“취약점 찾는 게 끝이 아니다”…유넷시스템즈가 ‘해커원’을 선택한 이유

안기동 유넷시스템즈 대표 인터뷰

인공지능(AI)을 활용한 사이버 공격이 확산하고, 금융권을 비롯한 국내 기업에서 침해사고가 잇따르면서 기존 취약점 관리 방식에도 변화가 필요하다는 목소리가 커지고 있다. 기업들이 정기적인 모의해킹과 취약점 점검을 진행하고 있지만, 발견한 취약점의 실제 위험도를 검증하고 신속하게 조치하는 데는 한계가 있다는 것이다.

안기동 유넷시스템즈 대표는 최근 진행한 바이라인네트워크와의 인터뷰에서 이러한 문제를 짚었다. 유넷시스템즈가 글로벌 화이트해커 플랫폼 ‘해커원(HackerOne)’을 국내에 도입한 이유도 여기에 있다. 전 세계 화이트해커와 AI를 활용해 취약점을 찾아내고, 검증부터 우선순위 판단, 조치까지 연결하는 보안 체계가 필요하다는 판단에서다.

안 대표는 “해커원을 말하면 취약점을 찾은 해커에게 보상금을 주는 ‘버그바운티’만 생각하는 경향이 있는데, 지금은 발견한 취약점을 어떻게 관리하느냐가 더 중요한 부분”이라고 강조했다. 버그바운티는 기업이 허용한 범위에서 외부 보안 전문가가 취약점을 찾아 신고하면 보상금을 지급하는 제도다. 유넷시스템즈는 해커원의 국내 총판으로 글로벌 화이트해커를 활용한 보안 서비스를 공급하고 있다.

AI 공격 확산되는데, 취약점 조치할 인력은 부족

유넷시스템즈가 해커원에 주목한 배경에는 AI로 달라진 공격 환경이 있다. 과거에는 해커가 여러 시스템을 분석하고 취약점을 조합하는 데 상당한 시간과 전문 인력이 필요했다. 이제는 AI 에이전트가 취약점 탐색과 공격 경로 분석 등 여러 작업을 나눠 수행하면서 공격에 필요한 시간과 비용을 줄이고 있다.

안 대표는 최근 금융권에서 잇따라 발생한 침해 사고를 두고 “금융권에서 대응하지 않았던 것은 아니다”라면서도 “AI에 어떻게 대응해야 하는지 명확한 가이드라인이 없었고, 어떻게 준비할지 고민하는 사이 공격이 예상보다 빠르게 현실화됐다”고 설명했다.

문제는 공격자가 취약점을 찾아내는 속도만큼 기업의 대응이 빨라지지 못하고 있다는 점이다. 보안 담당자는 발견한 취약점이 실제 공격 가능한 문제인지 검증하고, 위험도를 판단해 개발팀이나 외부 유지보수 업체에 수정을 요청해야 한다. 조치를 마친 뒤에는 문제가 해결됐는지도 확인해야 한다.

안 대표는 “기업 보안 담당자들은 버그바운티에 참여하고도 ‘보고서만 잔뜩 던져주고 끝이다’라는 어려움을 토로한다”고 설명했다. AI를 활용한 점검으로 취약점 발견이 늘면 이를 검증하고 조치하는 업무도 함께 증가한다는 것이다.

그는 국내 기업들이 보안 규제를 충족하는 데 집중해 온 점도 지적했다. 정기적인 모의해킹이나 개별 보안 솔루션 도입만으로는 계속 변화하는 공격 환경에 대응하기 어렵다는 판단이다.

안 대표는 “공격자는 한 군데만 뚫으면 되지만 방어자는 모든 곳을 막아야 한다”며 “유기적으로 소통하면서 AI와 사람을 함께 활용하는 방식이 필요하다”고 강조했다.

240만 화이트해커와 AI의 결합, 취약점 검증·관리 지원

해커원의 강점은 전 세계 약 240만명의 화이트해커가 참여하는 인력풀과 취약점을 체계적으로 관리하는 플랫폼 구조다 해커원은 ‘지속적 위협 노출 관리(CTEM)’ 플랫폼을 중심으로 보안 서비스를 확장하고 있다. CTEM은 기업의 시스템에서 공격자가 악용할 수 있는 취약점을 지속적으로 찾아내고, 실제 위험도를 검증해 우선순위에 따라 조치하는 관리 방식이다.

기업은 먼저 점검할 웹사이트와 서버, 애플리케이션, AI 모델 등을 지정한다. 이후 화이트해커가 취약점을 찾아 보고하면 해커원의 검증팀이 실제 공격 가능성을 확인한다. 중복 신고나 유효하지 않은 보고서를 걸러내고 취약점의 심각도에 따라 조치 우선순위도 제시한다.

장재호 유넷시스템즈 과장은 “취약점 보고서가 들어오면 실제로 재현되는 문제인지 검증하고, 고객에게 필요한 정보를 표준화된 형태로 제공한다”며 “보안 담당자가 검증된 보고서를 중심으로 대응할 수 있도록 업무 부담을 줄이는 것이 목적”이라고 설명했다.

이를 지원하는 기능이 ‘트리아지(Triage)’다. 취약점 신고가 접수되면 해커원 검증팀이 내용을 확인하고, 필요하면 신고한 해커에게 추가 정보를 요청한다. 고객사와 해커 사이에서 취약점의 유효성이나 보상금 지급을 두고 이견이 발생했을 때 조율하는 역할도 맡는다.

AI 기능도 플랫폼에 통합했다. 해커원의 AI 시스템 ‘하이(Hai)’는 취약점 보고서를 요약하고 공격 경로를 시각화한다. 보안 담당자가 자연어로 질문하면 취약점의 영향과 대응 방안을 확인할 수 있다. 깃허브(GitHub), 깃랩(GitLab) 등 개발 도구와의 연동도 지원한다.

외부 해커에게 시스템을 개방하는 데 따른 우려를 줄이기 위한 통제 장치도 갖췄다. 기업은 검증된 해커만 초청하는 비공개형 프로그램과 참여 범위를 넓히는 공개형 프로그램을 선택할 수 있다. 점검을 허용하는 시스템과 접근해서는 안 되는 영역도 사전에 지정한다.

참여자의 신원을 추가로 검증하는 ‘클리어(Clear)’와 지정된 접속 경로에서 해커의 활동을 통제하는 ‘게이트웨이(Gateway)’ 기능도 제공한다. 이를 통해 외부 전문가를 활용하면서도 기업이 점검 범위와 접근 권한을 관리할 수 있다.

국내 시장 확대, 총판 넘어 서비스 운영 지원

유넷시스템즈는 국내 기업과 금융기관, 공공기관을 대상으로 해커원 사업을 확대할 계획이다. 현재 국내에서는 버그바운티와 취약점 검증을 중심으로 사업을 진행하고 있으며, 올해를 기점으로 내년부터 CTEM 전반으로 서비스 범위를 넓힌 한다.

국내 활용 사례도 나오고 있다. LG유플러스는 최근 글로벌 버그바운티 프로그램에 해커원을 도입했으며, 게임사 크래프톤도 해당 플랫폼을 활용하고 있다.

안 대표는 “국내 기업의 인식도 점차 바뀌고 있다”며 “과거에는 외부 해커에게 시스템을 공개하는 데 따른 사고와 법적 책임을 우려하는 기업이 많았지만, 최근에는 상시 취약점 점검의 필요성을 받아들이는 분위기가 형성되고 있다”고 말했다.

유넷시스템즈는 단순한 플랫폼 판매에 그치지 않고 국내 고객과 환경에 맞춘 서비스를 지원하는 역할도 강화할 방침이다. 해커원 본사와 국내 고객 사이에서 취약점 검증 결과를 확인하고, 조치 과정에 필요한 소통과 관리를 지원하는 방식이다. 안 대표는 “단순히 라이선스 하나만 팔면 끝이 아니다”라며 “지속적인 서비스가 되려면 같이 관리해야 한다”고 말했다. 국내 판매 협력사를 확대하는 동시에 고객의 취약점 관리 과정을 지원하는 서비스 사업으로 발전시키겠다는 구상이다.

자체 솔루션 개발에도 속도, 인증서 관리 시장 공략

유넷시스템즈는 해커원 사업과 별개로 자체 솔루션 개발도 확대하고 있다. 기존 암호인증과 방화벽 정책 관리 사업을 바탕으로 신규 보안 수요에 대응하는 제품을 개발하고 있다.

대표적인 신규 사업은 웹사이트 암호화 통신에 사용하는 보안 인증서(SSL 인증서)의 통합 관리다. SSL 인증서는 웹사이트와 이용자 사이에서 주고받는 정보를 암호화해 보호하는 데 사용한다. 인증서 유효기간이 끝나기 전에 갱신하지 않으면 서비스 접속에 문제가 생길 수 있다.

웹 생태계의 보안성과 신뢰도를 높이고 침해사고나 인증서 오발급에 따른 피해를 줄이기 위해 SSL 인증서의 유효기간이 점차 짧아지고 있다. 이에 따라 여러 웹사이트와 서버를 운영하는 기업은 인증서 갱신과 관리에 더 많은 부담을 안게 됐다.

이에 유넷시스템즈는 인증서를 통합 관리하는 솔루션을 개발했다. 관리자가 인증서 만료 시점을 확인하는 데 그치지 않고, 솔루션 내에서 인증서를 구매하고 발급받아 적용하는 과정까지 처리할 수 있도록 설계했다. 디지서트(DigiCert), 글로벌사인(GlobalSign) 등 해외 인증기관과의 협력을 통해 인증서 공급 체계도 마련했다.

안 대표는 현재 솔루션 개발을 마치고 조달 등록을 추진하고 있다고 설명했다. 정식 출시 시점은 조달 등록 일정 등을 고려해 결정할 계획이다.

향후에는 AI 기능을 접목하고 관리 대상을 기업 내부 인증서까지 넓힐 예정이다. 외부 웹사이트에 사용하는 인증서뿐 아니라 기업 내부 시스템의 사설 인증서와 개발자 인증서까지 통합 관리하는 것이 목표다. 기존 공개키 기반구조(PKI) 관련 기술과 연동하는 방안도 추진한다.

신규 사업 개발을 위한 조직도 마련했다. 유넷시스템즈는 2024년 말 별도 법인 ‘코라이온’을 설립해 새로운 기술과 솔루션 개발을 추진하고 있다. 코라이온이 신규 기술 개발과 사업 발굴에 집중하고, 유넷시스템즈는 기존 고객 기반과 영업망을 활용해 사업화를 담당하는 구조다.

안 대표는 “기존 사업 외에 새로운 기술과 시장을 발굴하는 과정에서 직원들의 참여와 역량을 높이는 데도 힘쓰고 있다”며 “신규 사업 확대에 따라 관련 인력도 채용하고 있다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network