범위하고 제대로 모니터링되지 않는 권한을 보유하는 경우가 많습니다. 불필요한 권한을 제거하면 공격자가 의존하는 단순한 액세스 경로가 제거되어, 그 결과 방어자가 탐지하기 쉬운 더 눈에 잘 띄고 어려운 기술을 사용하게 됩니다.

• 신뢰할 수 있는 트래픽과 신뢰할 수 없는 트래픽에 일관된 검사를 적용하십시오. 신뢰할 수 있는 트래픽과 신뢰할 수 없는 트래픽에 일관된 검사를 적용하십시오. 공격자는 경계가 지켜지는 동안 워크로드 간의 내부 ‘동서’ 트래픽이 검사 없이 통과하는 경우가 많다는 것을 알고 있습니다. 이들은 암호화된 내부 연결을 사용하여 경보를 트리거하지 않고 데이터를 측면으로 이동하고 스테이징하는 방식으로 이러한 신뢰를 악용합니다.

  일관되고 광범위한 위협 분석을 수행하려면 조직은 모든 네트워크, 클라우드 및 보안 액세스 서비스 에지(SASE) 보안을 하나의 통합 플랫폼으로 통합해야 합니다. 이 통합 패브릭은 모든 곳에서 일관된 계층 7 검사를 제공하여 하나의 관리 플레인을 통해 자동으로 정책을 시행합니다.

  이러한 통합을 통해 고급 클라우드 제공 보안 서비스로의 전략적 전환이 가능해집니다. 이러한 전환을 통해 내부 워크로드 간에 이동하는 트래픽에 대한 중요한 복호화 및 검사를 포함하여 모든 트래픽을 실시간으로 인라인 분석할 수 있습니다. 이 기능은 공격자가 숨을 수 있는 지점을 제거하여 알려지지 않은 피싱, 제로데이 멀웨어 및 회피형 C2 활동을 선제적으로 차단합니다.

• 데이터 액세스 및 이동을 제어하여 영향을 줄이십시오. 많은 보안 사고에서 가장 큰 피해를 주는 결과는 초기 침해가 아니라 후속 데이터 액세스, 스테이징 및 유출 과정에서 발생합니다. 공격자는 종종 제어가 취약하거나 흐름이 제대로 모니터링되지 않는 리포지토리를 검색하여 탐지되기 전에 민감한 정보를 조용히 수집합니다.

  데이터 액세스, 공유 및 전송 방식에 대한 강력한 거버넌스는 민감한 정보가 이동할 수 있는 위치와 조건을 제한하여 이러한 기회를 줄입니다. 데이터 경로를 엄격하게 제어하고 지속적으로 모니터링하면 공격자가 귀중한 자산을 준비하거나 추출할 수 있는 옵션이 줄어들어 침해가 발생하더라도 잠재적 손실의 규모와 심각성을 줄일 수 있습니다.

암묵적 신뢰를 체계적으로 제거하면 공격자가 의존하는 모빌리티를 제거하여 단일 침해 지점이 기업 전체의 위기로 이어지지 않고 보안 사고가 제한되도록 할 수 있습니다.

3. 더 강력한 ID 및 접속 관리로 신원 공격 차단

신원은 이제 보안의 경계가 되었지만, 여전히 보안이 취약한 경우가 많습니다. 2025년에 조사된 침입의 절반 이상에서 신원 취약점이 결정적인 요인이었는데, 이는 주로 신원 저장소가 이를 관리하기 위한 통제보다 빠르게 확장되었기 때문입니다.

공격자들은 이러한 거버넌스 이동으로 인해 생긴 틈새를 통해 지속적으로 이동하여 레거시 권한과 모니터링되지 않는 서비스 계정을 악용하여 경계 방어를 우회했습니다. 이를 중단하기 위해 조직은 신원을 정적인 자격 증명 목록이 아닌 전체 수명 주기에 걸쳐 동적인 운영 자산으로 관리해야 합니다.

• 사람과 기계의 신원 관리를 중앙화하십시오. 보이지 않는 것을 다스릴 수는 없습니다. 신원 데이터가 레거시 디렉터리, 클라우드 제공업체, SaaS 환경에 파편화되어 있는 경우 공격자는 그 취약점을 이용합니다.

  사용자 및 머신 신원을 권한 있는 디렉터리로 중앙화하면 인증 절차가 간소화되고 지속적으로 모니터링하기 어려운 숨겨진 액세스 경로가 제거됩니다. 이러한 통합에는 타사 통합 및 API 커넥터도 포함되어야 하므로 사람, 서비스 계정, AI 에이전트 등 액세스를 요청하는 모든 주체가 보안 팀에 시각적으로 표시되어야 합니다. 통합 제어 플레인이 구축되면 방어형 AI는 로그인 이상 징후와 의심스러운 활동의 상관 관계를 파악하여 신원을 정적인 자격 증명 목록이 아닌 능동적인 운영 신호로 전환할 수 있습니다.

• 지속적인 수명 주기 관리로 거버넌스 이탈을 방지하십시오. 운영상의 변화가 이를 안내하도록 설계된 제어보다 빠르게 진행되는 거버넌스 드리프트는 공격자가 우위를 확보하는 데 여전히 큰 기여를 하고 있습니다.

  역할 전환, 빠른 배포 주기, 일상적인 단축키가 서면 정책과 실제 액세스 사이의 간극을 넓혔습니다. 워크플로 도구 및 서비스 커넥터가 보유한 권한은 종종 정책이 의도한 범위를 초과합니다. 이로 인해 공격자가 기존 권한과 모니터링되지 않는 서비스 계정을 통해 악용할 수 있는 에스컬레이션 경로가 만들어졌습니다. 자동화를 현재 요구 사항으로 제한하고 시간이 지나면 과도한 액세스를 폐기함으로써 신원을 수명 주기로 취급하면 이러한 격차를 줄이고 초기 액세스 이후 공격자의 움직임을 제한하는 데 도움이 됩니다.

• 신원 기반 위협을 탐지하고 대응하십시오. 방어형 AI는 신원이 정적 자격 증명이 아닌 운영 자산으로 관리되는 환경에서 가장 효과적으로 작동합니다. 조사 결과, 강력한 신원 기반을 갖춘 조직은 로그인 이상 징후, 자동화 활동, 주변 신원 이벤트를 조기에 연결하여 더 빠르게 차단하는 것으로 나타났습니다.

  거버넌스가 강력한 곳에서는 탐지 파이프라인이 더 명확하고 신뢰할 수 있는 지표를 생성하여 팀이 에스컬레이션 행동을 조기에 파악하는 데 도움이 되었습니다. 반대로 거버넌스가 취약하면 이러한 신호를 가리는 노이즈가 발생했습니다. 정기적인 검토를 통해 권한을 실제 요구 사항에 맞게 조정하여 감지 신호의 정확성을 높이고 AI 지원 제어가 효과적으로 작동하도록 합니다.

• AI 및 자동화 무결성을 보호하십시오. 조직이 AI 에이전트와 자동화된 워크플로를 핵심 프로세스에 도입함에 따라 이러한 시스템은 매력적인 조작 대상이 되고 있습니다. 조사 과정에서 광범위한 기본 액세스 권한과 자동화 도구가 배포된 어시스턴트 계정이 무결성 검증 없이 실행되는 것을 확인했습니다.

  이러한 도구가 공격의 벡터가 되는 것을 방지하려면 보안 팀은 인간 사용자에게 적용하는 수준과 동일한 거버넌스의 엄격함을 AI 시스템에도 적용해야 합니다. 여기에는 자동화 단계를 프로덕션에 배포하기 전에 명시적으로 검증하고 AI 지원 워크플로에 무결성 검사를 적용하고 어시스턴트 계정이 오용되지 않도록 강화되었습니다.

신원을 정적 디렉터리가 아닌 동적 운영 시스템으로 취급하면 공격자가 사용하는 숨겨진 경로를 제거하고 보안 팀이 오용이 발생하는 순간 이를 탐지할 수 있습니다.

4. 코드 투 클라우드에서 애플리케이션 수명 주기 보호

현대 기업을 보호하려면 인프라를 보호하는 것 이상의 것이 필요합니다. 이를 위해서는 이를 제작하는 공장을 보호해야 합니다.

2025년에 공격자들은 소프트웨어 공급망과 클라우드 API를 표적으로 삼아 기존의 경계를 우회하여 코드에 취약점을 주입하거나 취약한 통합을 악용하여 프로덕션에 도달하기 전에 공격하는 경우가 점점 더 많아지고 있습니다. 이에 대응하기 위해 조직은 개발 초기 단계부터 런타임까지 보안 보호 장치를 확장하여 AI 모델, 빌드 파이프라인 및 타사 코드를 내부 시스템과 동일한 수준으로 엄격하게 처리해야 합니다.

• 보안 문제가 프로덕션 환경에 도달하지 못하도록 차단하십시오. 보안은 개발 속도에 맞춰 작동해야 합니다. DevOps와 지속적 통합 및 CI/CD 파이프라인에 안전 장치를 통합하면 배포 전에 사용자 지정 코드, 오픈 소스 구성 요소 및 AI 구성의 취약성을 식별하고 수정하는 데 도움이 됩니다.

  모델 보안 및 구성에 대한 조기 평가가 다운스트림 위험을 줄이는 AI 시스템에도 동일한 접근 방식이 적용됩니다. 개발 도구를 강화하고 오픈 소스 종속성을 관리하면 공격자가 비즈니스 워크플로 내에서 신뢰를 얻기 위해 악용하는 취약점을 제거할 수 있습니다.

• 소프트웨어 및 AI 공급망을 보호하십시오. 가장 일반적인 공격 벡터는 아니지만, 공급망 침해는 특히 성숙한 조직에서 가장 큰 영향을 미칩니다. 빌드 시스템, 통합 서비스 및 AI 관련 리포지토리의 취약점으로 인해 공격자는 방화벽과 상호작용하지 않고도 다운스트림 환경에 도달할 수 있습니다.

  이러한 노출을 줄이려면 엄격한 출처 확인이 필요합니다. 빌드 환경과 배포 파이프라인에는 명확한 신원 제어 및 무결성 보호 기능이 있어야 합니다. 외부 소프트웨어 라이브러리, API 커넥터 및 AI 구성 요소는 채택하기 전에 액세스 패턴과 업데이트 관행에 대해 평가해야 합니다. 효과적인 공급망 거버넌스는 탐지 프로세스에 신뢰할 수 있는 기준을 제공하므로 신뢰할 수 있는 종속성이 예기치 않게 작동하기 시작하는 시점을 쉽게 파악할 수 있습니다.

• 런타임 공격을 식별하고 차단하십시오. 애플리케이션이 가동되면, 그다음은 격리 조치로 초점이 옮겨갑니다. 공격자는 합법적인 클라우드 ID, API 또는 워크로드 권한을 오용하여 액세스를 지속하고 확장하려는 시도를 자주 합니다.

  행동 모니터링, 명확한 네트워크 경계, 예기치 않은 API 상호 작용 제한과 같은 일관된 런타임 제어와 결합된 실시간 탐지는 이러한 수법을 차단하는 데 도움이 됩니다. 모델 드리프트 및 무단 데이터 액세스에 대한 모니터링을 통해 초기 침해 이후에도 공격자의 움직임을 제한하는 AI 호스팅 환경에도 동일한 보호 기능을 적용해야 합니다.

• 이미지 클라우드 탐지 및 대응(CDR). 클라우드에서는 속도가 중요한 유일한 지표입니다. 영향을 받는 워크로드를 격리하거나 오용된 신원을 취소하는 것이 지연되면 공격자가 공격을 확대할 수 있는 여지가 생깁니다.

  자동화를 통해 SecOps 팀은 기본 클라우드 제어를 사용하여 클라우드 기반 위협을 지속적으로 탐지하고 대응하여 보안 사고를 신속하게 억제할 수 있습니다. 손상된 컨테이너를 격리하거나 의심스러운 세션 토큰을 취소하는 등의 조치를 취하면 국지적인 문제가 더 광범위한 서비스 중단이나 데이터 손실로 확대되는 것을 방지할 수 있습니다.

• 안전한 AI 및 개발 문화를 구축하십시오. 이제 AI는 단순한 도구가 아니라 운영의 자산입니다. 지원 도구와 자동화된 프롬프트가 일상적인 워크플로에 포함됨에 따라 기술적 제어만으로는 해결할 수 없는 행동 위험이 발생하고 있습니다.

  강력한 보안 문화는 AI 시스템을 중요 인프라와 동일한 규율로 취급합니다. 여기에는 어시스턴트 사용 방식 검토, 프롬프트에서 민감한 데이터 노출 방지, AI가 생성한 코드의 유효성 검사 등이 포함됩니다. 팀에서 효과적인 AI 활용에 있어 인간의 판단이 여전히 핵심이라는 점을 이해하면 거버넌스 통제를 우회하지 않고 강화하여 자동화를 위한 추진 속도가 이를 감독하는 능력을 능가하지 않도록 합니다.

개발 및 런타임 환경의 패브릭에 보안을 내재화하면 AI 및 클라우드 혁신의 속도가 시스템 리스크가 아닌 비즈니스 성장을 주도할 수 있도록 지원합니다.

5. 공격 표면 및 휴먼 인터페이스 보호

이제 조직을 보호하려면 회사 노트북을 넘어서야 합니다. 최신 공격 표면은 관리되지 않는 계약업체 디바이스, 퍼블릭 클라우드 자산, 기업의 주요 작업 공간이 된 웹 브라우저 자체로 확장되었습니다.

방어자로서 우리는 이중의 도전에 직면해 있습니다. 공격자가 지속적으로 스캔하는 외부 노출 지점을 엄격하게 관리하는 동시에 사용자가 데이터, AI, 개방형 웹과 상호 작용하는 휴먼 인터페이스를 함께 보호해야 합니다. 이렇게 방대한 환경을 보호하려면 보안의 범위를 외부 엣지에서 브라우저 세션까지 확장해야 합니다.

• 적극적인 노출 관리로 공격 표면을 줄이십시오. Unit 42는 소프트웨어 취약성이 올해 보안 사고 초기 접속의 22%를 차지한 것으로 나타났고 단순한 발견을 넘어 적극적인 위험 우선순위 지정으로 전환해야 한다는 점을 강조했습니다. 효과적인 노출 관리는 기존 스캔이 놓치는 섀도 인프라와 승인되지 않은 AI 도구를 포함하여 디지털 풋프린트에 대한 완전하고 지속적인 인벤토리를 생성하여 이러한 격차를 해소합니다.

  특히 이 전략은 위협 인텔리전스를 사용하여 노이즈를 걸러내어 실제 공격 환경에서 활발하게 표적이 되고 있고(예: CISA KEVs) 보상 제어가 부족한 자산만 우선순위를 정해야 합니다. 팀은 제한된 리소스를 악용 가능한 비즈니스 크리티컬 위험에 집중함으로써 공격자가 열린 문을 찾기 전에 기회의 창을 닫을 수 있습니다.

• 휴먼 인터페이스를 보호하십시오. 브라우저는 새로운 엔드포인트이자 새로운 기업 데스크톱입니다. 브라우저는 직원들이 데이터에 액세스하는 곳이고, 계약업체가 업무를 수행하는 곳이며, 안타깝게도 피싱과 같은 소셜 엔지니어링 공격이 가장 효과적인 곳이기도 합니다.

  이 인터페이스를 보호하려면 관리형 및 비관리형 기기 모두에 대해 완전히 격리되고 안전한 기업 업무 공간을 구축하는 엔터프라이즈급 보안 브라우저가 필요합니다. 이 강력한 계층은 기본 하드웨어에 관계없이 실시간으로 데이터 제어를 시행합니다. 민감한 페이지에서 복사 및 붙여넣기를 비활성화하고, 알 수 없는 출처의 파일 다운로드를 방지하며, 표준 이메일 필터를 회피하는 지능형 피싱 사이트를 식별할 수 있습니다. 브라우저를 강화함으로써 조직은 섀도 AI 사용에 대한 세분화된 가시성을 확보하고 중요한 기업 데이터가 승인되지 않은 GenAI 도구로 유출되는 것을 직접적으로 방지할 수 있습니다.

• 타사 및 관리되지 않는 액세스를 보호합니다. 모든 계약자 또는 인수 대상에게 기업 노트북을 배송하는 경직된 모델은 더 이상 지속 가능하지도 않고 안전하지도 않습니다. 조직은 기존 가상 데스크톱 인프라(VDI) 솔루션의 비용과 복잡성 없이 관리되지 않는 디바이스에서 제로 트러스트 액세스를 강제할 수 있는 방법이 필요합니다.

  브라우저를 통해 업무 공간을 보호함으로써 기업은 계약자 및 BYOD 사용자에게 기업 애플리케이션에 대한 안전한 액세스 권한을 부여하는 동시에 비즈니스 데이터를 개인 환경과 엄격하게 격리할 수 있습니다. 이러한 접근 방식은 인수합병 통합 및 계약자 온보딩을 가속화하는 동시에 손상된 개인 디바이스가 기업 네트워크에 침입하는 디딤돌로 사용되지 않도록 보장합니다.

• 통합 원격 측정을 수집하고 대응을 자동화하십시오. 엔드포인트를 관리하는 기업에게 데이터는 방어의 원동력입니다. 정교한 공격을 탐지하려면 프로세스, 네트워크 연결 및 신원 행동 전반에 걸쳐 높은 신뢰도의 원격 측정을 수집한 다음, 중앙 플랫폼 내에서 해당 데이터를 통합해야 합니다.

  이 데이터를 AI 기반 엔진으로 분석하면 개별적으로는 보이지 않던 이상 징후가 침해의 명확한 손상 지표가 됩니다. 하지만 탐지는 전투의 절반에 불과합니다.

  피해를 최소화하려면 대응 메커니즘을 자동화해야 합니다. 보안 팀은 손상된 엔드포인트를 격리하고, 포렌식 스캔을 시작하고, 머신 속도로 위협을 해결하여 국지적인 감염이 시스템 침해로 이어지지 않도록 할 수 있는 역량을 갖춰야 합니다.

브라우저를 기본 작업 공간으로 보호하고 외부 공격 표면을 엄격하게 관리함으로써 기존 엔드포인트 제어가 더 이상 도달할 수 없는 사용자와 자산을 보호할 수 있습니다.