펜테스트
포스팅 뷰17
펜테스트(모의해킹)란 무엇일까요?
- 정의 — 전문가가 실제 해커처럼 시스템을 공격해 보안 취약점을 찾아내는 모의 침투 테스트입니다.
- 핵심 — KISA가 2023~2025년 기업을 대상으로 모의침투 점검을 실시한 결과 89%에서 실제로 뚫릴 수 있는 취약점이 확인됐습니다.
- 현실 — 블랙·화이트·그레이박스 중 범위를 골라 진행하며, 최근에는 연 1~2회 점검을 보완하는 PTaaS(구독형 모의해킹)가 확산되고 있습니다.
펜테스트(모의해킹)란 권한을 부여받은 전문가가 실제 공격자의 기법을 그대로 재현해 시스템·네트워크·애플리케이션의 취약점을 찾아내는 보안 점검 활동을 말합니다.
펜테스트란?
펜테스트(Penetration Test, 모의해킹)는 개발·운영에 관여하지 않은 외부 전문가(화이트해커)가 고객사의 동의를 받아 실제 공격자와 같은 도구와 기법으로 시스템을 공략해보는 보안 훈련입니다. 목적은 악의적인 해커가 찾아내기 전에, 먼저 약점을 찾아 보고서로 남기는 것입니다.
자동화된 스캐너가 "이런 취약점이 있을 수 있다"는 목록을 뽑아내는 취약점 점검과 달리, 펜테스트는 사람이 그 취약점들을 실제로 연결·악용해 어디까지 뚫리는지까지 검증합니다. 그래서 같은 '점검'이라도 결과의 신뢰도와 깊이가 다릅니다.
펜테스트는 사전에 제공하는 정보의 양에 따라 보통 세 가지 방식으로 나뉩니다.
펜테스트는 이렇게 진행됩니다
방식과 상관없이 실제 점검은 대체로 다음 다섯 단계를 거칩니다.
- 정찰 — 대상 시스템의 정보를 수집하고 공격 계획을 세웁니다.
- 스캐닝 — 자동화 도구로 열린 포트, 취약한 설정, 침투 가능 경로를 찾습니다.
- 침투 — 발견한 취약점을 실제로 악용해 시스템 내부로 접근합니다.
- 권한 유지 — 접속을 유지하며 내부망 확산과 지속적인 침투(APT)를 시뮬레이션합니다.
- 보고 — 사용한 방법, 발견한 취약점, 예상 피해 범위와 개선 방안을 보고서로 정리합니다.
전통적 모의해킹 vs 버그바운티 vs PTaaS
최근에는 연 1~2회 점검하는 전통적 방식 외에, 상시 점검이 가능한 대안들이 함께 쓰이고 있습니다.
| 구분 | 전통적 모의해킹 | 버그바운티 | PTaaS |
|---|---|---|---|
| 수행 방식 | 계약된 전문 인력이 정해진 기간 집중 점검 | 불특정 다수의 화이트해커가 상시 취약점 제보 | 플랫폼을 통해 지속적·반복적으로 점검 |
| 주기 | 연 1~2회 | 상시 운영(프로그램 종료 시까지) | 지속적·주간 또는 요청 시 |
| 범위·통제 | 계약 범위 내 자산만, 통제·감사 용이 | 참여자를 통제하기 어려워 범위 관리가 상대적으로 느슨함 | 외부 공격 표면 전체, 범위가 정해져 감사 가능 |
| 결과물 | PDF 보고서(점검 시점 기준) | 제보 건별 개별 리포트 | 재현 가능한 PoC가 포함된 대시보드, 자동화된 감사 로그 |
해외 PTaaS 벤더 사례에서는 앱 1건당 비용이 전통적 모의해킹 대비 상당히 낮게(수십만~수백만 원대 수준) 제시되기도 하지만, 이는 벤더가 공개한 자체 수치이므로 도입 전 독립적인 비교 검토가 필요합니다.FireCompass
왜 지금 필요한가 — KISA 점검 결과와 SKT 사태
한국인터넷진흥원(KISA)은 2023~2025년 주요 기업을 대상으로 실시한 모의침투 점검 결과를 바탕으로 2026년 3월 '모의침투 점검 기업 주요 취약점 사례집'을 발표했습니다. 점검 대상 기업의 89%에서 중요정보 탈취, 개인정보 탈취, 내부망 침투, 관리자 권한 탈취, 시스템 제어권 획득 중 최소 한 가지 이상이 실제로 가능한 취약점이 확인됐습니다.바이라인네트워크
| 지표 | 수치 |
|---|---|
| KISA 모의침투 점검(2023~2025) — 취약점 확인 비율 | 89% |
| 국내 사이버침해사고 신고 건수(2022년) | 1,142건 |
| 국내 사이버침해사고 신고 건수(2024년) | 1,887건 |
| 2025년 상반기 신고 건수 | 1,000여 건(전년 동기 대비 약 15%↑) |
2025년 6월 2천만 명 이상의 가입자 유심(USIM) 정보가 유출된 SKT 해킹 사고 이후에는 국내 모의해킹 업계 전반에 문의와 수요가 크게 늘었습니다. 금융·통신·제조·공공기관까지 미뤄두었던 모의해킹을 서둘러 진행하려 했고, 라온시큐어·스틸리언·엔키화이트햇·티오리 등 보안 업체들은 공통적으로 "현재 인력만으로는 늘어난 수요를 감당하기 어렵다"고 밝혔습니다. 이런 인력 공백을 메우는 대안으로 구독형 모의해킹(PTaaS)과 AI 기반 자동화 점검이 함께 거론되고 있습니다.보안뉴스
모의해킹, 법적으로 의무인 경우
모든 기업에 일괄적으로 의무는 아니지만, 다음과 같은 경우에는 모의해킹에 준하는 취약점 분석·평가를 받아야 합니다.
- 주요정보통신기반시설 — 정보통신기반 보호법에 따라 지정된 관리기관은 매년 취약점 분석·평가를 실시해야 합니다.
- 금융회사 — 전자금융감독규정에 따라 전자금융기반시설에 대한 취약점 분석·평가를 정기적으로 수행해야 합니다.
- ISMS-P 고위험군·침해 이력 기업(2026년 강화) — 2026년 개편된 인증기준에서는 과거 보안 사고가 있었거나 고위험군으로 분류된 기업에 한해, 예비 심사 단계부터 체크리스트 점검을 넘어선 실제 침투 테스트(시나리오 기반)를 요구하기 시작했습니다.보안뉴스
법적 의무 대상이 아니더라도, 체크리스트 중심 인증만으로는 실제 침해를 막지 못한다는 사례가 반복되면서 공격자 관점의 점검을 상시 활동으로 정착시켜야 한다는 공감대가 커지고 있습니다.
실무 체크포인트 — 모의해킹 의뢰 전 확인할 것
KISA 점검 사례에서도 과도한 권한 부여와 내부 접근 통제 미흡이 반복적으로 지적된 원인으로 꼽혔습니다. 오피스키퍼는 문서중앙화와 정보유출방지로 권한 밖의 문서 열람·다운로드·외부 전송 자체를 차단해, 모의해킹 보고서에서 흔히 나오는 '내부 데이터 접근 통제 미흡' 항목을 보완하는 데 도움을 줍니다.
자주 묻는 질문
Q. 모의해킹과 취약점 점검(진단)은 어떻게 다른가요?
A. 취약점 점검은 자동화 스캐너로 알려진 취약점 목록을 찾아내는 데 집중합니다. 모의해킹은 사람이 그 취약점들을 실제로 연결·악용해 "정말 뚫리는지", "어디까지 들어갈 수 있는지"까지 검증한다는 점에서 더 깊은 단계입니다.
Q. 모의해킹과 버그바운티는 뭐가 다른가요?
A. 모의해킹은 정해진 기간·범위·계약 안에서 전문 인력이 집중적으로 점검하는 방식이고, 버그바운티는 불특정 다수의 화이트해커에게 상시로 포상금을 걸고 취약점 제보를 받는 방식입니다. 범위 통제와 감사 가능성 면에서는 모의해킹(특히 PTaaS)이 더 체계적입니다.
Q. 블랙박스·화이트박스·그레이박스 중 어떤 걸 선택해야 하나요?
A. 실제 외부 공격자의 관점을 보고 싶다면 블랙박스, 내부 설계까지 깊이 점검하려면 화이트박스가 적합합니다. 현실성과 효율의 균형을 원한다면 그레이박스로 시작해 점검 범위를 넓혀가는 경우가 많습니다.
Q. 모의해킹은 법적으로 반드시 받아야 하나요?
A. 모든 기업에 일괄 의무는 아닙니다. 다만 주요정보통신기반시설로 지정된 기관은 정보통신기반 보호법에 따라, 금융회사는 전자금융감독규정에 따라 정기적인 취약점 분석·평가를 받아야 합니다. 2026년에는 ISMS-P 인증기준 개편으로 과거 침해 이력이 있거나 고위험군으로 분류된 기업도 예비 심사 단계부터 실제 침투 테스트를 받도록 강화됐습니다.
Q. PTaaS를 도입하면 전통적인 모의해킹은 필요 없어지나요?
A. 완전히 대체한다기보다는 보완에 가깝습니다. PTaaS는 상시·반복 점검과 새로 생기는 자산 변화를 빠르게 포착하는 데 강점이 있지만, 복잡한 비즈니스 로직 취약점이나 레드팀 시나리오처럼 깊이 있는 점검은 여전히 숙련된 컨설턴트의 전통적 모의해킹이 필요한 영역입니다.
모의해킹에서 반복 지적되는 내부 문서 유출 경로, 오피스키퍼가 막아 드립니다.
제품소개서 신청하기