Select Language

Contact

회사소개

서비스

제품

미디어센터

바우처 80%할인

채용

Contact

회사소개

서비스

제품

미디어센터

바우처 80%할인

채용

Select Language

Contact

회사소개

서비스

제품

미디어센터

바우처 80%할인

채용

오늘 닫기

Go to Top

보안 인사이트

화이트해커가 뽑은 공격 루트 TOP 5, 중소기업의 대응방법은?

엔키화이트햇

2026. 4. 20.

Content

2026년, AI 기술의 급성장과 함께 해킹 기법은 더욱 정교해졌고, 정부의 보안 정책도 빠르게 바뀌고 있습니다. 특히 인력과 예산이 제한된 중소기업 보안 담당자라면 그 무게가 더욱 크게 느껴지실 겁니다.

본 글에서는 지금 꼭 알아야 할 정부 보안 정책의 핵심 방향, 실제 레드팀 프로젝트에서 가장 많이 쓰인 공격 루트 5가지, 그리고 중소기업이 정부 지원금으로 침해사고를 예방할 수 있는 방법을 소개합니다.

2026 주목해야할 정부 정책 3가지

최근 3가지 정책 변화가 같은 방향을 가리키고 있습니다.

"외부에 노출된 자산을 정확히 파악하고, 실제 해킹 시도에서도 뚫리지 않도록 상시 점검해 증명하라.”

N2SF(국가 망 보안체계) 활성화 (자세히보기)

정부는 기존의 획일적 망분리 정책을 벗어나 데이터 중요도에 따라 차등 보안을 적용하는 N2SF(국가 망 보안체계) 로 전환 중입니다. AI·클라우드 도입으로 공격 표면이 폭발적으로 넓어진 지금, 문서상의 통제가 아닌 실전형 검증이 반드시 뒷받침되어야 합니다.

한국형 보안 취약점 신고/조치/공개 제도 (CVD/VDP) 시행 (자세히보기)

정부는 올해 하반기부터 화이트해커가 법적 부담 없이 취약점을 제보할 수 있도록 하는 CVD/VDP 를 시범 도입합니다. 이는 기업 보안이 내부 점검을 넘어 외부 전문가와의 24시간 상시 점검 체계로 전환되어야 함을 의미합니다.

정보보호 공시 의무화 (자세히보기)

2027년부터는 전체 상장사에 정보보호 공시를 의무화 하고, 형식적인 체크리스트에 그치던 ISMS-P 인증에 '실제 모의침투 테스트'를 전면 적용해 실효성을 강화할 계획입니다.

엔키화이트햇 레드팀 최다 공격 루트 TOP 5

엔키화이트햇이 2024년 수행한 레드팀 프로젝트 데이터를 분석한 결과, 가장 효과적인 공격 루트 1위는 '미관리 자산 식별을 통한 레거시 시스템 점거'였습니다.

기업의 IT 환경이 커질수록 오래된 테스트 서버, 담당자가 퇴사한 클라우드 계정, 갱신이 멈춘 구버전 서비스는 방치됩니다. 보안팀도 모르는 자산이니 당연히 아무도 패치하지 않으니, 공격자에게는 이보다 쉬운 입구가 없는 것이죠.

미관리 자산 식별을 통한 레거시 시스템 점거 : 보안팀도 모르는 과거의 테스트 서버, 방치된 옛날 웹사이트를 통해 침투
공급망 공격을 악용한 내부 확산 : 소스코드 저장소나 배포 서버를 장악해 업데이트 파일에 악성코드 삽입
관리 솔루션 0-day 취약점 악용한 권한 상승 및 내부 확산 : 서버 관리를 위해 설치한 솔루션 자체의 미공개 취약점을 악용해 권한 탈취
1-day 취약점을 악용한 구버전 서비스 점거 : 이미 패치가 나왔지만, 우리 회사만 업데이트 안 한 구버전 서비스 공략
크리덴셜 스터핑을 통한 권한 획득 : 다크웹 등에서 유출된 계정 정보를 무작위로 대입해 관리자 계정 탈취

주목할 점은 이 공격루트들이 유기적으로 연결되어있다는 것입니다. 미관리 자산이 거점이 되어 내부 확산(2위)으로 이어지고, 패치되지 않은 서비스는 1-day 취약점(4위)의 먹잇감이 됩니다. 미관리 자산 하나가 도미노처럼 연쇄 침해로 이어지는 구조입니다.

OFFen ASM : 취약한 도메인을 찾는 공격표면관리

엔키화이트햇은 IT 자산관리 미비의 파급력을 10년간 모의해킹 프로젝트를 통해 직접 목격했고, 이를 해결하기 위해 공격표면관리 서비스 OFFen ASM을 개발했습니다.

EDR·SIEM 등의 사후 대응 솔루션과 다르게, OFFen ASM은 사고 발생 '전'에 공격자가 악용할 수 있는 모든 진입점을 먼저 찾아내는 선제적 공격 표면 관리 서비스입니다. 또한 OFFen ASM의 차별점은 국내 해킹방어대회 운영 점유율 1위, DEF CON 우승 경력을 보유한 화이트해커들의 노하우가 스캔 엔진 자체에 집약되어 있습니다.

OFFen ASM 핵심 기능

1. 하나의 도메인으로 시작하는 '부하없는 24시간 자동 탐지'

기업의 대표 도메인 하나만 입력하면 연결된 모든 IT 자산을 자동으로 추적합니다. 관리 중요도가 다른 자산별로 컬렉션을 나눠 스캔 설정을 할 수 있으며 Shadow IT, 오픈 API, 만료된 SSL 인증서, IoT 기기까지 샅샅이 식별합니다. 수많은 자산 스캔을 돌려도 운영 서버에 부하를 주지 않는 분산 스캐닝 기술을 적용해 서비스 중단 걱정 없이 365일 상시 감시 체계를 구축합니다.

2. 엔키화이트햇의 노하우가 집약된 '자산 안전 등급 산정’

메인 도메인 기준 발견된 각 서브도메인을 엔키화이트햇이 보유한 수많은 프로젝트 수행 데이터와 대조하여 중요도를 평가합니다.

데이터 기반 스코어링: 자산의 용도, 노출 수준, 보안 설정 상태를 종합하여 점수화합니다.
안전 등급 부여: 산정된 점수를 바탕으로 직관적인 안전 등급을 제공하여, 경영진부터 실무자까지 한눈에 보안 수준을 파악할 수 있습니다.

3. 신뢰도 & 위험도 기반 '우선 조치 대상' 선별

OFFen ASM은 자체 평가 지표를 통해 탐지된 자산이 실제 우리 기업의 소유일 확률(신뢰도)을 점수로 산정하여 정확도가 높습니다. 즉, 회사와 관계없는 자산이 오탐을 일으키는 상황을 차단합니다. 그리고 취약점의 기술적 난이도, 기밀성·무결성에 미치는 영향도, 실제 악용 가능성(공개된 익스플로잇 존재 여부 등)을 종합적으로 수치화하여 지금 당장 조치해야 할 위험만 알 수 있도록 우선순위 자료를 제시합니다. 담당자는 수백 개의 경고를 뒤적일 필요 없이, OFFen ASM이 가리키는 '핵심 위협' 몇 가지에만 집중하면 됩니다.

관리가 필요한 위험 자산 Use Case

자산신뢰도: 미확인
포트 상태: 열림
포트: 22, 443, 3000, 3306, 8080
호스트: api-prod.example.com
인증서: *.example.com
태그: CVE-2025-55182
WAF 적용 상태: 미확인
사용된 기술: React, MySQL, Node.js
자산신뢰도: 미관리
IPS 적용 상태: 미확인

안전 자산 UseCase

자산신뢰도: 높음
포트 상태: 열림
호스트: www.example.com
인증서: www.example.com
태그: -
WAF 적용 상태: 적용
사용된 기술: React
자산신뢰도: 관리포트 80, 443
IPS 적용 상태: 추정

4. 위협 파급력을 한눈에 예상하는 '네트워크 맵'

도메인·IP·포트 간 연결 관계를 복잡한 텍스트 대신 직관적인 그래픽으로 표현합니다. 보안 현황을 파악하세요. 특정 자산이 침해되었을 때, 그 영향이 어떤 경로를 통해 핵심 시스템으로 번져나갈 수 있는지를 네트워크 맵으로 바로 파악할 수 있습니다. 경영진에게 보유 자산 현황을 보고해야 할 때, 긴 설명 없이 네트워크 맵 하나로 상황을 전달할 수 있습니다.

OFFen ASM+ 모의해킹(PTaaS) 시너지

식별된 취약 자산이 실제로 뚫릴까요? 그 파급력은 얼마나 될까요?

OFFen 플랫폼에서는 클릭 한 번으로 상위 1% 화이트해커에게 서비스형 침투테스트(PTaaS)를 요청할 수 있습니다. 펜테스터가 악용 가능성 및 공격 영향도를 판단하고 각 이슈는 위험도 평가와 함께 PoC·조치 방안까지 제공되어, 발견 즉시 실무 대응으로 이어질 수 있습니다.

공격표면관리부터 모의해킹까지, OFFen

IT 환경은 매일 변합니다. 다양한 부서에서 이용하는 툴이 계속 추가되고, 새 서버가 올라가고, 새로운 취약점이 발견됩니다. OFFen ASM은 도메인 변경 이력을 지속적으로 추적하고, 엔드포인트의 스크린샷과 태그 요약을 제공해 운영상 변화를 신속하게 포착합니다. 그리고 스캔 결과를 기반으로 세계 최고 권위의 해킹대회 우승 경력을 보유한 최정예 화이트해커들이 OFFen PTaaS를 통해 직접 개입합니다. 단순한 취약점 목록 나열이 아닌, 선별된 외부 노출 자산을 기준으로 자산별 실제 피해 시나리오를 가정해 잠재적인 공격표면까지 통합 검증합니다.

변경 이력 추적: 도메인 변경이나 엔드포인트의 변화를 실시간 스크린샷과 함께 기록하여 운영상의 변화를 놓치지 않습니다.
Action-Plan 제공: 세계 해킹 방어 대회 우승 경력의 화이트해커들이 실제 피해 시나리오를 가정하고, CVE 재현 보고서와 맞춤형 해결 전략을 직접 제안합니다.

중소기업 예산 걱정 끝! '2026 클라우드 바우처'로 정부지원금 받기

모의해킹과 공격표면관리, 비용 때문에 망설이셨나요?

비용도 비싸고, 어디서부터 어떻게 시작해야 할지 막막하셨을 겁니다.

엔키화이트햇은 GS 인증 1등급과 보안 특허 수 건을 보유한 기술력을 인정받아, 과기정통부 주관 '2026 클라우드 바우처' 공급 기업으로 참여합니다.

항목	내용
수요기업 신청 기간	2026.04.03 ~ 04.21 (※ 신청자가 몰릴 경우 조기 종료될 수 있습니다)
사업명	클라우드 서비스 보급·확산 사업
지원 대상	전국 중소기업 (엔키화이트햇 기존 고객, 신규 고객 모두 신청 가능)
지원 혜택	OFFen 이용료 80% 지원, 최대 6,910만원
신청 방법	cloudsup.or.kr에서 수요기업 신청서 제출
자세히 보기	https://www.enki.co.kr/event/cloud-voucher-2026

🙋 1:1 전담 컨설턴트 지원

클라우드바우처 수요기업 선정 가능 여부 확인부터 이용계획서 작성까지, 전담 매니저가 직접 안내해 드립니다.

문의하러가기

지금 OFFen 으로 대응해야하는 이유

보안 인력이 부족한 중소기업에서도 'IT 자산 스캔 자동화'와 '전문가 검증'을 통해 대기업 수준의 보안 태세를 갖출 수 있습니다.

첫째, 침해사고 예방은 최대한 빠르게 해야하는 것 입니다. 정부 정책 방향상 공격 표면 관리와 실전 모의해킹은 선택이 아닌 기본 요건이 되어가고 있습니다. 보안은 한 번의 점검으로 끝나는 영역이 아니라, 지속적으로 상태를 확인하고 검증하는 과정에 가깝습니다. 특히 외부에 노출된 자산을 기준으로 현재 상태를 점검해보지 않았다면, 그 자체로 한 번쯤 확인이 필요한 시점인 것입니다.

둘째, 엔키 화이트해커들에게 역대 가장 합리적인 가격으로 취약점 점검을 받을 수 있는 기회입니다. 해킹방어대회 운영 점유율 1위, DEF CON 수상 경력의 화이트해커들이 직접 투입되는 PTaaS를 중소기업이 접할 수 있는 채널은 극히 드뭅니다.

셋째, 공격표면관리 및 모의해킹 솔루션이 80% 할인됩니다. 2026 클라우드 바우처 수요기업으로 선정되면 전체 비용의 20%만 부담하면 됩니다. (정부에서 최대 6,910만원 지원)

2026 클라우드 바우처로 OFFen을 최대 80% 할인받는 방법 | 수요기업 모집 안내

대기업과 금융권에서 검증된 엔키화이트햇의 공격 표면 관리 서비스를 2026년 한 해 동안 경제적인 비용으로 경험해 보시기 바랍니다. 실전 경험이 풍부한 화이트해커 그룹이 귀사의 보안 사각지대를 해소하는 든든한 조력자가 되어드리겠습니다.

엔키화이트햇

ENKI Whitehat

오펜시브 시큐리티 전문 기업, 공격자 관점으로 깊이가 다른 보안을 제시합니다.