CTEM(Continuous Threat Exposure Management)

1. 사각지대 없는 능동적 방어 체계, CTEM의 개요

가. CTEM(Continuous Threat Exposure Management)의 정의

• 기업의 IT 인프라뿐만 아니라 공격 표면(Attack Surface), 디지털 자산 전반에 걸쳐 취약점과 위협 노출 상태를 지속적으로 평가, 최적화, 수정하는 5단계 사이클 기반의 보안 관리 프레임워크.

• 가트너가 제시한 개념으로, 단순 취약점 탐지(Vulnerability Management)를 넘어 공격자의 관점에서 실제 악용 가능한 위협의 우선순위를 정하고 대응하는 상시적 자가 방어 체계이다.

나. 기존 취약점 관리 방식과의 차별성 (필요성)

• 정적 진단에서 동적 관리로: 연 1~2회 수행하는 모의해킹이나 취약점 점검은 '점검 직후 발생하는 신종 위협(Day-Zero)'을 방어할 수 없음.

• 공격 표면의 급격한 확장: 클라우드(SaaS/Multi-Cloud), 원격 근무 환경, 오픈소스 라이브러리(SBM) 도입 등으로 인해 관리자가 인지하지 못하는 Shadow IT(숨겨진 자산)의 위협 노출 증가.

2. CTEM의 5대 핵심 수명주기(Lifecycle) 프로세스

CTEM은 일회성 프로젝트가 아니며, 아래의 5단계 프로세스가 끊임없이 반복(Continuous Loop)되는 아키텍처를 가진다.

가. 5대 단계별 핵심 활동 및 기술 요소

단계 (Phase)	핵심 활동 내용	주요 기술 및 기법
1. 범위 지정 (Scoping)	* 외부 공격자의 표적이 될 수 있는 비즈니스 크리티컬 자산 정의 * SaaS, 클라우드, 파트너사 연동 인프라 등 관리 범위 구체화	자산 중요도 매핑, 비즈니스 영향도 분석(BIA)
2. 발견 (Discovery)	* 범위에 지정된 자산들의 취약점, 잘못된 설정(Misconfiguration), 오픈소스 결함 등 모든 노출 요소 식별 * 가시화되지 않은 자산(Shadow IT)의 상시 발굴	ASM(공격표면관리), CAASM(사이버자산공업표면관리)
3. 우선순위 지정 (Prioritization)	* 발견된 수많은 취약점 중 **실제 공격에 악용될 가능성(Exploitability)**과 자산 중요도를 결합하여 시급성 정렬	VPR(취약점우선순위점수), EPSS(악용확률점수시스템)
4. 검증 (Validation)	* 공격자의 시나리오를 시뮬레이션하여, 해당 취약점이 실제로 뚫리는지 및 기존 방어 솔루션이 탐지하는지 검증	BAS(공격시뮬레이션), 자동화된 모의해킹(Pen-Testing)
5. 동원 (Mobilization)	* 검증된 위협에 대해 IT 및 보안 팀이 즉각적인 패치, 설정 변경, 가상 패치(WAF 룰 적용 등)를 실행하도록 연계	SOAR(보안오케스트레이션 자동화), ITSM 연동 티켓팅

3. CTEM 구현을 위한 핵심 보안 솔루션 스택(Stack) 비교

CTEM을 성공적으로 안착시키기 위해서는 상호 보완적인 최신 보안 아키텍처 컴포넌트들의 융합이 필수적이다.

분류 항목	ASM (Attack Surface Management)	BAS (Breach & Attack Simulation)	SOAR (Security Orchestration, Automation and Response)
CTEM 내 역할	2단계: 발견 (Discovery)	4단계: 검증 (Validation)	5단계: 동원 (Mobilization)
핵심 기능	외부 인터넷 망에 노출된 기업의 모든 자산(IP, 도메인, 인증서)을 공격자 시선에서 상시 탐색	가상의 맬웨어, 랜섬웨어, APT 공격 시나리오를 시스템 내에서 안전하게 자동 수행하여 방어력 테스트	식별 및 검증된 위협에 대해 미리 정의된 플레이북(Playbook)에 따라 사람의 개입 없이 자동 차단/패치
기대 효과	관리 사각지대(Shadow IT) 제거	취약점의 실제 침투 가능성 정량화	위협 대응 지연 시간(MTTR)의 획기적 단축

4. 기술사적 제언: CTEM 도입 시 구축 전략 및 거버넌스 방향

가. 기술 중심에서 비즈니스 리스크 중심으로의 전환 (우선순위 최적화)

• 수만 건의 취약점 경고(Alert Fatigue)에 모두 대응하는 것은 현실적으로 불가능함.

• 따라서 침투 경로 파악 기술을 통해 "이 취약점이 핵심 데이터베이스(DB)로 이어지는 징검다리 역할을 하는가?"를 판별하는 리스크 기반 취약점 관리(RBVM) 체계를 확립하여 보안 리소스의 효율성을 극대화해야 함.

나. 사일로(Silo) 극복을 위한 부서 간 공동 책임 거버넌스 정립

• CTEM의 마지막 단계인 '동원(Mobilization)'이 실패하는 가장 큰 이유는 보안 팀이 발견한 위협을 인프라/운영 팀이 패치하지 않기 때문임 (업무 연속성 저해 우려 등).

• 이를 극복하기 위해 최고정보보호책임자(CISO)와 최고정보책임자(CIO) 직속의 통합 취약점 대응 협의체를 구성하고, 패치 이행률을 기업의 핵심 보안 지표(KPI)로 관리하는 문화적·조직적 DevOps(DevSecOps) 거버넌스 융합이 병행되어야 함.