보안 용어집

A~Z

• A AI 에이전트
• B BAS
• C CVE, CVSS
• E EDR, EPSS
• I IoC, ISMS-P
• K KEV
• M MCP, MDR, MITRE ATT&CK
• N N2SF
• R RAG
• S SBOM, SIEM, SOAR, SOC
• T TTP
• U UEBA
• X XDR

SOC (Security Operations Center, 보안관제센터)

보안 경보를 보고, 판단하고, 대응을 지시하는 조직이자 그 운영 체계입니다. 사내에 직접 두기도 하고 외부 관제 업체에 맡기기도 합니다. 24시간 돌리려면 교대 인원이 있어야 해서, 업무 시간만 내부에서 보고 야간과 주말은 외부에 맡기는 식으로 나누기도 합니다.

SOAR (Security Orchestration, Automation and Response)

경보가 들어왔을 때 사람이 반복하던 작업을 플레이북으로 자동화하는 도구입니다. 예를 들어 피싱 신고 메일이 오면 URL 평판 조회, 같은 메일을 받은 사람 검색, 메일 일괄 삭제까지 순서대로 돌립니다. 플레이북이 실제 환경과 어긋나면 자동화가 오히려 사고를 키울 수 있어서, 영향이 큰 조치에는 승인 단계를 둡니다.

XDR (Extended Detection and Response)

엔드포인트뿐 아니라 메일, 네트워크, 클라우드, ID 시스템 데이터까지 묶어서 하나의 사건으로 엮어 보여 주는 제품군을 말합니다. 업체마다 정의가 조금씩 달라서, 견적을 비교할 때는 "어떤 데이터 소스를 기본으로 받고, 다른 회사 제품 로그도 받는지"를 꼭 물어보세요.

UEBA (User and Entity Behavior Analytics)

사용자와 서버, 계정의 평소 행동을 기준선으로 잡고 거기서 벗어나는 행동을 찾는 분석 방식입니다. 평소 오전에만 접속하던 재무팀 계정이 새벽에 개발 서버에 붙는다든가, 한 사람이 평소의 열 배 넘는 파일을 내려받는 경우를 잡습니다. 기준선을 잡는 데 몇 주가 걸리고, 조직 개편이나 결산 기간처럼 업무 패턴이 바뀌는 시기에는 경보가 늘어납니다.

오탐 (False Positive)

정상 행위를 공격으로 잘못 판단한 경보입니다. 하나하나는 사소해 보여도 쌓이면 분석가가 경보를 대충 넘기게 만들고, 그 사이에 진짜 공격이 묻힙니다. 오탐을 줄이겠다고 규칙을 끄면 미탐이 늘어나니, 둘을 같이 보고 조정해야 합니다.

위협 헌팅 (Threat Hunting)

경보가 울리기를 기다리지 않고, 이미 들어와 있을 수 있다는 가정에서 출발해 로그를 직접 뒤지는 활동입니다. "최근 공개된 그룹이 쓰는 이 기법이 우리 환경에서 실행된 적 있나?" 같은 가설을 세우고 EDR과 SIEM 데이터로 확인합니다. 헌팅에서 찾은 패턴은 탐지 규칙으로 옮겨야 다음에 다시 손으로 찾지 않아도 됩니다.

CVE (Common Vulnerabilities and Exposures)

공개된 취약점마다 붙는 고유 번호입니다. CVE-2021-44228처럼 연도와 일련번호로 이뤄지고, CVE 프로그램이 승인한 번호 발급 기관(CNA)이 부여합니다. 번호 자체는 "이 취약점을 가리키는 이름"일 뿐이고 심각도는 따로 매깁니다.

EPSS (Exploit Prediction Scoring System)

앞으로 30일 안에 해당 CVE가 실제로 악용될 확률을 0~1 사이 값으로 추정하는 모델입니다. CVSS와 같이 FIRST가 운영하고 점수는 매일 갱신됩니다. 심각도(CVSS)와 악용 가능성(EPSS)을 같이 놓고 보면 무엇부터 패치할지 정하기가 훨씬 쉬워집니다.

SBOM (Software Bill of Materials)

소프트웨어에 들어간 오픈소스와 라이브러리, 그 버전을 적은 목록입니다. 새 취약점이 나왔을 때 "우리 제품 중 어디에 이 라이브러리가 들어 있지?"에 바로 답하려고 만듭니다. 형식은 SPDX와 CycloneDX가 많이 쓰이고, 빌드 때마다 자동으로 뽑아야 실제로 쓸모가 있습니다.

제로트러스트 (Zero Trust)

내부망에 있다는 이유만으로 믿지 않고, 접속 요청마다 사용자와 기기, 상황을 확인해 필요한 만큼만 허용하자는 보안 원칙입니다. NIST SP 800-207이 대표적인 정의 문서이고, 국내에서는 과학기술정보통신부와 KISA가 가이드라인을 냈습니다. 한 번에 전환하기는 어려워서 보통 ID와 접근 제어부터 단계적으로 바꿔 갑니다.

ISMS-P (정보보호 및 개인정보보호 관리체계 인증)

KISA가 운영하는 국내 인증으로, 정보보호 관리체계(ISMS)에 개인정보 처리 단계별 요구사항을 더한 것입니다. 정보통신망법상 일정 규모 이상 사업자는 ISMS 인증이 의무이고, ISMS-P는 개인정보까지 함께 인증받고 싶을 때 선택합니다. 심사는 문서보다 실제 운영 증적을 보는 편이라, 정책만 써 두고 기록이 없으면 결함으로 나옵니다.