보안 솔루션의 역할과 운영 통제 - 보안 특강 캡처

보안 특강 슬라이드 캡처 80장에서 엔드포인트, 데이터·개인정보, 네트워크·무선, 클라우드·통합 보안, 시스템·계정 보안의 솔루션 설명을 재사용할 구분 위주로 정리한 Source다. 솔루션 목록 전체는 입문과정 교안의 보안 도구 절이 이미 관찰·통제·대응으로 묶어 두었으므로, 이 노트는 슬라이드에만 있는 세부와 그 설명이 어디까지 보장하는지를 다룬다.

각 절의 본문은 슬라이드가 말한 내용이고, 정정과 조건은 공식 원천으로 한정하거나 고친 부분, 해석은 요약 작성자의 정리다. 제품 비교나 법률·인증·준수 판단이 아니며, 특정 제품의 기능이나 버전별 지원은 확인하지 않았다.

출처와 확인 범위

  • 캡처 위치: C:/Users/aica_/Desktop/보안/. 파일명은 화면 캡처 2026-11-11 HHMMSS.png 형식이며, 이 노트의 괄호 속 여섯 자리 숫자는 그 HHMMSS다.
  • 파일 수: 이 형식의 파일은 81개이고 캡처 시각은 140100–164437이다. 그중 160330은 0바이트라 내용이 없으며, 무엇이 찍혔는지 추정하지 않고 파일도 그대로 둔다. 나머지 80장을 아래 대응표로 모두 배정했다.
  • 작성자·강사·강의일·자료 판: 확인하지 못했다. 대부분의 슬라이드 하단에 ESTsecurity 로고가 있고 알약·ALYac 같은 제품이 예시로 나오지만(140953, 153119), 로고와 예시 화면은 제작·강의 주체를 입증하지 않는다. 파일명의 2026-11-11은 캡처 시점의 이름표다.
  • 열람 범위: 2026-11-11 이 노트의 작성 작업에서 80장 전체를 열람했다. 음성 설명은 없고 슬라이드의 글과 그림만 확인했다.
  • 읽지 못한 부분: 143922는 작게 캡처되어 세부 문장을 확정할 수 없고, 154550 하단의 출처 표기는 판독하지 못했다. 일부 비교표의 작은 글씨도 판독이 불확실하다. 통합 보안 단원은 슬라이드 쪽 번호 5–7이 캡처에 없다. 이 부분은 다른 슬라이드로 재구성하지 않았다.

캡처 대응표

  • 엔드포인트·백신·EDR·PC 점검·패치 관리(17장): 140100, 140510, 140720, 140953, 141250, 141435, 141622, 141910, 142027, 142239, 142428, 142654, 142914, 143057, 143407, 143629, 143922
  • 데이터·DRM·DLP·개인정보(8장): 144042, 144347, 144734, 144742, 144855, 145026, 145126, 145214 / 보안 USB·출력물 보안(5장): 150044, 150232, 150416, 150514, 150525
  • 네트워크 기초와 통제(17장): 151042, 151424, 151715, 151916, 152154, 152438, 152512, 152716, 153119, 153234, 153518, 153743, 154104, 154213, 154439, 154447, 154550 / 무선·모바일·MDM(내용이 있는 7장): 160204, 160334, 160458, 160633, 160756, 160945, 161021
  • 클라우드·통합 보안(14장): 161242, 161402, 161555, 161735, 161933, 162046, 162206, 162338, 162434, 162612, 162710, 163301, 163325, 163357
  • 인증·시스템 보안(12장): FIDO 150618, 150752 / 시스템 보안 163537, 163613, 163720, 163821, 163924, 163955, 164053, 164246, 164355, 164437

내 말로 요약

엔드포인트: 탐지와 패치는 확인 단계까지 이어진다

강의는 엔드포인트 보안을 PC·스마트폰 같은 단말을 공격에서 보호하는 과정으로 정의하고, 관리 대상 OS·기기의 확대, 솔루션이 많아질수록 늘어나는 중복 업무, 패치 누락·정책 미적용의 실시간 확인, 악성코드 방지, 암호화, 애플리케이션 통제를 중요한 이유로 든다(140100, 140510). 백신은 센서가 의심 활동을 감시하고 엔진이 악성 여부를 판단해 제거·격리하는 구조로, 사전 DB 대조와 의심 동작 확인을 함께 쓰며 후자는 오진 가능성이 높다고 설명한다(140953, 141250). EDR은 단말을 실시간 감시해 행위 기반으로 예측·탐지·방어·대응하고, IoC 조회와 파일 평판으로 의심 파일을 조사하며 위협 흐름을 시각화한다(141622, 141910).

PC 점검 도구는 점검 → 취약점 검출 → 조치 → 강화로 진행하며, 조치 단계에서 수동·강제 조치를 하고 점수에 미달하면 네트워크 차단 같은 조치를 유도한다고 소개된다(142239, 142654). 패치 관리 시스템(PMS)은 패치를 배포·관리하는 솔루션으로, 중요·긴급 패치의 우선 적용과 배포 전 호환성 확인을 강조한다(143057). 주요 기능은 사용자·부서별 정책, 서버에서 단말로의 배포, 롤백·이미지 백업 파일 생성 기능, 미수행 사용자 확인, 설치 현황 모니터링과 감사 보고이며(143407), 도입 때는 내부 환경, 사전 검증, 중앙 관리, 에이전트 자동 설치 수준, 네트워크 부하, 기술 지원을 따진다(143629).

정정과 조건

  • 백신과 EDR. 두 범주가 탐지 방식으로 깔끔하게 나뉘지 않는다는 점은 입문과정 교안 정정에 근거와 함께 있다. 이 슬라이드도 백신에 의심 동작 확인을 포함하므로 같은 조건으로 읽는다.
  • 패치 관리의 범위. NIST SP 800-40 Rev. 4(2022)는 패치 관리를 패치의 식별·우선순위 결정·확보·설치와 설치 확인(verifying the installation)으로 정의한다. 배포 명령이나 전송 로그는 설치가 확인되었다는 뜻이 아니다.
  • 롤백. 143407은 롤백과 이미지 백업 파일을 만드는 기능이 있다고 말할 뿐, 문제가 생기면 자동으로 되돌린다고 말하지 않는다. 특정 제품·버전의 지원 여부는 확인하지 않았다.

해석: 엔드포인트 단원은 탐지한 사실, 조치를 실행한 사실, 그 결과가 확인된 상태를 다른 단계로 읽을 때 유용하다.

데이터와 개인정보: 통제는 정책이 정한 범위에서만 작동한다

강의는 DRM을 문서를 암호화하고 특정 부서·사용자에게만 복호화 권한을 주는 솔루션으로 설명하며, 권한이 문서가 소멸할 때까지 유지되고 외부로 유출되어도 문서가 계속 보호된다고 적는다(144042). DLP는 데이터 유출과 비인가 사용을 막는 솔루션으로, 한 슬라이드는 “PC와 연결하여 외부로 유출할 수 있는 모든 매체 차단”이라고 쓰면서 같은 쪽에서 네트워크 DLP는 외부망·핫스팟 사용 시, 엔드포인트 DLP는 에이전트를 설치할 수 없는 단말에서 보호하지 못한다고 밝힌다(144347). DLP 기능은 민감 데이터 식별·분류, 열람·저장·전송 감시, 정책 적용, 위반 시 차단과 로그 기록이다(144734). DRM은 콘텐츠의 무단 사용·복제 방지를, DLP는 데이터 흐름 감시를 통한 유출 방지를 목적으로 한다는 비교표가 이어진다(144742).

개인정보 유출 방지 솔루션 단원은 민감정보 예로 의료기록·병력·계좌번호·주민번호·지문을 들고(144855), 기업이 개인정보를 보호할 이유로 개인정보 보호법 제29조(안전조치의무)·제30조(처리방침 공개)·제34조(유출 통지 등)를 든다(145026). 기능은 암호화, 마스킹(전화번호 일부를 *로 가린 예를 익명화로, 이름을 익명1로 바꾼 예를 가명화로 제시), DLP, 접근·사용 기록 추적이다(145126, 145214). 사고가 나면 인지·분석 → 격리·차단 → 관계 당국 신고 → 피해 최소화·재발 방지 → 법적 조치·규제 대응 → 이해관계자 소통의 순서로 대응한다고 제시한다(145214).

보안 USB와 출력물 보안은 이동식 저장장치의 유출·악성코드 감염 위험과 출력 문서의 유출을 다룬다(150044–150525). 출력물 보안은 출력 권한 확인, 워터마크로 출력자 표시, 출력 사본 전송과 반출 승인, 출력 이력 기록을 흐름으로 보여 준다(150416, 150525).

정정과 조건

  • “모든 매체”와 “계속 보호”. 같은 슬라이드가 밝힌 NDLP·EDLP의 공백처럼, 통제는 지원 범위와 정책 조건 안에서 작동한다. 예로 Microsoft 문서는 Azure Rights Management가 기술만으로 정보 공유를 언제나 막을 수는 없다고 하고, Purview DLP는 정책 조건이 맞을 때 지원되는 위치·동작·구성에서 조치하며, 시뮬레이션 모드에서는 실제 차단을 하지 않는다고 설명한다. 한 제품군의 예시이며 ESTsecurity 제품이나 강의 속 솔루션을 확인한 결과가 아니다. 보안 USB·출력물 보안도 특정 제품의 차단 보장은 확인하지 않았다.
  • 마스킹과 익명·가명. 화면 표시를 일부 가린 예(145126)는 익명처리를 입증하지 않는다. 현행 개인정보 보호법(시행 2026-09-11, 법률 제21445호) 제2조는 가명정보를 추가 정보 없이는 특정 개인을 알아볼 수 없게 처리한 정보로 정한다. 제58조의2가 법 적용에서 제외하는 정보는 “시간ㆍ비용ㆍ기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보”이므로, 익명 여부는 다른 정보와의 결합 가능성까지 따져 판단한다. 제28조의5는 제28조의2·제28조의3에 따라 가명정보를 처리하는 경우 특정 개인을 알아보기 위한 처리를 금지하고, 처리 중 특정 개인을 알아볼 수 있는 정보가 생성되면 해당 정보의 처리를 중지하고 해당 정보를 회수·파기하게 한다.
  • 법이 정한 의무의 구분. 145026의 세 조문은 서로 다른 의무다. 제29조는 안전성 확보 조치, 제30조는 처리방침의 수립·공개, 제34조는 유출 대응을 정한다. 제34조는 유출을 알았을 때의 정보주체 통지(제1항), 대통령령이 정한 위험·유형 조건에 해당하는 유출 가능성의 통지(제2항), 피해 최소화 조치(제3항), 대통령령이 정한 유형·경로·규모 기준에 따른 기관 신고(제4항)를 두고, 시기·방법·절차는 대통령령에 맡긴다(제5항). 145214의 여섯 단계는 조직 내부 대응의 예시이며 법이 정한 순서가 아니다. 통지·신고의 기한과 예외는 적용 시점의 법령·시행령에서 확인한다.
  • 민감정보라는 말. 144855의 이 혼합 예시 목록을 법상 민감정보의 분류표로 읽지 않는다. 법은 제23조 민감정보, 제24조 고유식별정보, 제24조의2 주민등록번호를 따로 다루므로, 예컨대 주민번호의 처리 제한은 제23조가 아니라 제24조의2 등에서 찾는다. 슬라이드의 나머지 예시를 법상 범주로 분류하지는 않았다.

해석: 데이터 보호 솔루션의 설명은 “무엇을 막는가”보다 “어떤 정책 조건과 지원 위치에서 무엇을 기록·차단하는가”로 읽어야 실제 범위가 드러난다. 법상 판단은 솔루션 기능과 별개다.

네트워크와 무선: 변환·필터링·탐지·차단·점검은 서로 다른 기능이다

네트워크 기초는 노드·링크·프로토콜, IP·MAC 주소, 공인·사설 IP, TCP·UDP, 포트, 스위치·라우터·DNS를 정리한다(151042–152716). 방화벽은 내부·외부망 사이의 트래픽을 감시하고 정해진 규칙으로 IP·포트·애플리케이션 접근을 허용·차단하며, 주요 기능으로 NAT(“내부 IP 주소를 외부에 숨기는 역할”), VPN, 패킷 검사를 통한 악성코드 탐지, 침입 탐지·대응을 함께 든다(153119, 153234). IDS는 공격 시도를 탐지해 경고하고 미러링으로 연결되며, IPS는 트래픽 경로에 위치해 자동 차단하고, UTM은 여러 기능을 한 장비에 모아 관리 편의와 성능·장애 위험을 함께 가진다(153518, 154439). NAC는 단말 프로파일링·인증, 백신·업데이트·방화벽 설정 같은 보안 점검, 정책에 따른 접근 허용·차단, 모니터링을 수행한다(153743). VPN은 터널링·인증·암호화로 공용망 통신을 보호하며(154104), 정리표는 VPN이 트래픽 속 악성코드를 탐지·차단하기 어렵다는 한계를 적는다(154447). 망분리는 물리적·논리적 방식으로 나뉜다(154213).

무선 단원은 무선망의 유형(160204)과 도청·불법 AP·비인가 접근·펌웨어 취약점 같은 위협(160334)을 소개한 뒤, 강력한 보안 프로토콜(WPA2·WPA3)과 함께 SSID 숨김과 MAC 주소 필터링을 권하고, AP 관리자 인증·원격 관리 비활성화·신호 세기 조정 같은 관리를 든다(160458). WIPS는 비인가 AP와 단말을 탐지해 차단하고(160633), MDM은 단말 등록·원격 설정, 카메라 비활성화, 지오펜싱으로 특정 지역에서의 사용 허용·차단, 업무 앱 원격 관리를 한다고 설명한다(160945). 모바일 보안과 모바일 백신도 다룬다(160756, 161021).

정정과 조건

  • NAT는 필터링이 아니다. NIST 용어집은 NAT를 주소를 다른 주소로 대응시키는 기능으로 정의한다. 내부 주소가 바깥에 드러나지 않는 것은 그 결과일 뿐, 트래픽을 허용·차단하는 방화벽 규칙을 대신하지 않는다.
  • 탐지와 차단. NIST 용어집은 IDS를 탐지 중심으로, IPS를 탐지하고 막으려고 시도하는(attempt to stop) 시스템으로 설명한다. 실제로 차단되는지는 배치 방식과 정책 설정이 정한다.
  • VPN 접속은 신뢰가 아니다. NIST SP 800-207(2020)은 네트워크 위치만으로 암묵적 신뢰를 주지 않는다는 원칙을 둔다. VPN은 통신 구간을 보호하지만, 접속했다는 사실이 단말과 사용자를 일괄 신뢰할 근거가 되지는 않는다.
  • NAC의 단계. 슬라이드의 장치 확인, 보안 상태 점검, 접근 허용·차단, 모니터링은 서로 다른 단계의 예시로 읽는다. 모든 NAC가 이를 모두 제공한다는 근거는 확인하지 않았다.
  • SSID 숨김과 MAC 필터링. 이 둘은 강한 인증과 같은 수준의 통제가 아니다. 미국 IRS의 연방 납세정보(FTI) 무선망 지침은 MAC 주소 ACL 필터링만으로는 강한 통제가 아니라고 한다. FTI를 다루는 맥락의 기관 지침이며, 이 노트의 일반 정책으로 넓히지 않는다.
  • WIPS·MDM의 동작. 탐지·차단·지오펜싱이 실제로 가능한지는 제품, 단말 플랫폼, 등록 방식과 설정에 따라 다르다. 슬라이드의 기능 목록을 보편적인 차단 보장으로 읽지 않는다.

해석: 이 단원의 솔루션은 같은 “보안 장비”로 묶이지만 주소 변환, 규칙 필터링, 탐지·경고, 차단 시도, 접속 전 상태 점검, 통신 구간 보호로 맡은 일이 다르다. 한 기능의 성공을 다른 기능의 보장으로 넓히지 않는다.

클라우드와 통합 보안: 책임 분담과 자동 대응의 권한을 따로 본다

강의는 IaaS·PaaS·SaaS를 나누면서 SaaS에서는 서비스 운영 환경의 보안과 재해복구(DR)도 공급업체가 제공한다고 적고(161402), 퍼블릭·프라이빗·하이브리드·멀티 클라우드(161735)와 보안 설정 미흡·무단 접속·내부자 위협·물리적 장애 같은 이슈(161933)를 정리한다. 이어 클라우드 설정 오류를 점검하는 CSPM, VM·컨테이너 같은 워크로드를 감시·보호하는 CWPP, 사용자와 SaaS 사이에서 사용 현황을 보고 유출을 막는 CASB를 설명하고 목적·구축 방식·기능·한계의 비교표로 정리한다(162046, 162206, 162338, 162434).

통합 보안은 개별 솔루션을 연계해 중앙에서 관리하는 전략으로 정의되며, 가시성·빠른 대응·운영 간소화·반복 업무 감소를 기대 효과로 든다(162612, 162710). SOAR는 보안 장비의 알림을 모아 플레이북 기반으로 자동 대응하는, SIEM보다 대응 쪽으로 확장된 개념으로 소개된다(163301). 비교표는 NGFW·EDR·NDR(163325)과 XDR·SIEM·SOAR(163357)의 목적·구축 방식·기능·한계를 나란히 놓는다. SIEM의 한계로 과도한 경고를, SOAR의 한계로 플레이북 설계의 어려움과 잘못된 자동화의 위험을 적는다(163357).

정정과 조건

  • SaaS의 보안·DR. 공급자가 무엇을 맡는지는 서비스 모델과 계약에 따라 다르며 일괄 이전되지 않는다. Microsoft의 공동 책임 문서는 “For all cloud deployment types, you own your data and identities”라고 하고, AWS의 복원력 공동 책임 문서는 고객의 책임이 사용하는 서비스에 따라 달라지며 고객이 자기 데이터의 백업·버전 관리·복제를 맡는다고 설명한다.
  • CSPM·CWPP·CASB의 경계. 비교표의 구분은 역할을 설명하는 틀이지 배타적인 제품 분류가 아니다. 예로 Microsoft Defender for Cloud는 CSPM과 CWPP를 한 서비스에 묶고, Defender for Cloud Apps는 CASB와 SSPM을 함께 제공하며 XDR과 연동한다. 실제 기능 범위는 공급자와 요금제마다 다르다.
  • 수집·연관, 자동 실행, 결과. Microsoft의 SIEM·XDR 개요처럼 수집·연관 분석과 대응은 별도 기능이고, Sentinel 플레이북은 플레이북 종류와 작업에 따라 필요한 권한이 다르며 실행 기록을 남긴다. 자동 대응이 실행되었다는 사실과 그 조치가 승인된 권한 안에서 의도한 결과를 냈는지는 따로 확인한다. 공급자 문서는 예시이며 보편적인 기능 목록이 아니다.

해석: 클라우드에서는 “누가 그 계층을 책임지는가”를, 통합 보안에서는 “누구의 권한으로 무엇을 자동 실행했고 결과가 확인되었는가”를 각각 물어야 솔루션 비교표가 실제 운영 판단으로 이어진다.

인증과 시스템 보안: 식별·인증·인가·기록을 나눈다

FIDO 단원은 비밀번호 없이 생체 인식 등으로 인증하는 기술로 FIDO를 소개하고, 지문·얼굴·홍채와 PIN 같은 수단, 간편 결제·스마트폰 생체 인식(키 쌍을 만들어 공개키를 서버에 등록)·로그인 활용을 든다(150618). 장점으로 비밀번호 관리 부담 감소와 개인 키의 기기 저장을, 단점으로 기기 의존성과 분실 시 사용 제한, 생체 정보 노출 시 침해 가능성을 적는다(150752).

시스템 보안은 계정·세션·접근 제어·권한·로그·취약점 관리로 구성된다(163537, 163613). 관리자 계정뿐 아니라 일반 사용자 계정도 시스템의 상당 부분 권한을 가지므로 제한해야 하고(163720), 접근 제어는 식별 → 인증 → 인가의 절차를 따른다(163924). 권한 관리는 최소 권한, 관리자별 권한 세분화, 권한 신청·승인, 역할 기반 접근 제어, 로그 점검을 통한 미사용 계정 삭제, IAM·PAM 기반 환경을 다룬다(163955). IAM은 SSO·다중 인증, 역할에 따른 일괄 권한 부여, 일정 기간만 주는 임시 권한, 통합 저장소와 통합 로그를 특징으로 든다(164053). 로그 관리는 수집·보관·분석과 이상 징후 대응을 다루며 AAA(인증·인가·활동 추적)를 핵심 원칙으로 정리하고(164246), 취약점 관리는 자산 식별 → 탐지 → 위험 평가 → 대응 → 보고·추적 관리로 돈다(164355). 마지막으로 원격·파견·자체·클라우드 관제 유형을 비교한다(164437).

정정과 조건

  • FIDO와 패스키. FIDO Alliance에 따르면 패스키는 공개키·개인키 쌍을 쓰고, 서비스(RP)가 요구하면 기기에서 생체 인식이나 PIN으로 사용자를 확인한다. 생체 정보는 기기에 남고, 계정 복구는 동기화와 서비스 방식에 따라 다르다. 그러므로 모든 FIDO 인증이 생체 인식을 쓰는 것은 아니며, FIDO 인증 성공이 실명이나 법적 신원을 입증하지도 않는다. NIST SP 800-63B-4(2025)는 계정 복구를 인증과 별도 절차로 다루므로, 기기 분실은 복구 절차의 문제로 따로 본다.
  • AAA의 세 기능. RADIUS의 RFC 2865는 인증·인가를, RFC 2866은 과금·활동 기록(accounting)을 별도 문서로 정한다(2000년 6월). 접근을 허용한 판정과 그 뒤의 활동 기록은 다른 기능이다.
  • 최소 권한과 IAM·PAM. NIST 용어집은 최소 권한을 임무 수행에 필요한 최소한의 자원과 권한만 주는 원칙으로 정의한다. SSO·MFA·임시 권한(JIT)은 IAM·PAM 구현에 쓸 수 있는 선택지이며, 모든 조직에 요구되는 단일 구성은 아니다.
  • 세션·쿠키와 로그 보존. 163821의 세션·쿠키 보안 비교와 164246의 로그 보관은 입문과정 교안의 OWASP Session Management·Logging 정정과 같은 조건으로 읽는다. 163821이 세션 하이재킹 대책으로 든 암호화도, 암호화만으로 무결성이 보장되지 않는다는 같은 노트의 정정을 함께 적용한다.

해석: 이 단원의 요점은 누구인지 확인하는 일, 무엇을 허용하는 일, 무엇을 했는지 남기는 일, 잃어버린 수단을 되찾는 일을 서로 다른 통제로 설계한다는 것이다.

해석과 적용 경계

  • 다섯 단원을 함께 읽으면, 솔루션 이름이 같아도 실제 통제는 정책 조건, 배치 위치, 실행 권한, 결과 확인 단계에 따라 달라진다. 이 정리는 요약 작성자의 해석이며 강의가 하나의 틀로 제시하지는 않았다. 판정 경계를 비교하는 관점은 보장 수준과 판정 경계와 이어진다.
  • 슬라이드 요약의 충실도와 인용한 외부 원천의 현재 유효성은 따로 판단한다(원문 충실도와 현재 유효성은 별도로 판단한다). 법령은 2026-11-11 확인 시점의 현행 조문이며, 시행령 세부와 이후 개정은 적용할 때 다시 확인한다.
  • 옮기지 않은 내용: 포트 번호표(163924), 제품·회사 이름 목록(140953), 망분리 의무화와 규제 완화 계획(154213, 적용 부문과 현행 근거가 불명확함), 관제 유형의 시장 비중(164437), 쿠키 용량 같은 수치, 민감정보 예시의 법상 분류, 보안 USB·출력물 보안의 제품별 보장, 사이버 보안 진단의 날(142239).

확인할 점

  • 강사·강의일·원 자료와 ESTsecurity의 관여 여부, 통합 보안 단원 5–7쪽의 내용을 확인한다.
  • 143922와 154550의 작은 글씨, 비교표의 판독 불확실 부분을 원본 해상도로 확인한다.
  • 144855의 개별 예시가 제23조·제24조·제24조의2 중 어디에 해당하는지와, 적용 시점 시행령의 유출 통지·신고 기준을 확인한다.
  • 음성 설명이 있는 원 강의를 확보하면 슬라이드만으로 정리한 부분을 대조한다.

연결

백링크

그래프 뷰