공격 표면

공격 표면(Attack Surface)은 사이버 공격자가 시스템이나 조직에 침투하거나, 비인가 행위를 수행하거나, 정보를 탈취하기 위해 접근하고 악용할 수 있는 모든 접점과 경로의 집합이다. 서버, 네트워크, 애플리케이션, 계정, API, 클라우드 자원뿐 아니라 사람과 물리적 접근 경로도 포함할 수 있다.

개요

공격 표면은 정보시스템이 외부 또는 내부의 공격자에게 얼마나 많은 공격 기회를 제공하는지를 이해하기 위한 정보보안 개념이다.

미국 NIST는 공격 표면을 공격자가 시스템의 경계에서 침입을 시도하거나 영향을 미치거나 데이터를 추출할 수 있는 지점들의 집합으로 설명한다.

공격 표면이 넓을수록 잠재적으로 악용할 수 있는 접점이 많아진다. 다만 공격 표면의 크기가 실제 위험도에 정비례하는 것은 아니다. 관리되지 않는 관리자 인터페이스 하나가 여러 개의 정상적으로 보호된 공개 서비스보다 훨씬 큰 위험을 초래할 수도 있다.

공격 표면은 고정된 것이 아니다. 새로운 서버 구축, 애플리케이션 배포, 클라우드 설정 변경, 외부 서비스 연동, 계정 생성 등에 따라 지속적으로 변화한다.

공격 표면의 유형

유형	주요 구성 요소	공격 가능 사례
외부 공격 표면	인터넷에 노출된 웹 서버, API, 공개 IP, VPN, 원격 접속 서비스	공개 서비스의 취약점 악용, 인증 우회
내부 공격 표면	내부망 서버, 데이터베이스, 관리 시스템, 내부 계정	내부 침투 이후 횡적 이동, 권한 상승
애플리케이션 공격 표면	로그인 기능, 입력값 처리, 파일 업로드, API 엔드포인트	SQL 인젝션, 크로스 사이트 스크립팅, IDOR
클라우드 공격 표면	클라우드 컴퓨팅 자원, 관리 콘솔, IAM, 스토리지, 관리 API	잘못된 접근 권한, 공개 스토리지, 자격 증명 탈취
인적 공격 표면	임직원, 협력업체, 관리자, 고객지원 조직	피싱, 사회공학, 계정 탈취
물리적 공격 표면	서버실, 업무용 단말기, 네트워크 장비, 이동식 저장매체	장비 무단 접근, 악성 장치 연결
공급망 공격 표면	외부 소프트웨어, 오픈소스 패키지, 외주 운영 시스템, 제3자 서비스	공급망 공격, 악성 업데이트, 협력업체 경유 침투

하나의 자산이 여러 공격 표면에 동시에 포함될 수 있다. 예를 들어 인터넷에서 접근할 수 있는 클라우드 관리 인터페이스는 외부 공격 표면이면서 클라우드 공격 표면이다.

공격 표면의 주요 구성 요소

• 진입점(Entry Point): 공격자가 시스템에 접근하거나 입력을 전달할 수 있는 접점이다. 로그인 화면, API 엔드포인트, 네트워크 포트 등이 해당한다.
• 노출 자산(Exposed Asset): 공격자에게 접근 가능하거나 식별될 수 있는 서버, 도메인, 애플리케이션, 서비스 등의 자산이다.
• 취약점(Vulnerability): 공격자가 악용할 수 있는 소프트웨어 결함이나 보안상 약점이다.
• 보안 설정 오류(Misconfiguration): 불필요한 포트 개방, 과도한 접근 권한, 인증 기능 누락 등의 잘못된 설정이다.
• 접근 권한 및 자격 증명: 사용자 계정, 관리자 계정, API 키, 인증 토큰 등이다.
• 신뢰 관계(Trust Relationship): 내부 시스템 간 연결이나 외부 업체에 부여된 접근 권한 등 공격 경로로 악용될 수 있는 관계이다.

중요한 점은 공격 표면이 반드시 취약점 자체를 의미하지는 않는다는 것이다.

예를 들어 정상적인 로그인 화면도 공격 표면에 포함되지만, 로그인 화면이 존재한다는 사실만으로 취약점이 있는 것은 아니다.

공격 표면과 관련 개념의 차이

개념	의미	예시
공격 표면(Attack Surface)	공격자가 접근하거나 악용할 수 있는 접점과 경로 전체	공개 웹 서버, 로그인 화면, 관리 API
공격 벡터(Attack Vector)	공격자가 목표를 침해하기 위해 사용하는 구체적인 방법이나 경로	피싱 이메일, 취약한 API를 통한 침입
취약점(Vulnerability)	공격에 악용될 수 있는 보안상 약점	인증 우회 취약점, 미패치 소프트웨어
위협(Threat)	자산에 피해를 발생시킬 수 있는 잠재적 원인이나 행위	공격자, 악성코드, 내부자 위협
위험(Risk)	위협이 발생해 피해로 이어질 가능성과 영향	고객정보 유출 가능성과 예상 피해

공격 표면은 공격이 가능한 접점의 범위를 설명하는 개념이고, 공격 벡터는 실제 공격에 사용되는 방법이나 경로를 설명하는 개념이다.

공격 표면 관리

공격 표면 관리(Attack Surface Management, ASM)는 조직의 공격 표면을 지속적으로 식별하고, 노출 상태와 보안 위험을 평가하며, 필요한 보호 조치를 수행하는 보안 활동이다.

기존의 취약점 관리가 식별된 자산의 보안 결함을 발견하고 해결하는 데 중점을 둔다