지니온

사이버 자산 관리(CAASM): 모르는 자산은 지킬 수 없습니다

사이버 자산 관리(Cyber Asset Attack Surface Management, CAASM)는 여러 시스템에 흩어진 IT 자산 정보를 하나로 모아 정규화하고, 관리되지 않는 자산과 보안 통제의 공백을 찾아내는 보안 자산 관리 접근입니다. 지니온은 Qualys CSAM 으로 자산 가시성을 확보하고 취약점 관리와 바로 연결합니다.

CAASM / 사이버 자산 관리 / 보안 자산 관리 / IT 자산 가시성 / 미관리 자산 / 섀도 IT / EOL 자산 / 자산 인벤토리

도입 상담 요청소개서 받기

핵심 요약

사이버 자산 관리(CAASM)는 CMDB, 클라우드 콘솔, 엔드포인트 에이전트, 네트워크 스캔, 외부 공격 표면 등 여러 출처의 자산 정보를 API 로 모아 중복을 제거하고 소유자·중요도·설치 소프트웨어·EOL 여부를 붙여 하나의 정확한 보안 자산 인벤토리를 만드는 접근입니다. 회계용 IT 자산 관리(ITAM)와 달리 '이 자산에 보안 에이전트가 있는가, 스캔 범위에 들어 있는가, 지원 종료 소프트웨어가 있는가'를 답하는 것이 목적입니다. 지니온은 Qualys CSAM(CyberSecurity Asset Management)으로 자산 발견·정규화·태깅·외부 노출 자산 귀속까지 구축하고, 그 결과를 VMDR 취약점 관리의 범위로 바로 씁니다.

최종 업데이트

ERP 의 자산 관리와 보안의 자산 관리는 다른 일입니다

회계 자산 대장은 '얼마짜리 장비를 누가 샀는가'를 답합니다. 보안 자산 관리는 '지금 네트워크에 무엇이 붙어 있고, 그중 무엇이 보호 범위 밖에 있는가'를 답합니다.

CAASM(Cyber Asset Attack Surface Management)은 Gartner 가 분류한 영역으로, 이미 조직이 가진 여러 도구의 자산 데이터를 API 로 통합해 보안 관점의 단일 인벤토리를 만드는 기술입니다. 새 스캐너를 더하는 것이 아니라, CMDB·AD·클라우드·EDR·취약점 스캐너가 각자 알고 있는 자산 정보를 한곳에 모아 서로 대조하는 것이 핵심입니다.

대조하면 공백이 드러납니다. AD 에는 있는데 EDR 에는 없는 단말, 클라우드 콘솔에는 떠 있는데 스캔 범위에는 없는 인스턴스, 지원이 끝난 OS 를 아직 돌리는 서버, 소유자가 퇴사해 아무도 관리하지 않는 시스템. 취약점 관리와 보안 통제 검증은 모두 '자산 목록'을 입력으로 받기 때문에, 이 목록이 틀리면 그 위의 모든 보안 활동의 범위가 틀립니다.

외부 공격 표면 관리(EASM)가 공격자 시점에서 밖에서 보이는 자산을 찾는다면, CAASM 은 내부 시점에서 우리가 가진 모든 자산과 그 통제 상태를 봅니다. 두 가지를 합쳐야 전체 공격 표면이 됩니다.

  • 자산 목록이 최신이 아님

    CMDB 갱신은 수작업이라 늘 뒤처지고, 클라우드와 컨테이너는 하루에도 수백 개가 생겼다 사라집니다.

  • 관리 대상이 급증

    재택 단말, SaaS, OT·IoT 장비, 협력사 접속 구간까지 자산의 종류와 수가 계속 늘어납니다.

  • 소유자와 중요도 불명확

    취약점을 찾아도 누구에게 조치를 배정할지, 어느 것이 핵심 업무 자산인지 몰라 처리가 멈춥니다.

  • 관리 범위를 증명하기 어려움

    감사에서 '전 자산을 점검했는가'에 답하려면 전 자산이 무엇인지부터 증명해야 합니다.

모으고, 정리하고, 공백을 찾고, 취약점 관리로 넘깁니다

  1. 01

    자산 발견과 수집

    Qualys 에이전트·스캐너·패시브 센서, 클라우드 커넥터(AWS·Azure·GCP), CMDB(ServiceNow 등)와 타사 보안 도구 API 에서 자산 정보를 모읍니다. 외부 공격 표면 스캔으로 인터넷에 노출된 자산도 찾습니다.

  2. 02

    정규화와 중복 제거

    같은 서버가 호스트명·IP·클라우드 ID 로 세 번 잡히는 문제를 하나로 합치고, 설치 소프트웨어·버전·지원 종료(EOL) 여부·열린 포트를 붙입니다.

  3. 03

    태깅과 소유권 정의

    업무 시스템, 환경(운영·개발), 부서, 중요도 같은 태그를 규칙으로 자동 부여하고 소유자를 지정합니다. 이 태그가 이후 취약점 우선순위와 조치 배정의 기준이 됩니다.

  4. 04

    공백 식별

    에이전트 미설치 단말, 스캔 범위 밖 자산, EOL 소프트웨어, 미승인 소프트웨어, 소유자 없는 자산을 보고서와 대시보드로 보여 줍니다.

  5. 05

    취약점 관리로 연결

    정리된 인벤토리가 그대로 Qualys VMDR 의 스캔 범위와 TruRisk 우선순위의 자산 중요도 입력이 됩니다. 별도 수집 체계 없이 같은 에이전트와 플랫폼을 씁니다.

지니온이 사이버 자산 관리를 구축하는 방식

  1. 01

    현재 자산 데이터 출처 조사

    CMDB, AD, 클라우드 계정, EDR, 기존 스캐너 등 자산 정보가 어디에 어떤 품질로 있는지 확인하고 통합 우선순위를 정합니다.

  2. 02

    PoC: 세 출처를 합쳐 공백 확인

    대표적인 두세 출처를 Qualys CSAM 에 연동해 중복 제거 후 자산 수, 에이전트 미설치 자산, EOL 자산을 처음으로 확인합니다. 보통 이 단계에서 예상보다 많은 미관리 자산이 드러납니다.

  3. 03

    태깅 규칙과 소유권 체계 설계

    조직 구조와 업무 시스템 분류에 맞춰 자동 태깅 규칙을 만들고 소유자 지정 절차를 정합니다. 이 설계가 이후 취약점 조치 배정의 품질을 결정합니다.

  4. 04

    전체 확대와 VMDR 연계

    나머지 출처를 연동하고 인벤토리를 VMDR 스캔 범위로 넘겨 취약점 관리와 한 사이클로 운영합니다.

  5. 05

    운영 정착

    주간 신규·변경 자산 검토, 월간 커버리지 보고, 감사 대응용 증빙 리포트 양식을 정하고 담당자 교육을 진행합니다.

지니온은 Qualys 공식 파트너로 CSAM 과 VMDR, TruRisk Eliminate 를 함께 구성합니다. 외부 공격 표면은 Qualys CSAM 의 EASM 기능 또는 Recorded Future Attack Surface Intelligence 로 보완해 내부와 외부 시점을 모두 확보합니다.

사이버 자산 관리 도입 전 자주 묻는 질문

CMDB(ServiceNow 등)가 있는데 CAASM 이 왜 필요한가요?

CMDB 는 자산의 '기록'이고 CAASM 은 자산의 '관측'입니다. CMDB 에 등록되지 않은 자산, 등록은 됐지만 실제로는 사라진 자산을 찾아 CMDB 를 바로잡는 것이 CAASM 의 역할입니다. Qualys CSAM 은 ServiceNow CMDB 와 양방향 연동됩니다.

CAASM 과 EASM 은 어떻게 다른가요?

EASM 은 공격자 시점에서 인터넷에 노출된 자산을 밖에서 찾고, CAASM 은 내부 시점에서 우리가 가진 모든 자산과 통제 상태를 봅니다. Qualys CSAM 은 두 기능을 한 모듈에서 제공하며, 외부 발견 자산을 내부 인벤토리에 귀속시켜 관리 범위로 끌어옵니다.

CSAM 을 VMDR 보다 먼저 도입해야 하나요?

같이 도입하는 경우가 많습니다. 같은 에이전트와 플랫폼을 쓰기 때문에 추가 수집 체계가 필요 없고, 자산 범위가 정확해야 취약점 관리의 범위도 정확해집니다. 이미 VMDR 을 쓰고 있다면 CSAM 을 더해 범위와 우선순위 품질을 높이는 순서입니다.

자산 태깅은 꼭 해야 하나요?

태그가 없으면 '이 취약점은 누가 언제까지 고치는가'를 정할 수 없습니다. 태깅은 취약점 우선순위(자산 중요도)와 조치 배정(소유자)의 기준이므로, 도입 초기에 규칙으로 자동화해 두는 것이 운영 정착의 핵심입니다.

이 주제를 구현하는 솔루션

전체 솔루션 +

관련 인사이트

전체 글 +

Why 지니온

지니온은 단순한 솔루션 도입이 아니라, 실제 보안 운영에 활용 가능한 형태로 정착시키는 것을 목표로 합니다.

  • 국내 특화 인텔리전스

    글로벌 위협은 물론, 한국을 표적으로 하는 공격 그룹에 대한 심층 분석 리포트를 제공합니다.

  • 전담 조직의 밀착 지원

    도입부터 최적화, 운영까지 전문 인력이 함께합니다.

  • 환경에 맞춘 설계

    단순 제품 공급을 넘어 고객 인프라 환경에 맞는 보안 시나리오를 함께 설계합니다.

다른 주제

전체 +
전화 문의도입 문의