지니온

CTEM(지속적 위협 노출 관리) 도입: 취약점 목록을 실제 위험 순서로

CTEM(Continuous Threat Exposure Management, 지속적 위협 노출 관리)은 범위 설정, 발견, 우선순위, 검증, 조치의 다섯 단계를 반복해 조직의 노출을 꾸준히 줄이는 운영 프로그램입니다. 지니온은 Cymulate 와 Qualys 로 이 다섯 단계를 하나의 운영 사이클로 잇습니다.

CTEM / 지속적 위협 노출 관리 / 노출 관리 / Exposure Management / 익스포저 관리 / 위협 노출 평가 / TruRisk

도입 상담 요청소개서 받기

핵심 요약

CTEM(지속적 위협 노출 관리)은 Gartner 가 제시한 보안 운영 프로그램으로, 범위 설정(Scoping) → 발견(Discovery) → 우선순위(Prioritization) → 검증(Validation) → 조치(Mobilization)의 다섯 단계를 반복합니다. 취약점의 심각도(CVSS)가 아니라 '우리 환경에서 실제로 악용 가능한가, 이미 보안 통제로 막혀 있는가'를 기준으로 처리 순서를 정하는 것이 핵심입니다. 지니온은 Qualys ETM·VMDR 로 발견과 우선순위를, Cymulate CTEM·Exposure Validation 으로 검증과 조치를 맡겨 CTEM 프로그램을 구축하고 운영 정착을 지원합니다.

최종 업데이트

취약점이 많은 것이 문제가 아니라, 무엇부터 할지 모르는 것이 문제입니다

스캐너는 매주 수천 건을 찾아 줍니다. 그중 실제로 공격에 쓰이는 것은 극소수이고, 그마저도 상당수는 이미 EDR 이나 방화벽이 막고 있습니다.

CTEM 은 Gartner 가 2022년에 제시한 운영 프로그램입니다. 제품 이름이 아니라 방법론이며, 핵심은 '발견한 노출을 검증을 거쳐 실제 위험 순서로 줄이는 일을 계속 반복한다'는 것입니다. 취약점 관리가 '찾아서 패치한다'에 머물렀다면, CTEM 은 '찾고, 악용 가능한지 확인하고, 막혀 있는지 반영하고, 패치 전이라도 통제로 줄인다'까지 갑니다.

노출(Exposure)은 취약점(CVE)보다 넓은 말입니다. 잘못된 설정, 과도한 권한, 외부에 노출된 잊힌 자산, 유출된 계정 정보, 피싱에 취약한 이메일 경로까지 포함합니다. 그래서 CTEM 은 취약점 스캐너 하나로 되지 않고, 자산 관리·공격 표면·위협 인텔리전스·보안 통제 검증이 같이 필요합니다.

  1. 01

    범위 설정 (Scoping)

    비즈니스 영향이 큰 시스템과 공격 표면부터 정합니다. 고객 서비스, 결제, 핵심 내부 시스템, 외부 노출 자산 순으로 시작하는 것이 일반적입니다.

  2. 02

    발견 (Discovery)

    자산 인벤토리, 취약점, 설정 오류, 외부 노출 자산, 유출 계정을 모읍니다. Qualys CSAM·VMDR 과 Recorded Future 가 이 단계를 맡습니다.

  3. 03

    우선순위 (Prioritization)

    CVSS 점수 대신 악용 근거, 위협 활동, 자산 중요도, 보완 통제를 합쳐 순위를 매깁니다. Qualys TruRisk 와 Recorded Future 취약점 인텔리전스를 씁니다.

  4. 04

    검증 (Validation)

    상위 노출이 우리 환경에서 실제로 악용 가능한지, 이미 보안 통제가 막는지 공격 시뮬레이션으로 확인합니다. Cymulate Exposure Validation 과 Qualys TruConfirm 이 맡습니다.

  5. 05

    조치 (Mobilization)

    패치, 설정 변경, 또는 패치 전 탐지·차단 규칙 적용을 담당 부서에 배정하고 결과를 다시 검증합니다. Qualys TruRisk Eliminate 와 Cymulate Auto Mitigation 이 조치를 자동화합니다.

공격은 시간 단위로 빨라졌고, 패치는 여전히 주 단위입니다

  • 우선순위 기준

    기존CVSS 9.0 이상을 전부 긴급으로 분류해 수백 건이 동시에 '긴급'이 됩니다.

    도입 후악용 코드가 공개됐고, 우리 자산에 존재하며, 보안 통제가 막지 못하는 것만 긴급으로 남깁니다.

  • 패치가 어려운 시스템

    기존레거시 서버나 운영 중단이 어려운 시스템은 취약점을 알면서도 몇 달씩 방치합니다.

    도입 후패치 전이라도 EDR·IPS·WAF 에 탐지·차단 규칙을 넣어 노출을 먼저 줄이고, 효과를 시뮬레이션으로 확인합니다.

  • 보고

    기존'취약점 3,200건 중 1,800건 조치' 처럼 양으로 보고합니다.

    도입 후'악용 가능한 치명 노출 47건 중 44건 차단 확인' 처럼 위험 감소로 보고합니다.

Cymulate 는 악용 가능성이 증명된 노출에 집중한 고객이 치명 노출을 52% 줄였다고 보고합니다. Qualys 는 ETM 으로 6,250만 건의 발견 항목을 실제 조치 대상 6만 건으로 좁힌 사례를 제시합니다. 숫자는 환경마다 다르지만 방향은 같습니다. 일의 양을 줄이고 위험을 줄이는 것입니다.

지니온이 CTEM 프로그램을 구축하는 방식

이미 쓰고 있는 스캐너와 보안 장비를 버리지 않고 그 위에 검증과 조치 단계를 얹는 것이 원칙입니다.

  1. 01

    현재 취약점 관리 수준 진단

    스캐너 결과가 어떻게 쌓이고 누가 처리하는지, 패치 주기와 예외 규모, 보고 방식을 확인합니다. 어느 단계가 비어 있는지 찾습니다.

  2. 02

    첫 범위와 성공 기준 합의

    외부 노출 자산이나 핵심 업무 시스템처럼 영향이 큰 범위부터 시작하고, '치명 노출 수'나 '평균 조치 시간' 같은 측정 가능한 목표를 정합니다.

  3. 03

    발견·우선순위 체계 정비

    Qualys VMDR·CSAM 로 자산과 취약점 데이터를 정리하고 TruRisk 기준으로 순위를 재정렬합니다. 기존 스캐너 결과도 Cymulate CTEM 에 연동할 수 있습니다.

  4. 04

    검증 단계 추가

    Cymulate Exposure Validation 으로 상위 노출의 실제 악용 가능성과 통제 차단 여부를 확인합니다. 결과를 우선순위에 반영해 이미 막힌 것은 뒤로 보냅니다.

  5. 05

    조치 자동화와 운영 정착

    패치는 TruRisk Eliminate 로, 패치 전 통제 보강은 Auto Mitigation 으로 자동화하고, 월간 사이클과 보고 양식을 정합니다.

CTEM 도입 전 자주 묻는 질문

CTEM 은 제품인가요, 방법론인가요?

Gartner 가 정의한 운영 프로그램(방법론)입니다. 특정 제품 하나로 완성되지 않으며, 발견·우선순위·검증·조치를 맡는 도구를 조합해 사이클로 운영합니다. 지니온은 Qualys 와 Cymulate 조합으로 이 사이클을 구성합니다.

이미 Qualys VMDR 을 쓰고 있는데 CTEM 을 위해 무엇이 더 필요한가요?

VMDR 은 발견과 우선순위 단계를 잘 맡습니다. 비어 있기 쉬운 것은 검증 단계, 즉 '이 취약점이 우리 환경에서 실제로 악용되는가, 이미 막혀 있는가'입니다. Cymulate Exposure Validation 이나 Qualys TruConfirm 을 더하면 사이클이 완성됩니다.

CVSS 대신 무엇으로 우선순위를 정하나요?

악용 코드 공개 여부, 실제 공격 캠페인 활용, 자산의 비즈니스 중요도, 외부 노출 여부, 보완 통제의 차단 여부를 합칩니다. Qualys 는 이를 TruRisk 점수로, Recorded Future 는 취약점 인텔리전스로 제공합니다.

작은 보안팀도 운영할 수 있나요?

오히려 작은 팀일수록 필요합니다. 검증 단계가 처리 대상을 크게 줄이고 조치 자동화가 수작업을 덜기 때문입니다. 첫 범위를 작게 잡고 사이클을 한 바퀴 돌려 본 뒤 넓히는 방식을 권합니다.

이 주제를 구현하는 솔루션

전체 솔루션 +

관련 인사이트

전체 글 +

Why 지니온

지니온은 단순한 솔루션 도입이 아니라, 실제 보안 운영에 활용 가능한 형태로 정착시키는 것을 목표로 합니다.

  • 국내 특화 인텔리전스

    글로벌 위협은 물론, 한국을 표적으로 하는 공격 그룹에 대한 심층 분석 리포트를 제공합니다.

  • 전담 조직의 밀착 지원

    도입부터 최적화, 운영까지 전문 인력이 함께합니다.

  • 환경에 맞춘 설계

    단순 제품 공급을 넘어 고객 인프라 환경에 맞는 보안 시나리오를 함께 설계합니다.

다른 주제

전체 +
전화 문의도입 문의