사이버 공격 대비 기업 보안강화 권고, 지금 점검해야 할 자동화 공격

KISA 기업 보안강화 권고

최근 금융권과 민간기업을 대상으로 한 사이버 침해사고가 이어지면서, 기업의 보안 대응 체계를 강화해야 할 필요성이 커지고 있습니다.

이에 과학기술정보통신부는 ‘최근 사이버공격 대비 기업 보안강화 권고’를 통해 기업과 기관이 우선적으로 확인해야 할 주요 보안점검 및 모니터링 사항을 제시했습니다.

참고)
최근 사이버공격 대비 기업 보안강화 권고… KISA, 2026. 10. 03

여기서 주목할 부분은 단순히 시스템의 취약점을 점검하는 것에 그치지 않고, 실제 서비스에서 발생하는 비정상적인 접근과 정보 조회 행위를 지속적으로 모니터링하도록 강조하고 있다는 점입니다.

실제 권고문에서는 여러 경로에 대한 반복적인 접근, 식별자를 변경한 연속적인 정보 조회, 새로운 접속 환경에서의 인증 정보 사용과 같이, 각 영역에서 어떤 비정상적인 행위를 모니터링해야 하는지도 구체적으로 제시되어 있습니다.

이러한 행위는 정상적인 서비스 이용 과정에서도 일부 나타날 수 있지만, 자동화 도구를 활용한 공격 과정에서도 발생할 수 있습니다. 따라서, 단순히 요청이 발생했다는 사실 뿐 아니라, 요청의 빈도와 패턴, 접속 환경, 행동 특성을 함께 분석할 필요가 있습니다.

특히, 외부 노출 시스템 / 웹·API / 계정·인증정보는 악성 봇과 자동화 공격의 관점에서 중요하게 살펴보아야 할 보안 영역입니다.

외부 노출 시스템: 반복적인 접근과 취약점 탐색

기업의 웹사이트와 온라인 서비스에는 일반 사용자가 이용하는 페이지 이외에도 관리자 기능이나 다양한 서비스 경로가 존재할 수 있습니다. 공격자는 이러한 시스템을 대상으로 접근 가능한 경로를 탐색하고, 외부에 노출된 설정 파일이나 백업 파일, 관리 기능 등을 확인하려 시도할 수 있습니다.

이러한 탐색 과정은 자동화 도구에 의해 광범위하고 반복적으로 이루어질 수 있습니다.

정상적인 사용자의 서비스 요청과 달리, 자동화된 탐색 활동에서는 짧은 시간에 다수의 URL에 접근하거나, 공개되지 않은 경로 및 관리자 기능에 반복적으로 접근하는 등의 패턴이 나타날 수 있습니다.

• AI 기반의 악성 봇 탐지 및 관리 솔루션, 봇매니저(BotManager)는 서비스로 유입되는 요청의 반복 패턴과 접속 특성 등을 분석해, 자동화된 접근으로 의심되는 트래픽을 식별하고, 설정된 정책에 따라 대응할 수 있도록 지원합니다.

물론 자동화된 탐색 요청을 차단한다고 해서 시스템의 취약점 자체가 사라지는 것은 아닙니다. 외부 노출 자산 확인과 보안 업데이트, 관리자 기능 접근 제한 등 정부가 권고한 기본적인 조치를 우선 이행하면서, 비정상적인 탐색 활동에 대한 모니터링과 대응을 병행해야 합니다.

웹·API: 정상적인 요청처럼 보이는 비정상적인 정보 조회

오늘날 대부분의 온라인 서비스는 웹과 API를 통해 상품 정보를 검색하거나, 예약 내역을 확인하고, 사용자별 정보를 조회하는 등 다양한 데이터를 조회하고 처리합니다.

그러나 공격자는 특정 API를 호출하면서 사용자 식별번호를 지속적으로 변경하거나, 접근이 거부된 이후 다른 경로를 통해 동일한 정보에 접근하려고 시도합니다. 이러한 행위가 적절히 통제되지 않으면 비인가 정보 접근이나 데이터 수집으로 이어질 수 있습니다.

자동화 공격이라고 하면, 짧은 시간에 수많은 요청이 발생하는 상황을 먼저 떠올리기 쉽습니다. 하지만 모든 자동화 공격이 대량 트래픽을 동반하는 것은 아닙니다. 특히 데이터 수집을 목적으로 하는 자동화 도구는 요청 속도를 조절하거나 접속 환경을 변경하면서 정상적인 이용 행위와 유사한 패턴을 만들어낼 수 있습니다.

특히 정부는 정보 유출 탐지와 관련해서도, 단시간의 대량 요청 뿐 아니라 소량의 조회가 장시간 반복되어 누적되는 정보 접근까지 확인하도록 강조하고 있습니다. 따라서 단순히 일정 시간 동안 발생한 요청 수만 확인하는 방식으로는 비정상적인 자동화 접근을 충분히 식별하기 어려울 수 있습니다.

요청 빈도와 반복성, 조회 대상의 변화, 접속 환경 등 다양한 요소를 함께 살펴봐야 하는 이유입니다.

• 봇매니저는 반복적인 요청과 비정상적인 행동 패턴 등을 분석해 자동화된 데이터 수집이나 악성 봇 활동으로 의심되는 트래픽을 탐지하고, 정책에 따라 차단하거나 추가 검증을 수행합니다.

다만, 웹·API 보안에서는 자동화 공격 탐지와 함께 데이터별 접근권한 검증도 이루어져야 합니다. 정부가 권고한 것처럼 각 요청에 대한 서버 측 권한 검증, 계정·인증토큰별 호출 제한, 조회 범위 및 다운로드 용량 제한 등을 적용하고, 봇 탐지 기능으로 방어 수단을 보완하는 것이 중요합니다.

계정·인증정보: 유출된 계정정보를 악용하는 자동화 로그인 공격

계정 탈취 공격은 새로운 보안 취약점을 찾아내는 방식으로만 이루어지지 않습니다. 이미 다른 서비스에서 유출된 아이디와 비밀번호를 이용해 로그인을 시도하는 ‘크리덴셜 스터핑(Credential Stuffing)’이 대표적인 사례입니다.

관련 글)
크리덴셜 스터핑이란? 금융권 계정 탈취 이슈와 기업 대응 방법 →

공격자는 확보된 인증정보를 자동화 도구에 입력하여 반복적으로 로그인을 시도하고, 실제로 사용 가능한 계정을 찾아낼 수 있습니다. 여기서 중요한 것은 유출된 인증정보가 실제 로그인 시도에 활용되는지, 그 과정에서 비정상적인 자동화 행위가 발생하고 있는지 파악하는 것입니다.

일반적인 로그인 보안에서는 일정 횟수 이상 인증에 실패하는 계정을 제한하거나, 비정상적인 로그인 시도를 차단하는 방식을 사용합니다. 그러나 자동화 공격자는 여러 계정을 번갈아 사용하거나 접속 환경을 변경하면서 이러한 제한을 우회할 수 있습니다.

따라서 로그인 실패 횟수 뿐 아니라 접속 환경, 요청 패턴, 반복성 등 다양한 정보를 종합적으로 분석할 필요가 있습니다.

• 봇매니저는 로그인 과정에서 발생하는 비정상적인 자동화 요청 패턴을 분석해 크리덴셜 스터핑과 같은 공격을 탐지하고, 설정된 정책에 따라 대응할 수 있도록 지원합니다. 서비스 특성에 맞춰 탐지 및 대응 정책을 구성해 의심스러운 자동화 요청을 차단하거나, 추가 인증을 요구하는 등 단계적인 대응도 가능합니다.

정부가 권고한 다중인증(MFA), 노출된 인증정보의 폐기·교체, 최소권한 적용 등 기본적인 계정 보호 조치와 함께, 봇매니저를 통한 자동화 로그인 공격 탐지 및 대응을 병행하면 계정 보안 체계를 더욱 강화할 수 있습니다.

비정상적인 자동화 공격, 탐지부터 대응까지

앞서 살펴본 세 가지 보안 영역은 ‘정상적인 서비스 요청과 악의적인 자동화 요청을 구분하는 것이 중요하다’는 공통점을 가지고 있습니다.

외부 시스템을 반복적으로 탐색하는 요청, 웹·API를 통해 데이터를 지속적으로 조회하는 요청, 유출된 계정정보로 로그인을 시도하는 요청은 모두 정상적인 웹 트래픽과 동일한 접점에서 발생할 수 있습니다.

특히 공격자가 자동화 도구를 활용해 요청 속도를 조절하거나 사람과 유사한 행동을 보이도록 시도하는 경우, 단순한 요청 횟수나 IP 주소만으로는 공격 여부를 판단하기 어려울 수 있습니다.

따라서 기업에는 다음과 같은 대응 체계가 필요합니다.

• 정상적인 이용자와 비정상적인 자동화 접근을 구분해야 합니다.
  서비스에 유입되는 트래픽의 접속 특성과 행동 패턴 등을 분석해 정상적인 사용자 활동과 악성 봇 활동을 식별해야 합니다.

• 개별 요청 뿐 아니라 반복되는 행동 패턴을 살펴봐야 합니다.
  단시간에 집중되는 대량 요청 뿐 아니라, 일정 시간 동안 누적되는 반복 조회나 다양한 접속 환경에서 발생하는 의심스러운 활동도 함께 모니터링해야 합니다.

• 탐지 결과에 따라 적절한 대응 정책을 적용해야 합니다.
  모든 자동화 요청을 일률적으로 차단하기보다는 서비스 특성과 위험 수준에 따라 차단, 추가 검증 등의 정책을 구성하는 것이 중요합니다.

자동화 공격, 대비하고 있나요?

최근 발표된 기업 보안강화 권고는 시스템 취약점과 인증정보 보호에 대한 기본적인 점검뿐 아니라, 실제 서비스에서 발생하는 비정상적인 활동을 지속적으로 모니터링해야 할 필요성을 보여줍니다.

외부 노출 시스템에 대한 반복적인 탐색, 웹·API를 통한 연속적인 정보 조회, 유출된 계정정보를 활용한 자동화 로그인 시도는 모두 기업이 주목해야 할 보안 위협입니다.

기업은 봇매니저를 활용하여 서비스로 유입되는 자동화 트래픽을 분석하고, 의심스러운 접근에 대한 대응 정책을 마련할 수 있습니다. 이는 정부가 강조한 비정상적인 접근 및 정보 조회 행위에 대한 모니터링 체계를 보완하는 방법이 될 수 있습니다.

• 지금 우리 기업의 웹사이트와 API에도 자동화 공격이 유입되고 있을까요?

• 자동화 공격을 정상적인 서비스 이용과 구분할 수 있나요?

• 자동화 공격을 탐지하고, 검증하거나 차단할 수 있나요?

봇매니저를 통해 악성 봇과 비정상적인 접근을 탐지하고, 대응하는 방법을 확인해보세요.