NIST SP 800-115
더 많은 작업
NIST SP 800-115(Technical Guide to Information Security Testing and Assessment)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 정보보안 시험 및 평가 기술 지침으로, 정보시스템의 취약점과 보안 통제의 효과를 확인하기 위한 기술적 평가 기법, 수행 절차, 결과 분석 및 개선 방법을 제시하는 특별간행물이다.
NIST SP 800-115는 조직이 정보시스템과 네트워크의 보안 상태를 기술적으로 평가할 때 활용할 수 있는 방법과 절차를 설명한다.
단순히 취약점을 찾아내는 것뿐 아니라 평가 계획 수립, 평가 대상 식별, 취약점 검증, 결과 분석, 개선 권고 및 사후 조치까지 다룬다.
주요 목적은 다음과 같다.
- 정보시스템과 네트워크의 보안 취약점 발견.
- 보안 정책 및 기술적 요구사항 준수 여부 확인.
- 보안 통제의 실제 효과 검증.
- 발견된 취약점의 악용 가능성 확인.
- 기술적 평가 결과를 위험 완화 활동으로 연결.
- 반복 가능하고 문서화된 보안 평가 절차 수립.
NIST는 하나의 평가 기법만으로 조직의 보안 상태를 충분히 파악할 수 없으므로 여러 기법을 조합하여 사용할 것을 권고한다.[1]
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-115 |
| 문서명 | Technical Guide to Information Security Testing and Assessment |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 발행일 | 2008년 9월 30일 |
| 작성자 | Karen Scarfone, Murugiah Souppaya, Amanda Cody, Angela Orebaugh |
| 문서 성격 | 정보보안 시험 및 평가 기술 지침 |
| 주요 대상 | 정보보호 담당자, 보안 평가자, 시스템·네트워크 관리자, 보안 프로그램 관리자 |
| 핵심 기법 | 검토, 대상 식별·분석, 취약점 검증 |
| 대체한 문서 | NIST SP 800-42 |
| 현행 상태 | 2008년 발행본이 최종 발행본으로 등록 |
| 공식 문서 | NIST CSRC |
2026년 10월 23일 기준 NIST CSRC에는 2008년 9월 발행본이 최종 발행본으로 등록되어 있으며, 별도의 개정판은 확인되지 않는다.[2]
NIST SP 800-115는 2003년 10월 발행된 NIST SP 800-42(Guideline on Network Security Testing)를 대체하기 위해 개발되었다.
SP 800-42가 네트워크 보안 시험을 중심으로 설명했다면, SP 800-115는 평가 범위를 확장하여 시스템 설정 검토, 로그 분석, 취약점 스캐닝, 모의 침투 테스트, 사회공학 시험 등을 포괄한다.
2008년 9월 최종 발행되었으며, NIST CSRC의 공식 문서 이력에는 2008년 9월 30일 최종본 발행이 기록되어 있다.[2]
| 문서 | 발행 | 주요 내용 | 상태 |
|---|---|---|---|
| NIST SP 800-42 | 2003년 10월 | 네트워크 보안 시험 지침 | SP 800-115로 대체 |
| NIST SP 800-115 | 2008년 9월 | 정보보안 시험 및 평가 기술 지침 | 최종 발행본 |
SP 800-115는 발행 이후에도 보안 평가의 기본 개념과 방법론을 설명하는 참고자료로 활용할 수 있다.
다만 문서가 2008년에 작성되었으므로 당시의 운영체제, 네트워크 기술, 보안 도구 및 취약점 데이터베이스에 관한 구체적인 설명은 현재 환경과 차이가 있을 수 있다.
특히 클라우드, 컨테이너, 현대적인 웹 애플리케이션 및 인공지능 시스템에 대한 평가에는 별도의 최신 기술 지침을 함께 검토해야 한다.
정보보안 평가(Information Security Assessment)는 평가 대상이 특정 보안 목표를 얼마나 효과적으로 충족하는지 판단하는 과정이다.
평가 대상에는 다음과 같은 요소가 포함될 수 있다.
- 서버 및 사용자 단말.
- 네트워크와 통신 장비.
- 운영체제 및 애플리케이션.
- 보안 장비와 보안 통제.
- 시스템 설정.
- 보안 정책 및 절차.
- 조직 구성원과 운영 활동.
NIST는 보안 평가에 사용할 수 있는 기본적인 방법을 다음 세 가지로 구분한다.[1]
| 방법 | 영문 | 설명 |
|---|---|---|
| 시험 | Testing | 정해진 조건에서 평가 대상을 동작시켜 실제 결과와 기대 결과를 비교 |
| 검사 | Examination | 문서·설정·기록·시스템 등을 검토하고 분석하여 증거 확보 |
| 면담 | Interviewing | 담당자와의 대화를 통해 운영 절차와 통제에 관한 정보 및 증거 확보 |
SP 800-115는 이 가운데 기술적 시험과 검사 기법을 중심으로 설명한다.
면담 역시 보안 평가의 중요한 방법이지만, 문서의 주요 기술적 평가 기법 분류에는 포함되지 않는다.
NIST SP 800-115는 기술적 보안 평가 기법을 크게 세 가지로 구분한다.
- 검토 기법(Review Techniques).
- 대상 식별 및 분석 기법(Target Identification and Analysis Techniques).
- 대상 취약점 검증 기법(Target Vulnerability Validation Techniques).
이러한 분류는 평가 활동의 목적과 기술적 특성에 따른 것이다.
| 구분 | 주요 목적 | 대표적인 기법 | 특성 |
|---|---|---|---|
| 검토 기법 | 기존 설정과 기록에서 보안 약점 발견 | 문서·로그·설정 검토, 패킷 분석 | 주로 수동적 검사 |
| 대상 식별 및 분석 기법 | 시스템·서비스·잠재적 취약점 식별 | 네트워크 탐색, 포트 스캔, 취약점 스캔 | 주로 자동화된 도구 활용 |
| 대상 취약점 검증 기법 | 발견된 취약점의 실제 존재와 악용 가능성 확인 | 비밀번호 크래킹, 모의 침투, 사회공학 | 실제 보안 통제 우회 가능성 검증 |
세 가지 기법은 독립적으로 사용할 수 있지만 상호 보완적인 관계에 있다.
예를 들어 네트워크 탐색으로 서버를 식별하고, 취약점 스캐닝으로 잠재적 취약점을 발견한 다음, 모의 침투 테스트로 실제 악용 가능성을 확인할 수 있다.
검토 기법(Review Techniques)은 시스템과 네트워크, 애플리케이션, 보안 정책 및 절차를 조사하여 보안 취약점을 발견하는 방법이다.
일반적으로 대상 시스템에 적극적인 공격을 수행하지 않는 수동적 검사 기법이다.
NIST SP 800-115 제3장은 여섯 가지 대표적인 검토 기법을 설명한다.[1]
| 기법 | 영문 | 주요 내용 |
|---|---|---|
| 문서 검토 | Documentation Review | 보안 정책, 절차, 시스템 설계 문서 등의 적절성 확인 |
| 로그 검토 | Log Review | 시스템·네트워크·보안 장비의 기록 분석 |
| 규칙 집합 검토 | Ruleset Review | 방화벽 및 보안 장비의 정책·규칙 검토 |
| 시스템 설정 검토 | System Configuration Review | 운영체제·애플리케이션·보안 설정 확인 |
| 네트워크 패킷 분석 | Network Sniffing | 네트워크 트래픽을 수집·분석하여 보안 문제 식별 |
| 파일 무결성 검사 | File Integrity Checking | 파일 변경 여부와 무결성 검증 |
문서 검토(Documentation Review)는 보안 정책과 기술적 운영 절차가 적절하게 작성되고 최신 상태로 유지되는지 확인한다.
주요 검토 대상은 다음과 같다.
- 정보보호 정책.
- 보안 운영 절차.
- 네트워크 구성도.
- 시스템 설계 문서.
- 자산 목록.
- 접근통제 정책.
- 보안 설정 기준.
- 침해사고 대응 절차.
문서 검토는 다른 기술적 평가를 수행하기 위한 기초 자료를 확보하는 데에도 활용된다.
로그 검토(Log Review)는 시스템과 보안 장비에서 생성된 기록을 분석하여 비정상적인 활동이나 통제 실패를 식별한다.
대표적인 검토 대상은 다음과 같다.
- 운영체제 이벤트 로그.
- 인증 및 접근 기록.
- 방화벽 로그.
- 침입탐지시스템 로그.
- 애플리케이션 로그.
- 관리자 활동 기록.
로그 검토에서는 기록 자체의 존재뿐 아니라 기록의 내용, 수집 범위, 보존 상태 및 분석 가능성을 확인해야 한다.
규칙 집합 검토(Ruleset Review)는 네트워크와 보안 장비에 설정된 규칙이 보안 정책에 부합하는지 확인한다.
대표적인 검토 대상은 다음과 같다.
- 방화벽 접근통제 규칙.
- 라우터 접근통제 목록.
- 침입탐지 및 침입방지 규칙.
- 네트워크 트래픽 필터링 정책.
시스템 설정 검토(System Configuration Review)는 운영체제와 애플리케이션의 보안 설정을 확인하는 방법이다.
주요 검토 항목은 다음과 같다.
- 불필요한 서비스와 계정.
- 기본 계정 및 기본 비밀번호.
- 접근 권한 설정.
- 보안 패치 적용 상태.
- 인증 및 암호 정책.
- 시스템 보안 강화 설정.
설정 검토는 보안 기준선과 실제 운영 설정을 비교하는 방식으로 수행할 수 있다.
네트워크 패킷 분석(Network Sniffing)은 네트워크에서 전송되는 패킷을 수집하고 분석하는 기법이다.
평문으로 전송되는 민감정보, 비정상적인 프로토콜 사용, 예상하지 못한 통신 등을 발견하는 데 활용할 수 있다.
패킷 수집 과정에서 개인정보나 인증정보가 포함될 수 있으므로 사전에 수집 범위와 데이터 취급 절차를 정해야 한다.
파일 무결성 검사(File Integrity Checking)는 파일의 해시값이나 속성을 기준 상태와 비교하여 변경 여부를 확인하는 방법이다.
주로 시스템 파일, 설정 파일, 실행 파일 등 중요한 파일의 비인가 변경 여부를 확인하는 데 활용된다.
대상 식별 및 분석 기법(Target Identification and Analysis Techniques)은 네트워크와 시스템에서 평가 대상을 식별하고 잠재적인 취약점을 찾아내는 방법이다.
대부분 자동화된 도구를 이용하여 수행하지만 수동 분석을 병행할 수도 있다.
NIST SP 800-115 제4장은 다음과 같은 기법을 다룬다.[1]
| 기법 | 영문 | 주요 목적 |
|---|---|---|
| 네트워크 탐색 | Network Discovery | 네트워크에 연결된 호스트 식별 |
| 포트 및 서비스 식별 | Network Port and Service Identification | 개방된 포트와 실행 중인 서비스 확인 |
| 취약점 스캐닝 | Vulnerability Scanning | 알려진 취약점과 취약한 설정 탐지 |
| 무선 네트워크 스캐닝 | Wireless Scanning | 무선 장치와 무선 네트워크의 보안 상태 분석 |
네트워크 탐색(Network Discovery)은 네트워크에 존재하는 시스템과 장치를 식별하는 활동이다.
대표적인 방법은 다음과 같다.
- ICMP 기반 호스트 탐색.
- TCP·UDP 기반 탐색.
- 수동적인 네트워크 트래픽 분석.
- 네트워크 주소 및 시스템 정보 수집.
네트워크 탐색 결과는 평가 대상의 범위를 파악하고 이후 수행할 취약점 분석의 기초 자료로 사용된다.
다만 방화벽이나 접근통제 설정으로 인해 일부 장치가 탐색되지 않을 수 있다.
따라서 탐색 결과가 조직의 전체 자산 목록을 완전하게 나타낸다고 가정해서는 안 된다.
포트 및 서비스 식별(Network Port and Service Identification)은 시스템에서 사용 중인 네트워크 포트와 서비스를 확인하는 활동이다.
주요 확인 항목은 다음과 같다.
- 개방된 TCP·UDP 포트.
- 실행 중인 네트워크 서비스.
- 서비스 종류 및 버전.
- 불필요하게 노출된 관리 서비스.
- 보안에 취약한 프로토콜 사용 여부.
서비스 버전과 배너 정보는 잠재적 취약점을 추정하는 데 활용할 수 있다.
다만 서비스가 반환하는 버전 정보만으로 실제 취약 여부를 확정할 수는 없다.
취약점 스캐닝(Vulnerability Scanning)은 시스템과 네트워크에 존재할 가능성이 있는 보안 취약점을 자동화된 도구로 탐지하는 기법이다.
대표적인 탐지 대상은 다음과 같다.
- 알려진 소프트웨어 취약점.
- 보안 패치 미적용.
- 취약한 서비스 버전.
- 잘못된 시스템 설정.
- 기본 계정 및 취약한 인증 설정.
- 불필요하게 노출된 서비스.
취약점 스캐닝은 많은 시스템을 비교적 빠르게 점검할 수 있다는 장점이 있다.
그러나 다음과 같은 한계가 있다.
- 실제로 존재하지 않는 취약점을 탐지하는 오탐(False Positive).
- 존재하는 취약점을 발견하지 못하는 미탐(False Negative).
- 서비스 버전만으로 취약 여부를 추정하는 문제.
- 복잡한 공격 경로를 식별하기 어려운 문제.
- 스캔 과정에서 시스템에 부하가 발생할 가능성.
따라서 스캐너의 결과를 그대로 확정된 취약점으로 취급하지 않고 추가 검증과 분석을 수행해야 한다.
무선 네트워크 스캐닝(Wireless Scanning)은 무선 네트워크와 장치의 구성 및 보안 상태를 분석하는 기법이다.
NIST SP 800-115는 다음과 같은 방법을 설명한다.
- 수동 무선 스캐닝(Passive Wireless Scanning).
- 능동 무선 스캐닝(Active Wireless Scanning).
- 무선 장치 위치 추적(Wireless Device Location Tracking).
- 블루투스 스캐닝(Bluetooth Scanning).
주요 목적은 비인가 무선 장치와 취약한 무선 설정 등을 식별하는 것이다.
무선 네트워크는 유선 네트워크와 달리 물리적인 통신 범위가 건물의 경계를 넘어갈 수 있으므로 시험 범위와 권한을 명확하게 설정해야 한다.
대상 취약점 검증 기법(Target Vulnerability Validation Techniques)은 잠재적인 취약점이 실제로 존재하는지, 공격자가 이를 악용할 수 있는지 확인하는 방법이다.
NIST SP 800-115 제5장은 다음 세 가지 기법을 중심으로 설명한다.
| 기법 | 영문 | 주요 목적 |
|---|---|---|
| 비밀번호 크래킹 | Password Cracking | 취약한 비밀번호와 암호 정책 확인 |
| 모의 침투 테스트 | Penetration Testing | 실제 공격 기법을 이용한 취약점 악용 가능성 검증 |
| 사회공학 | Social Engineering | 사람과 운영 절차의 보안 취약점 확인 |
이러한 기법은 실제 시스템의 상태를 변경하거나 운영에 영향을 줄 수 있으므로 평가 계획과 승인 절차가 중요하다.
비밀번호 크래킹(Password Cracking)은 비밀번호의 강도와 인증정보 보호 수준을 평가하는 기법이다.
주요 목적은 다음과 같다.
- 추측하기 쉬운 비밀번호 식별.
- 사전 기반 공격에 취약한 비밀번호 확인.
- 비밀번호 정책의 적절성 평가.
- 인증정보 저장 방식의 취약점 확인.
비밀번호 크래킹은 비밀번호 자체의 강도뿐 아니라 조직의 비밀번호 정책과 관리체계를 평가하는 데 활용할 수 있다.
다만 평가 과정에서 실제 인증정보가 노출될 수 있으므로 승인된 범위에서 수행하고 결과를 안전하게 관리해야 한다.
모의 침투 테스트(Penetration Testing)는 공격자가 사용하는 기술과 방법을 이용하여 정보시스템의 보안 취약점이 실제로 악용될 수 있는지 검증하는 활동이다.
취약점 스캐닝이 잠재적인 취약점의 존재를 탐지한다면, 모의 침투 테스트는 해당 취약점의 실제 악용 가능성과 영향을 확인한다.
모의 침투 테스트를 통해 다음과 같은 사항을 평가할 수 있다.
- 실제 공격에 대한 시스템의 대응 수준.
- 취약점을 이용한 비인가 접근 가능성.
- 권한 상승 가능성.
- 여러 취약점을 결합한 공격 경로.
- 보안 통제의 우회 가능성.
- 공격 탐지 및 대응 능력.
- 공격 성공 시 발생할 수 있는 피해 범위.
NIST는 모의 침투 테스트가 높은 전문성과 상당한 노력을 요구하며 시스템에 장애를 발생시킬 위험도 있다고 설명한다.
따라서 사전에 평가 범위와 승인 사항을 명확히 하고 충분한 계획을 수립해야 한다.[1]
사회공학(Social Engineering)은 사람의 신뢰나 행동 특성을 이용하여 정보나 접근 권한을 얻으려는 공격 기법이다.
보안 평가에서는 조직 구성원과 업무 절차가 이러한 공격에 얼마나 취약한지 확인하는 데 활용할 수 있다.
대표적인 평가 대상은 다음과 같다.
- 직원의 인증정보 보호 인식.
- 신원 확인 절차.
- 헬프데스크의 계정 복구 절차.
- 민감정보 요청에 대한 대응.
- 보안 교육의 효과.
사회공학 시험은 사람을 대상으로 하므로 기술적 시험과 다른 윤리적·법적 고려사항이 필요하다.
시험 범위와 허용되는 행위, 수집할 수 있는 정보, 개인정보 보호 조치 등을 사전에 명확하게 정해야 한다.
NIST SP 800-115는 기술적 보안 평가를 다음 세 단계로 구분한다.
- 계획(Planning).
- 실행(Execution).
- 실행 후 활동(Post-Execution).
이는 문서 전체의 보안 평가 절차이며, 모의 침투 테스트에 적용하는 별도의 4단계 모델과 구분된다.
계획(Planning)은 보안 평가의 목표와 범위, 수행 방법 및 필요한 자원을 결정하는 단계이다.
주요 활동은 다음과 같다.
- 평가 목적과 목표 정의.
- 평가 대상 자산 선정.
- 평가 범위와 제외 대상 결정.
- 평가 방법 및 기법 선정.
- 평가 담당자와 역할 지정.
- 평가 일정 수립.
- 필요한 도구와 자원 확보.
- 운영 위험 및 제약사항 검토.
- 평가 계획서 작성.
- 법적 승인과 내부 승인 확보.
평가 계획에는 시험이 시스템에 미칠 수 있는 영향과 사고 발생 시 대응 방법도 포함해야 한다.
실행(Execution)은 계획된 시험과 검사 기법을 이용하여 실제 보안 평가를 수행하는 단계이다.
주요 활동은 다음과 같다.
- 평가 대상 확인.
- 기술적 검사 및 시험 수행.
- 취약점 식별.
- 필요한 경우 취약점 검증.
- 발견 사항 기록.
- 평가 결과 분석.
- 시험 중 발생하는 운영 위험 관리.
- 평가 데이터 수집 및 보호.
평가 과정에서 발견된 취약점은 단순한 목록으로 기록하는 것에 그치지 않고 원인과 영향을 분석해야 한다.
또한 시험 도중 실제 침해사고가 발견되거나 시험으로 인해 장애가 발생하면 사전에 정한 절차에 따라 대응해야 한다.
실행 후 활동(Post-Execution)은 평가 결과를 분석하고 개선 방안을 도출하는 단계이다.
주요 활동은 다음과 같다.
- 발견된 취약점의 원인 분석.
- 위험도 및 영향 평가.
- 개선 권고사항 도출.
- 평가 결과 보고서 작성.
- 개선 조치 계획 수립.
- 조치 결과 확인.
- 필요시 재평가 수행.
NIST는 기술적 취약점뿐 아니라 조직의 정책이나 운영 절차에서 발생한 근본적인 문제도 개선 대상으로 고려하도록 권고한다.
NIST SP 800-115 제5.2.1절은 모의 침투 테스트를 위한 예시적인 4단계 모델을 제시한다.[1]
- 계획(Planning).
- 탐색(Discovery).
- 공격(Attack).
- 보고(Reporting).
| 단계 | 주요 활동 | 산출물 |
|---|---|---|
| 계획 | 목표·범위·규칙 설정, 경영진 승인 | 시험 계획 및 교전 규칙 |
| 탐색 | 정보 수집, 포트·서비스 식별, 취약점 분석 | 대상 정보 및 잠재적 취약점 |
| 공격 | 취약점 악용 가능성 검증, 접근 권한 및 영향 확인 | 검증된 취약점과 공격 결과 |
| 보고 | 수행 과정 기록, 결과 분석, 개선 방안 제시 | 모의 침투 테스트 결과 보고서 |
계획 단계에서는 시험 목표와 규칙을 정하고 경영진의 승인을 문서화한다. 이 단계에서는 실제 시험을 수행하지 않는다.
탐색 단계에서는 대상 시스템과 네트워크에 관한 정보를 수집하고 잠재적인 취약점을 식별한다.
공격 단계에서는 발견된 취약점의 실제 악용 가능성을 검증한다. 공격 과정에서 추가적인 정보나 취약점이 발견되면 탐색 단계로 돌아가 분석을 반복할 수 있다.
보고 단계는 다른 단계가 모두 끝난 뒤에만 수행하는 활동이 아니다. 계획 단계에서부터 기록을 시작하고 탐색 및 공격 과정에서도 결과를 지속적으로 문서화한다.
이 4단계 모델은 NIST가 제시한 예시적인 방법론이며, 모든 모의 침투 테스트가 반드시 동일한 단계 구성을 따라야 한다는 의미는 아니다.
NIST SP 800-115는 기술적 보안 평가를 수행하는 관점에 따라 외부·내부 평가와 공개·비공개 평가를 구분한다.
| 구분 | 영문 | 설명 |
|---|---|---|
| 외부 평가 | External Testing | 조직의 보안 경계 외부에서 접근 가능한 시스템과 서비스 평가 |
| 내부 평가 | Internal Testing | 내부 네트워크 또는 내부 사용자 권한을 가진 상태에서 보안 평가 |
외부 평가는 외부 공격자가 접근할 수 있는 시스템과 서비스의 보안 상태를 확인한다.
인터넷에 노출된 서버, 원격 접속 서비스, 네트워크 경계 장비 등이 대표적인 평가 대상이다.
내부 평가는 조직 내부에 접근할 수 있는 사용자 또는 이미 네트워크 경계를 통과한 공격자의 관점에서 수행한다.
내부 시스템의 설정, 접근통제, 권한 상승 가능성 및 내부 네트워크의 보안 상태를 확인할 수 있다.
외부 평가와 내부 평가를 동일한 평가자가 수행하는 경우에는 내부 정보를 사전에 알게 되어 외부 공격자 관점이 왜곡되지 않도록 외부 평가를 먼저 수행할 수 있다.
| 구분 | 영문 | 특징 |
|---|---|---|
| 공개 평가 | Overt Testing | 운영 및 보안 담당자가 시험 사실을 알고 협조 |
| 비공개 평가 | Covert Testing | 경영진의 승인을 받되 운영 및 보안 담당자에게 시험 사실을 알리지 않을 수 있음 |
공개 평가는 평가 대상 조직의 운영 담당자가 시험 사실을 알고 있는 상태에서 수행한다.
운영 담당자의 협조를 받을 수 있으므로 평가 과정에서 발생할 수 있는 장애를 줄이고 다양한 기술적 검사를 수행하기 쉽다.
비공개 평가는 실제 공격 상황에 가까운 조건에서 보안 통제와 탐지·대응 능력을 확인하기 위한 방식이다.
운영 담당자가 시험 사실을 모르더라도 경영진의 명시적인 승인과 통제 절차가 필요하다.
비공개 평가는 실제 침해사고로 오인될 가능성이 있으므로 시험을 조정할 수 있는 신뢰할 수 있는 연락 담당자와 대응 절차를 마련해야 한다.
비공개 평가의 목적은 모든 취약점을 발견하는 것보다 실제 공격자가 초래할 수 있는 피해와 조직의 대응 능력을 확인하는 데 있다.
NIST SP 800-115는 평가를 안전하고 일관되게 수행하기 위해 평가 계획서와 교전 규칙(Rules of Engagement, ROE)을 마련하도록 권고한다.
교전 규칙은 보안 시험을 수행할 때 허용되는 활동과 제한사항을 구체적으로 정의하는 문서이다.
특히 모의 침투 테스트와 같이 일반적인 운영 환경에서는 허용되지 않는 행위를 수행하는 경우 중요하다.
NIST SP 800-115 부록 B는 교전 규칙의 예시 양식을 제공한다.[1]
주요 내용은 다음과 같다.
| 항목 | 주요 내용 |
|---|---|
| 시험 목적 | 평가를 수행하는 이유와 목표 |
| 시험 범위 | 평가 대상 시스템, 네트워크, 서비스 및 제외 대상 |
| 가정과 제한사항 | 시험 환경에 관한 전제와 제약 |
| 위험 | 시험으로 인해 발생할 수 있는 운영 및 보안 위험 |
| 담당자 | 평가자, 승인자, 운영 담당자, 비상 연락 담당자 |
| 시험 일정 | 시작·종료 시각, 허용된 시험 시간 |
| 시험 장소 | 시험을 수행하는 위치와 접근 권한 |
| 시험 장비 | 사용할 시스템, 도구 및 장비 |
| 의사소통 | 진행 상황 공유 및 보고 방법 |
| 사고 대응 | 장애·침해사고 발생 시 중단 및 대응 절차 |
| 시험 대상 | 평가 대상 시스템과 네트워크의 상세 범위 |
교전 규칙에는 금지된 행위와 허용된 행위를 명확히 구분해야 한다.
예를 들어 서비스 거부를 유발할 수 있는 시험, 운영 데이터 변경, 시스템 재시작, 인증정보 수집 등의 행위를 허용할 것인지 사전에 결정해야 한다.
시험 도중 범위를 변경해야 하는 경우에는 정해진 승인 절차를 따라야 한다.
NIST는 특히 침투적인 시험(Intrusive Testing)을 수행하기 전에 법적 문제를 검토하도록 권고한다.
주요 고려사항은 다음과 같다.
- 평가 대상 시스템에 대한 적법한 시험 권한.
- 외부 평가업체와의 계약 및 책임 범위.
- 개인정보 및 민감정보의 수집 가능성.
- 시험 중 수집된 데이터의 보호.
- 비밀유지 의무.
- 운영 장애 발생 시 책임과 대응 절차.
- 평가 결과의 외부 제공 및 보관.
평가 대상이 제3자 소유의 시스템이나 서비스인 경우에는 해당 자산에 대한 시험 권한도 확인해야 한다.
보안 평가 과정에서는 시스템 설정, 네트워크 구성, 인증정보, 취약점 및 개인정보 등 민감한 정보가 수집될 수 있다.
NIST SP 800-115 제7.4절은 평가 과정에서 수집된 데이터의 취급을 별도로 설명한다.
주요 관리 영역은 다음과 같다.
- 데이터 수집(Data Collection).
- 데이터 저장(Data Storage).
- 데이터 전송(Data Transmission).
- 데이터 파기(Data Destruction).
평가자는 시험 목적에 필요한 데이터만 수집하고, 수집된 정보에 적절한 접근통제와 보호 조치를 적용해야 한다.
특히 취약점 정보와 인증정보가 외부로 유출되면 실제 공격에 활용될 수 있으므로 평가 결과 자체를 중요한 보안정보로 관리해야 한다.
평가 종료 후에는 조직의 정책과 계약에 따라 보존이 필요한 자료와 삭제해야 할 자료를 구분해야 한다.
NIST SP 800-115는 평가에서 발견한 기술적 문제를 실제 개선 활동으로 연결하는 것을 강조한다.
평가 결과는 단순한 취약점 목록보다 조직이 위험을 이해하고 조치를 결정할 수 있는 형태로 제공해야 한다.
주요 보고 내용은 다음과 같다.
- 평가 목적과 범위.
- 평가 기간 및 수행자.
- 사용한 평가 기법.
- 발견된 취약점.
- 취약점의 존재를 확인한 증거.
- 취약점의 원인.
- 악용 가능성과 잠재적 영향.
- 위험 완화 권고사항.
- 개선 우선순위.
- 추가 평가가 필요한 사항.
NIST는 발견 사항에 대한 근본 원인 분석(Root Cause Analysis)을 통해 기술적 취약점뿐 아니라 조직의 운영 절차에서 발생한 문제도 개선하도록 권고한다.[1]
보안 평가 결과는 시험이 수행된 시점과 범위에서 확인된 사실을 나타낸다.
취약점이 발견되지 않았다는 사실이 시스템에 취약점이 전혀 없다는 의미는 아니다.
평가 결과는 다음과 같은 요인의 영향을 받을 수 있다.
- 평가 범위의 제한.
- 시험 시간과 자원의 제약.
- 평가자의 기술과 경험.
- 사용한 도구의 탐지 능력.
- 시험 당시의 시스템 구성.
- 접근 권한과 네트워크 조건.
- 시험으로 인한 운영 위험을 줄이기 위한 제한사항.
따라서 조직은 단일 평가 결과에만 의존하지 않고 정기적인 평가와 지속적인 보안 관리를 병행해야 한다.
NIST SP 800-115는 기술적 보안 시험 및 평가에 관한 실무 지침이다.
보안 통제의 선정이나 위험 관리체계 전체를 규정하는 문서는 아니다.
| 문서 | 주요 내용 | SP 800-115와의 차이 |
|---|---|---|
| NIST SP 800-30 | 위험 평가 수행 | 위협·취약점·영향을 분석하여 위험을 판단 |
| NIST SP 800-37 | 위험 관리 프레임워크(RMF) | 조직과 시스템의 위험 관리 절차 제시 |
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 | 적용할 보안 통제의 요구사항 제공 |
| NIST SP 800-53A | 보안 및 개인정보 보호 통제 평가 | 개별 보안 통제에 대한 평가 절차 제공 |
| NIST SP 800-115 | 기술적 보안 시험 및 평가 | 취약점 탐지·검증과 기술적 평가 기법 설명 |
NIST SP 800-53A는 NIST SP 800-53에 정의된 보안 및 개인정보 보호 통제를 평가하기 위한 절차를 제공한다.
반면 SP 800-115는 다양한 보안 평가에서 사용할 수 있는 기술적 시험 및 검사 기법을 설명한다.
예를 들어 SP 800-53A는 접근통제나 감사 기록에 관한 통제가 적절하게 구현되고 운영되는지 평가하는 절차를 제공한다.
SP 800-115는 그러한 평가에 활용할 수 있는 설정 검토, 로그 분석, 취약점 스캐닝 등의 구체적인 기술적 기법을 설명한다.
따라서 두 문서는 경쟁 관계가 아니라 상호 보완적인 관계에 있다.
NIST SP 800-30은 위험 평가를 수행하기 위한 지침이다.
SP 800-115에 따른 기술적 보안 평가 결과는 위험 평가의 입력 자료로 활용할 수 있다.
예를 들어 취약점 스캐닝과 모의 침투 테스트를 통해 발견한 보안 약점은 위험 평가에서 취약점과 공격 가능성을 판단하는 근거가 될 수 있다.
그러나 기술적 취약점의 발견 자체가 조직의 최종 위험 수준을 결정하는 것은 아니다.
실제 위험은 위협, 악용 가능성, 자산의 중요도, 잠재적 영향 및 기존 보안 통제 등을 종합하여 판단해야 한다.
NIST SP 800-115는 본문 8개 장과 7개 부록으로 구성된다.[1]
| 구분 | 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 목적, 범위, 대상 독자 |
| 제2장 | Security Testing and Examination Overview | 보안 평가의 개념과 평가 기법 분류 |
| 제3장 | Review Techniques | 문서·로그·설정·패킷·무결성 검토 |
| 제4장 | Target Identification and Analysis Techniques | 네트워크 탐색, 포트 식별, 취약점 스캐닝 |
| 제5장 | Target Vulnerability Validation Techniques | 비밀번호 크래킹, 모의 침투, 사회공학 |
| 제6장 | Security Assessment Planning | 평가 정책, 계획, 자원, 법적 고려사항 |
| 제7장 | Security Assessment Execution | 평가 수행, 조정, 분석, 데이터 관리 |
| 제8장 | Post-Testing Activities | 개선 권고, 보고, 후속 조치 |
| 부록 A | Live CD Distributions for Security Testing | 보안 시험용 라이브 운영체제 배포판 |
| 부록 B | Rules of Engagement Template | 교전 규칙 예시 양식 |
| 부록 C | Application Security Testing and Examination | 애플리케이션 보안 시험 및 검사 |
| 부록 D | Remote Access Testing | 원격 접근 보안 시험 |
| 부록 E | Resources | 관련 자료와 참고 문서 |
| 부록 F | Glossary | 용어 정의 |
| 부록 G | Acronyms and Abbreviations | 약어 목록 |
부록 A에 소개된 보안 도구와 운영체제 배포판은 2008년 당시의 기술 환경을 반영하므로 현재 사용 가능한 최신 도구 목록으로 해석해서는 안 된다.
NIST SP 800-115는 미국 연방기관을 위해 개발되었지만 민간기업과 다른 조직에서도 기술적 보안 평가 방법론으로 참고할 수 있다.
특히 다음과 같은 활동에 활용할 수 있다.
- 정기적인 정보시스템 보안 점검.
- 취약점 진단 및 분석.
- 모의 침투 테스트 계획 수립.
- 보안 통제의 효과 검증.
- 보안 평가 절차 표준화.
- 외부 보안 평가업체의 수행 범위 정의.
- 평가 결과 분석 및 개선 조치 관리.
다만 문서의 적용 범위에는 다음과 같은 한계가 있다.
- 모든 보안 평가 기법을 포괄하는 종합적인 평가 프로그램은 아니다.
- 기술적 시험 및 검사에 중점을 둔다.
- 보안 평가를 수행하는 것만으로 보안 통제의 구현과 유지관리 의무가 대체되지 않는다.
- 평가에 사용하는 기술과 도구는 최신 환경에 맞게 검토해야 한다.
- 평가 결과는 시험 범위와 시점의 영향을 받는다.
- 실제 시스템에 영향을 줄 수 있는 시험은 사전 승인과 위험 관리가 필요하다.
NIST는 보안 평가 정책을 수립하고, 반복 가능한 평가 방법론을 적용하며, 평가 목적에 적합한 기법을 선정하고, 발견된 문제를 실제 위험 완화 조치로 연결하도록 권고한다.
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 1.6 1.7 1.8 Karen Scarfone, Murugiah Souppaya, Amanda Cody, Angela Orebaugh, Technical Guide to Information Security Testing and Assessment, NIST Special Publication 800-115, National Institute of Standards and Technology, 2008-09.
- ↑ 2.0 2.1 SP 800-115, Technical Guide to Information Security Testing and Assessment, NIST Computer Security Resource Center, 확인: 2026-10-23.