지니온

내부 취약점 점검·진단 서비스: 서버, 네트워크, DB, 웹까지

내부 취약점 점검은 외부에서 보이지 않는 내부망 자산(서버 OS, 네트워크 장비, DB, 웹·WAS, 보안 장비 설정)을 기술적 점검 기준에 따라 진단하고 조치 방안을 제시하는 서비스입니다. 지니온은 Qualys 공식 파트너로 점검 기준에 맞춘 자동 점검 체계 구축과 정기 점검 대응을 지원합니다.

내부 취약점 점검 / 취약점 진단 / 취약점 분석 평가 / 서버 취약점 점검 / 네트워크 취약점 점검 / DB 취약점 점검 / 웹 취약점 점검 / ISMS-P

도입 상담 요청소개서 받기

핵심 요약

내부 취약점 점검(취약점 진단)은 전자금융기반시설 취약점 분석·평가 기준, 주요정보통신기반시설 기술적 취약점 분석·평가 방법, ISMS-P 인증 기준 같은 점검 항목에 따라 내부망의 서버·네트워크·DB·웹 애플리케이션을 진단하고, 항목별 양호·취약 판정과 조치 방법, 재점검 결과를 보고서로 제공하는 서비스입니다. 연 1회 이상 수행하는 정기 점검을 Qualys VMDR(취약점)·Policy Audit(설정 기준) 로 자동화하고 그 사이 기간도 같은 기준으로 지켜보는 상시 체계를 만드는 것이 지니온의 접근입니다. 점검 범위, 기준, 일정은 자산 규모와 규제 요건에 따라 상담 때 정합니다.

최종 업데이트

무엇을 어떤 기준으로 점검하나

점검 대상과 기준은 규제 요건과 조직의 자산 구성에 따라 정합니다. 아래는 일반적인 구성입니다.

대상점검 내용주로 쓰는 기준
서버 (Linux·Unix·Windows)계정·패스워드 정책, 서비스·포트, 패치 수준, 파일 권한, 로그 설정전자금융기반시설 점검 기준, 주요정보통신기반시설 가이드, CIS 벤치마크
네트워크 장비관리 접근 통제, 불필요 서비스, SNMP·NTP 설정, 펌웨어 취약점, ACL주요정보통신기반시설 가이드, 벤더 보안 가이드
DB (Oracle·MS SQL·MySQL 등)계정·권한, 감사 로그, 암호화, 패치, 원격 접속 통제전자금융기반시설 점검 기준, CIS 벤치마크
웹·WASOWASP Top 10 기반 웹 취약점, WAS 설정, 소스 노출, 인증·세션 관리전자금융기반시설 웹 점검 항목, OWASP
보안 장비·클라우드 설정방화벽 정책 과다 허용, 클라우드 IAM·스토리지 공개 설정CIS 벤치마크, CSP 보안 가이드

점검 기준은 매년 개정됩니다. 전자금융기반시설 평가 기준은 금융보안원이, 주요정보통신기반시설 가이드는 KISA 가 갱신하므로 점검 전에 해당 연도 기준을 확인해 항목표를 맞춥니다. 지니온은 Qualys 스캐너·에이전트와 Policy Audit 정책 라이브러리로 수집과 판정을 자동화해 수동 점검의 누락과 담당자 의존을 줄입니다.

점검 체계는 이렇게 만듭니다

  1. 01

    범위·기준·일정 합의

    점검 대상 자산 목록, 적용 기준(전자금융·기반시설·ISMS-P 등), 점검 방식(스크립트 수집·수동·원격), 운영 영향이 없는 시간대를 정합니다.

  2. 02

    자산 정보 수집

    대상 서버·장비·DB 의 설정과 버전 정보를 Qualys 에이전트와 스캐너로 수집합니다. 운영 중인 시스템에 변경을 가하지 않습니다.

  3. 03

    항목별 진단과 판정

    Policy Audit 정책으로 기준 항목별 양호·취약·해당 없음을 자동 판정하고, 취약 항목에는 근거(설정값·버전)와 위험도를 붙입니다. 웹은 TotalAppSec 자동 스캔으로 점검합니다.

  4. 04

    조치 방안 제시와 설명

    플랫폼이 제시하는 항목별 조치 방법을 운영 환경에 맞게 정리하고, 운영 부서와 함께 적용 가능 여부와 예외 사유를 기록합니다.

  5. 05

    조치 후 재점검과 보고서

    조치 완료 항목을 자동 재점검해 닫혔는지 확인하고, 감사·보고용 결과 보고서(요약·상세·증빙)를 플랫폼에서 냅니다.

연 1회 점검 사이의 공백을 메우는 상시 점검

  • 점검 주기

    기존연 1회 점검 결과가 다음 점검까지 1년 동안 '현재 상태'로 남습니다.

    도입 후Qualys VMDR 이 매주 취약점을, Policy Audit 이 설정 기준 준수를 자동으로 점검해 변화를 바로 봅니다.

  • 점검 결과 처리

    기존보고서를 받고 조치 담당을 정하는 데 몇 주가 걸리고, 재점검은 다음 해입니다.

    도입 후항목별 담당·기한이 플랫폼에 기록되고, 조치 즉시 재점검으로 닫힙니다.

  • 감사 대응

    기존점검 보고서와 조치 증빙을 매번 수작업으로 모읍니다.

    도입 후기준별 준수율과 조치 이력이 리포트로 항상 준비돼 있습니다.

내부 취약점 점검 전 자주 묻는 질문

점검이 운영 중인 시스템에 영향을 주나요?

에이전트 수집과 설정·버전 확인 위주라 서비스 영향은 거의 없습니다. 웹 자동 스캔은 부하가 생길 수 있어 대상·시간대·강도를 정하고 진행하며, 운영 DB 에 데이터를 쓰는 점검은 하지 않습니다.

점검 기간은 얼마나 걸리나요?

에이전트 배포와 정책 적용이 끝나면 첫 점검 결과는 수일 안에 나옵니다. 기준 맞춤과 예외 정리를 포함한 체계 구축 일정은 자산 규모를 보고 상담 때 안내합니다.

취약점 점검과 모의해킹은 무엇이 다른가요?

취약점 점검은 기준 항목표에 따라 설정과 버전을 빠짐없이 확인하는 '전수 점검'이고, 모의해킹은 공격자 관점에서 실제로 침투 가능한 경로를 찾는 '시나리오 점검'입니다. 규제는 대개 둘 다 요구합니다. 지니온은 전수 점검을 Qualys 로 자동화하고, 모의해킹 사이 기간의 방어력 확인은 Cymulate 로 지원합니다.

조치는 누가 하나요?

조치 적용은 고객의 운영 부서가 하고, 플랫폼이 항목별 조치 방법과 재점검 결과를 제공합니다. Qualys TruRisk Eliminate 를 쓰면 패치와 설정 변경을 플랫폼에서 배포할 수 있고, 지니온은 예외 기준과 운영 절차 설계를 지원합니다.

이 주제를 구현하는 솔루션

전체 솔루션 +

관련 인사이트

전체 글 +

Why 지니온

지니온은 단순한 솔루션 도입이 아니라, 실제 보안 운영에 활용 가능한 형태로 정착시키는 것을 목표로 합니다.

  • 국내 특화 인텔리전스

    글로벌 위협은 물론, 한국을 표적으로 하는 공격 그룹에 대한 심층 분석 리포트를 제공합니다.

  • 전담 조직의 밀착 지원

    도입부터 최적화, 운영까지 전문 인력이 함께합니다.

  • 환경에 맞춘 설계

    단순 제품 공급을 넘어 고객 인프라 환경에 맞는 보안 시나리오를 함께 설계합니다.

다른 주제

전체 +
전화 문의도입 문의