낮은 등급이 모이면 사다리가 된다: 체이닝과 길목 차단

안녕하세요, 저스틴입니다!

영화나 뉴스에서 해킹 사고를 보면, 마치 공격자가 신이 내린 단 하나의 엄청난 무기(치명적인 취약점)를 써서 시스템을 순식간에 폭파하는 것처럼 보입니다.

하지만 현실은 전혀 다릅니다. 보안 전문가 메리트 베어(Merritt Baer)는 현대 보안의 위험을 이렇게 정의합니다.

“위험은 더 이상 한 점이 아니라 그래프의 형태를 띤다.“

단 하나의 강력한 무기가 아니라, 사소하고 작은 허점 여러 개가 사슬처럼 엮이면서 대형 사고로 이어진다는 뜻입니다. 오늘 강의에서는 이 사슬을 어떻게 읽고, 어디서 끊어내야 하는지 알아봅시다!

STAGE 1 — 왜 이 개념이 중요할까요? (Why It Matters)

우리가 흔히 생각하는 보안 통제 방식은 “점수가 높은 위험한 버그부터 차례대로 패치하자!”입니다. 보안 세계에서는 취약점마다 위험도를 0점부터 10점까지 매기는 CVSS 점수라는 것이 있습니다. 보통 9점10점짜리 버그는 비상이 걸려 당장 고치지만, 2점3점짜리 ‘낮음’ 등급 버그는 우선순위에서 밀려 수개월 동안 방치되곤 하죠.

그런데 최근 AI(미토스 등)가 놀라운 능력을 보여주었습니다. 리눅스 시스템에서 “단 1바이트의 메모리만 훔쳐볼 수 있는” 아주 사소한 2점짜리 약점과, “트래픽 순서가 살짝 꼬이는” 또 다른 작은 약점 두 개를 스스로 엮어낸 것입니다.

결과는 어떻게 되었을까요? 일반 사용자에 불과했던 공격자가 시스템 전체를 지배하는 최고 관리자(root) 권한을 손에 쥐게 되었습니다.

독립된 점수로 볼 때는 전혀 위협적이지 않던 작은 약점들이, 같은 길목에서 손을 잡는 순간 최고 권한으로 올라가는 사다리가 된 것입니다. 따라서 “점수 높은 버그만 고치면 안전하다”는 고정관념을 깨뜨리지 않으면, 우리는 언제나 사슬에 엮여 뚫리게 됩니다.

이해가 조금씩 되시나요?

STAGE 2 — 핵심 개념 풀어보기: ‘사슬(Chain)’과 ‘외나무다리(Choke Point)’ (Unpacking the Core Concept)

개념을 이해하기 위해 쉬운 비유를 들어보겠습니다.

1. 체이닝 (Chaining: 사슬 잇기)

• 비유: 도둑이 3미터 높이의 강철 금고를 털려고 합니다. 금고를 폭파할 무기는 없습니다. 대신 도둑은 ① 낮은 담장을 넘고(낮은 등급 결함), ② 잠기지 않은 쪽문을 지나(잘못된 설정), ③ 책상 서랍에서 실수로 남겨진 열쇠(과도한 권한)를 찾아냅니다.
• 하나하나 따져보면 대수롭지 않은 소홀함이지만, 이 셋이 순서대로 연결되는 순간 금고는 완전히 열립니다. 이것이 바로 체이닝입니다.

2. 길목 (Choke Point: 외나무다리)

• 비유: 도둑이 마을의 여러 골목길을 타고 도망치려고 합니다. 모든 골목길의 패인 보도블록을 다 교체하는 것은 예산과 시간이 부족합니다. 하지만 도둑이 마을 밖으로 나가려면 반드시 건너야 하는 단 하나의 ‘외나무다리’가 있습니다.
• 공격자가 아무리 화려하게 사슬을 엮어 들어오더라도, 여러 공격 경로가 반드시 지나갈 수밖에 없는 공통 지점(길목)에 강한 지키미를 세우면 전체 사슬이 한순간에 끊어집니다.

STAGE 3 — 증거와 실전 적용: 점수가 아닌 ‘경로’를 막는 방어법 (Evidence & Application)

그렇다면 현실의 보안 현장에서 모든 사소한 버그를 고치느라 마비되지 않으려면 어떻게 해야 할까요?

최신 연구(시미즈·하시모토, 2025)에 따르면, 무작정 CVSS 점수만 보고 패치할 때는 전체 작업의 60%를 처리하고도 실제 공격의 20%밖에 못 막았습니다. 하지만 “실제 악용되고 있는가(KEV)”와 “공격 경로의 길목인가”를 먼저 거르고 나니, 작업량을 95%나 줄이면서도 위협의 85% 이상을 완벽히 차단할 수 있었습니다.

우리가 집중해야 할 실전 방어 전략 3가지는 다음과 같습니다.

1. 지루한 길목을 먼저 점검한다 공격자가 좋아하는 길목은 화려한 기술이 아닙니다. 여러 시스템이 함께 쓰는 공유 계정, 빌드 서버의 인증 토큰, 너무 넓게 열린 네트워크 통로처럼 ‘지루하고 관리 안 된 길목’입니다. 이곳의 권한을 최소한으로 줄여야(최소 권한 원칙) 합니다.

2. 다단계 로그를 연결해서 본다 단순히 로그인 1회 실패나 사소한 프로그램 오류 하나는 잡음처럼 보입니다. 하지만 “동일한 사용자가 5분 만에 사소한 오류를 일으키고 ➔ 갑자기 관리자 권한 변경을 시도한다”면 이것은 사슬이 연결되는 신호입니다. 여러 시스템의 로그를 하나로 묶어 감시해야 합니다.

3. 제로 트러스트(Zero Trust) 구조를 적용한다 “한 번 들어온 사람은 무조건 믿는다”가 아니라, 내부에서 옆 서버로 이동할 때마다(측면 이동) 끊임없이 신원을 재검증하여 사슬의 허리를 끊어버립니다.

STAGE 4 — 요약 및 스스로 점검하기 (Summary & Extension)

오늘 배운 핵심 내용을 3가지로 요약해 드립니다.

1. 공격은 단 하나의 폭탄이 아니라, 사소한 약점들이 이어진 ‘사슬(Chain)’ 형태로 들어옵니다.
2. 모든 약점을 다 고칠 수는 없습니다. 여러 사슬이 반드시 지나가는 ‘길목(Choke Point)’을 찾아 끊어내야 합니다.
3. 단순한 CVSS 점수보다 실제 악용 여부(KEV)와 우리 시스템 내부에서의 위치(경로)를 보고 우선순위를 정해야 합니다.