CompTIA SY0-701: 취약점 관리 및 패치 관리 — 학습 가이드
다음의 일부입니다: CompTIA Security+ SY0-701 — 학습 가이드. 검증된 답안으로 연습하기: CompTIA 시험 허브, 또는 다음에서 시간 제한 모의고사 풀기: ExamRoll.io.
취약점 관리는 조직의 기술 자산 전반에 걸쳐 보안 취약점을 식별, 분류, 해결 및 검증하는 지속적인 프로세스입니다. 이는 종료일이 있는 프로젝트가 아니라, 매주 수백 개의 새로운 CVE를 만들어내는 위협 환경에 보조를 맞춰야 하는 운영 원칙입니다.
취약점 관리 수명 주기
수명 주기는 자산 식별에서 시작됩니다. 존재를 모르는 것은 보호할 수 없습니다. 능동적 스캐닝(Nessus, Qualys, Rapid7)은 네트워크에서 활성 호스트와 열린 서비스를 탐색합니다. 수동적 식별(네트워크 트래픽 분석, DHCP 로그, CMDB 통합)은 능동적 스캔이 놓치는 자산을 찾아냅니다. 클라우드 환경에서는 기존의 네트워크 스캐닝 방식으로는 서버리스 함수, 관리형 서비스 또는 임시 컨테이너를 열거할 수 없기 때문에 API 기반 식별이 필요합니다.
식별 다음에는 스캐닝이 이어집니다. 인증된 스캔은 설치된 소프트웨어, 패치 수준, 구성 취약점에 대한 완전한 가시성을 제공합니다. 인증되지 않은 스캔은 외부 공격 표면 평가에는 유용하지만 대부분의 취약점을 놓칩니다. 스캔 주기는 위험 수준에 맞춰야 합니다. 인터넷에 노출된 자산은 매주, 내부 서버는 매월, 워크스테이션은 에이전트 기반의 지속적인 모니터링과 함께 매월 스캔해야 합니다.
우선순위 지정은 CVSS를 기준으로 사용하지만, 컨텍스트를 반드시 포함해야 합니다. 물리적으로 분리된(air-gapped) 개발 서버의 CVSS 9.8 취약점은 외부에 공개된 인증 엔드포인트의 CVSS 7.5 취약점보다 긴급성이 떨어집니다. EPSS 점수, KEV 카탈로그 포함 여부, 자산 중요도, 보완 통제(compensating controls) 등이 모두 실질적인 우선순위를 조정합니다. 목표는 모든 것을 패치하는 것이 아니라, 올바른 것을 먼저 패치하는 것입니다.
해결(Remediation) 옵션에는 패치(권장), 구성 변경(취약한 기능 비활성화), 가상 패치(WAF 규칙으로 악용 차단), 네트워크 격리, 또는 문서화된 근거를 통한 공식적인 수용 등이 있습니다. 해결 SLA를 정의하고 추적해야 하며, 예외 사항은 승인과 보완 통제가 필요합니다.
검증은 해결 조치가 효과적이었는지 확인합니다. 패치 후 재스캔을 통해 취약점이 더 이상 존재하지 않음을 확인합니다. 검증은 시간에 쫓겨 생략되는 경우가 많으며, 이는 패치가 배포되었지만 올바르게 적용되지 않았거나, 동일 계층의 다른 인스턴스는 제외하고 하나의 인스턴스에서만 취약점이 해결되는 상황으로 이어질 수 있습니다.
패치 관리 운영
패치 관리는 해결 단계를 운영화합니다. 성숙한 프로그램에는 패치 테스트 파이프라인이 포함됩니다. 패치를 먼저 비운영 환경에 적용하여 호환성과 기능을 검증한 후, 변경 관리 프로세스를 통해 운영 환경으로 배포합니다. 활발히 악용되는 취약점에 대한 긴급 패치는 신속한 변경 승인을 통해 전체 테스트 주기를 생략할 수 있습니다.
대규모 Windows 패치를 관리하는 데는 **Windows Server Update Services (WSUS)**와 **Microsoft Endpoint Configuration Manager (MECM/SCCM)**가 일반적으로 사용되는 도구입니다. Linux 환경에서는 패키지 관리자(apt, yum, dnf)를 자동화 도구(Ansible, Puppet, Chef)와 결합하여 패치 상태를 강제합니다. 클라우드 네이티브 환경에서는 AWS Systems Manager Patch Manager, Azure Update Management 또는 이와 동등한 서비스를 사용합니다.
패치 준수 보고는 각 심각도 등급별로 SLA를 준수하는 자산의 비율을 추적합니다. 중요 패치에 대해 94%의 준수율을 보이는 대시보드는 괜찮아 보일 수 있지만, 10,000개 엔드포인트의 6%는 600개의 패치되지 않은 시스템이며, 각각이 잠재적인 진입점이 될 수 있다는 점을 깨달아야 합니다. 백분율만큼 절대적인 숫자도 중요합니다.
구성 관리 및 기준선
구성 관리는 시스템을 알려진 보안 상태로 유지합니다. 구성 기준선은 각 시스템 유형에 대해 승인된 상태를 정의하며, 드리프트 탐지는 해당 기준선과의 편차를 식별합니다. CIS-CAT Pro, OpenSCAP과 같은 도구 및 클라우드 네이티브 서비스(AWS Config, Azure Policy)는 구성 준수 여부를 지속적으로 평가하고 드리프트 발생 시 경고합니다.
변경 관리는 운영 시스템의 수정을 관리합니다. 모든 변경에는 문서화된 근거, 위험 평가, 롤백 계획 및 적절한 이해관계자의 승인이 있어야 합니다. 정상적인 변경 기간 외에 필요한 긴급 변경은 신속한 프로세스를 따르며, 구현 후 검토가 이루어집니다. 구성 관리 도구에 의해 탐지된 무단 변경은 달리 입증될 때까지 보안 이벤트로 취급됩니다.
실제 시나리오: 긴박한 상황에서의 Log4Shell 대응
2021년 12월 9일, CVSS 점수 10.0의 CVE-2021-44228 (Log4Shell)이 공개되고 몇 시간 만에 실제 공격이 발생했을 때, 조직들은 취약점 관리 프로그램의 모든 측면을 시험하는 위기에 직면했습니다. 성숙한 프로그램을 갖춘 한 기술 회사는 다음과 같이 대응했습니다. 2시간 이내에 보안팀은 자산 인벤토리에서 모든 Java 애플리케이션을 조회하여 잠재적으로 영향을 받을 수 있는 847개의 시스템을 식별했습니다. 6시간 이내에 인증된 스캔을 통해 취약한 Log4j 버전을 실행하는 312개의 시스템을 확인했습니다. 24시간 이내에 모든 인터넷 연결 시스템에 임시 보완 통제로 ${jndi: 문자열 패턴을 차단하는 WAF 규칙을 배포했습니다. 72시간 이내에 중요 시스템의 89%가 패치되었습니다. 나머지 11%는 애플리케이션 소유자의 패치 기간 승인을 기다리는 동안 제한된 네트워크 세그먼트에 격리되었습니다. 이 프로그램의 성공은 많은 조직에 부족했던 세 가지 전제 조건에 달려 있었습니다. 바로 완전하고 정확한 자산 인벤토리, 인증된 스캐닝 기능, 그리고 일주일씩 걸리는 승인 주기 없이 즉시 발동할 수 있는 사전 승인된 긴급 변경 절차입니다.
이 문제 연습하기 → · ExamRoll.io에서 시간 제한 연습 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
시험 합격하기 →