망간 자료 전송 보안 —
전송 승인과 파일 내용 검증을 분리하는 설계

망분리 환경에서 파일이 경계를 넘는 길은 대개 하나로 정해져 있다. 망연계 시스템이다. 이 시스템은 누가, 언제, 어떤 파일을, 누구의 승인으로 옮겼는지를 엄격하게 통제한다. 그러나 그 파일 안에 무엇이 들어 있는지는 별도의 통제가 판단해야 한다. 이 글은 망간 자료 전송 보안을 '전송 통제'와 '내용 검증'이라는 두 층으로 나누어 본다. 경계 구간에서만 생기는 위험 네 가지, 검증 방식별로 할 수 있는 것과 할 수 없는 것, N2SF 전환 이후 바뀌는 지점, 그리고 무해화할 수 없는 파일을 처리하는 예외 설계까지 공개 자료와 기술 일반론을 근거로 정리한다.

망분리는 네트워크를 물리적 또는 논리적으로 나누어, 한쪽 망의 위협이 다른 쪽으로 직접 넘어오지 못하게 하는 설계다. 하지만 업무는 망을 가리지 않는다. 인터넷 망에서 받은 공문 첨부파일을 업무망에서 편집해야 하고, 업무망에서 만든 보고서를 외부 기관에 보내야 한다. 그래서 망분리 환경에는 반드시 통제된 통로가 생긴다. 그 통로가 망연계(망간 자료 전송) 시스템이다.

망연계 시스템이 기본적으로 책임지는 일은 다음과 같다. 전송을 요청한 사용자를 인증하고, 결재선이 있으면 승인을 받고, 허용된 방향과 허용된 확장자만 통과시키고, 전송 이력을 남긴다. 이 기능들은 모두 "이 파일이 이 경로로 옮겨져도 되는가"를 묻는다. 반면 "이 파일을 여는 순간 무엇이 실행될 수 있는가"는 다른 질문이다. 앞의 질문에 '예'라고 답한 파일이 뒤의 질문에서도 안전하다는 보장은 없다.

이 구분이 흐려지면 운영 현장에서 미묘한 착각이 생긴다. 결재권자가 승인했으니 안전하다고 여기거나, 확장자 화이트리스트를 통과했으니 문서 파일일 뿐이라고 여기는 것이다. 결재권자는 파일명과 전송 사유를 보고 승인한다. 문서 내부의 OLE 객체나 매크로 프로젝트를 보고 승인하지 않는다. 확장자 정책은 파일 이름의 마지막 몇 글자를 본다. 파일 내부 구조를 보지 않는다.

망간 자료 전송 보안은 이 두 층이 함께 설계될 때 성립한다. 어느 한쪽이 다른 쪽을 대신하지 못한다. 이 글은 두 번째 층, 즉 경계를 넘는 파일의 내용을 다룬다.

위협 모델을 세우려면 파일의 실제 이동 경로부터 그려야 한다. 망분리 환경에서 외부 문서가 업무망에 도달하는 흐름은 보통 여러 단계를 거친다. 출발점은 인터넷 망이고, 이메일 첨부파일은 그 대표적인 유입 경로 중 하나다. MITRE ATT&CK은 첨부파일을 이용한 스피어피싱을 초기 침투 기법으로 분류하고^[7], 이런 공격이 결국 사용자가 파일을 여는 순간에 성립한다는 점을 별도 기법으로 정리한다^[8]. 망분리 환경에서는 이 파일이 인터넷 망 쪽에서 먼저 수신되고, 업무에 필요하면 망연계를 거쳐 업무망으로 들어온다. 즉 이메일 위협과 망간 전송 위협은 같은 파일의 앞뒤 구간일 수 있다. 아래 흐름은 이 과정을 네 단계로 나눈 것이다.

반대 방향도 있다. 업무망에서 인터넷 망으로 나가는 파일은 주로 정보 유출 관점에서 통제되지만, 내용 검증 관점에서도 의미가 있다. 업무망 단말이 이미 감염되어 있다면, 바깥으로 나가는 문서가 외부 협력사로 감염을 옮기는 매개가 될 수 있다. 다만 이 글은 업무망으로 들어오는 방향을 중심으로 서술한다.

망간 자료 전송 보안에서 가장 덜 논의되는 위험은 파일의 출처 정보가 경계를 넘으며 사라질 수 있다는 점이다. Windows 환경에서는 브라우저나 메일 클라이언트처럼 첨부파일 관리 기능을 지원하는 프로그램이 인터넷에서 받은 파일에 '웹 출처 표시(Mark of the Web, MOTW)'를 붙인다. NTFS 파일 시스템에서는 이 정보가 Zone.Identifier라는 대체 데이터 스트림에 기록된다.

이 표시는 여러 보호 기능의 판단 근거가 된다. Office는 인터넷에서 온 것으로 표시된 파일의 VBA 매크로를 기본 차단하도록 동작이 바뀌었다^[5]. 출처 표시가 있는 문서는 보호된 보기에서 먼저 열리는 등, 운영체제와 응용 프로그램이 한 단계 더 신중하게 다룬다. 공격자들이 이 표시를 피하는 기법을 별도로 개발해 온 것도 이 때문이다. MITRE ATT&CK은 이를 'Mark-of-the-Web Bypass' 기법으로 분류한다^[6].

문제는 망간 전송이 이 표시를 유지한다는 보장이 없다는 점이다. 파일이 망연계 서버를 거쳐 업무망 PC에 새로 기록될 때, 출처 표시가 붙는지는 망연계 클라이언트의 저장 방식에 달려 있다. 클라이언트가 출처 표시를 다시 붙이도록 구현되어 있다면 Office의 인터넷 매크로 차단이 그대로 동작한다. 그렇지 않다면 업무망 PC는 이 파일을 '로컬에서 생성된 파일'처럼 취급할 수 있다. 이 경우 매크로 동작은 인터넷 매크로 차단이 아니라 조직의 일반 매크로 정책(예: 알림 표시 후 사용자 선택)에 따른다.

정확한 동작은 Office 버전, 업데이트 채널, 중앙 정책 배포 도구로 내려간 설정에 따라 달라진다. 그래서 이 표는 결론이 아니라 점검해야 할 질문 목록이다. 운영 담당자가 확인할 것은 하나다. 망연계로 받은 문서를 업무망 PC에서 열었을 때, 인터넷에서 직접 받은 문서와 같은 수준의 보호가 동작하는가. 이 질문에 대한 답을 실제 테스트로 확인한 조직은 경계 구간에서 무엇을 보완해야 하는지 정확히 안다.

망연계에는 용량 제한과 파일 개수 제한이 있는 경우가 많다. 사용자는 이 제한을 맞추려고 여러 파일을 하나의 압축 파일로 묶는다. 업무상 자연스러운 행동이지만, 내용 검증 관점에서는 검사 대상이 한 겹 더 깊어진다는 뜻이다.

압축 파일 안에 문서가 있고, 그 문서 안에 OLE 객체로 또 다른 문서가 들어 있고, 그 객체 안에 다시 실행 가능한 스크립트가 있는 구조를 생각해 보자. 검증 장치가 몇 겹까지 풀어 보는지, 각 겹에서 형식을 다시 식별하는지에 따라 결과가 달라진다. 공격자는 이 구조를 의도적으로 쓴다. MITRE ATT&CK은 파일을 난독화하거나 인코딩·암호화해 분석을 어렵게 만드는 행위를 'Obfuscated Files or Information' 기법으로 정리한다^[11].

암호가 걸린 압축 파일은 더 어렵다. 암호를 모르는 상태에서는 어떤 검증 방식도 내부 내용을 볼 수 없다. 스피어피싱 메일이 본문에 암호를 함께 적어 보내는 수법은 바로 이 지점을 노린다. 망연계 운영자가 선택할 수 있는 길은 대체로 세 가지다.

• 전면 차단 — 암호 파일은 망간 전송 대상에서 제외한다. 보안상 명확하지만, 실제로 암호 파일을 주고받아야 하는 업무가 있다면 우회 경로를 만든다.
• 암호 입력 후 검증 — 전송 요청 시 사용자가 암호를 입력하고, 검증 장치가 해제 후 내용을 검사한다. 업무 흐름은 유지되지만 암호 처리와 보관에 대한 별도 정책이 필요하다.
• 격리 후 별도 승인 — 검증 불가 파일을 격리하고, 보안 담당자 확인 후 예외 전송한다. 처리 지연과 담당자 부하를 감수한다.

어느 길이 옳은지는 조직의 업무 특성에 달려 있다. 중요한 것은 "검증할 수 없는 파일을 어떻게 할지"가 정책으로 명시되어 있는가다. 명시되어 있지 않으면 검증 장치의 기본 동작, 즉 제품이 출고될 때의 설정이 사실상 조직의 정책이 된다. 이 문제는 10장 예외 처리 설계에서 다시 다룬다.

망연계 정책의 기본 도구는 확장자 화이트리스트다. 문서·이미지·압축 형식만 허용하고 실행 파일을 막는 방식이다. 이 정책은 실수로 실행 파일을 옮기는 일을 막는 데는 효과적이다. 그러나 확장자는 파일 이름의 일부일 뿐이며, 파일의 실제 형식과 일치한다는 보장이 없다. MITRE ATT&CK은 파일 확장자와 실제 형식을 어긋나게 만들어 통제를 피하는 행위를 'Masquerade File Type'으로 분류한다^[10].

형식 위장은 몇 가지 층위로 나타난다.

마지막 층위가 가장 중요하다. 정상 문서 형식 안에 들어 있는 능동 요소는 위장이 아니다. 매크로, OLE 객체, 동적 데이터 교환(DDE) 필드, 외부 템플릿 참조는 모두 문서 형식 규격이 허용하는 정상 기능이다. 공격자는 이 정상 기능을 악용한다. 따라서 확장자뿐 아니라 실형식 식별까지 통과한 파일도 여전히 위험할 수 있다.

대표적인 예가 수식 편집기 취약점(CVE-2017-11882)이다. 이 취약점은 문서에 삽입된 수식 OLE 객체를 처리하는 구성요소의 메모리 손상 문제로, 매크로 없이 문서를 여는 것만으로 코드 실행이 가능했다^[9]. 매크로 정책만으로는 이런 유형을 막을 수 없다. 또 다른 예인 CVE-2022-30190은 문서가 외부 리소스를 참조하는 경로를 통해 진단 도구 프로토콜 처리기를 호출하는 방식이었다^[12]. 두 사례 모두 "문서 형식이 맞는가"로는 판단할 수 없다.

업무망은 외부 인터넷과 단절되어 있다. 이 사실은 망간 전송된 파일의 위험을 낮추기도 하고, 높이기도 한다. 두 방향을 모두 보아야 균형 잡힌 판단이 가능하다.

위험을 낮추는 면부터 보자. 문서 기반 공격 중 상당수는 첫 단계에서 외부 서버로부터 다음 단계 페이로드를 내려받는다. 원격 템플릿 참조나 외부 리소스 호출을 이용하는 공격이 그렇다. 업무망이 외부와 완전히 단절되어 있다면 이 내려받기는 실패할 수 있다. 실제로 망분리가 공격의 2단계를 끊어 온 측면은 분명히 있다.

위험을 높이는 면도 있다. 첫째, 이 방어는 네트워크 구성에 의존하는 부수적 효과다. 업무망에 내부 중계 서버가 있거나, 일부 구간이 외부와 연결되어 있거나, 공격자가 페이로드 전체를 문서 안에 넣어 보내면 성립하지 않는다. 둘째, 업무망은 보안 업데이트 반입 자체가 망간 전송을 거쳐야 하는 경우가 있어, 환경에 따라 패치 적용 주기가 길어질 수 있다. CVE-2017-11882처럼 패치가 오래전에 나온 취약점이 계속 악용되는 배경에는 이런 패치 공백이 있다. 셋째, 업무망 내부에서는 탐지 장비의 시그니처 갱신도 같은 반입 절차를 거치므로, 갱신 지연이 생길 수 있다.

경계 구간에 붙일 수 있는 내용 검증 방식은 크게 세 가지다. 시그니처·휴리스틱 기반 탐지, 가상 환경에서 실행해 행위를 관찰하는 동적 분석(샌드박스), 그리고 파일 구조를 해석해 능동 요소를 제거하고 파일을 다시 만드는 CDR이다. 세 방식은 서로를 대체하는 관계가 아니다. 판단의 대상과 방식이 다르기 때문에, 망간 자료 전송 보안을 설계할 때는 각 방식이 어떤 질문에 답하는지부터 정리해야 한다.

탐지 기반 솔루션은 알려진 악성 파일과 그 변형을 빠르고 정확하게 식별한다. 해시 일치뿐 아니라 일반화된 패턴과 휴리스틱으로 같은 계열의 변형을 상당 부분 잡아낼 수 있고, 판정 근거가 명확해 사고 보고에 쓰기 좋다. 한계는 아직 분석되지 않은 새 공격 기법이나, 정상 기능만으로 조합된 문서처럼 악성 징후를 패턴으로 정의하기 어려운 경우다. 앞 장에서 본 대로 업무망 내부에서는 패턴 갱신 지연도 고려해야 한다.

샌드박스 기반 솔루션은 파일을 실제로 열어 보고 그 결과로 생긴 프로세스·파일·네트워크 행위를 관찰한다. 처음 보는 공격도 행위로 드러나면 잡아낼 수 있고, 관찰 결과에서 침해 지표(IoC)를 뽑아낼 수 있다. 한계는 분석 환경에서 악성 행위가 드러나지 않는 경우다. 특정 문서 프로그램 버전이나 사용자 조작, 시간 조건, 외부 통신을 기다리는 공격은 분석 시간 안에 행위를 보이지 않을 수 있다. 분석에 드는 시간도 경계 구간의 업무 흐름과 함께 따져야 한다.

CDR은 판정하지 않는다. CDR 방식은 일반적으로 파일을 형식 규격에 따라 해석하고, 매크로·스크립트·임베디드 객체·외부 참조처럼 실행이나 외부 호출로 이어질 수 있는 능동 요소를 제거하거나 무력화한 뒤, 규격에 맞는 새 파일을 만든다. 따라서 탐지되지 않은 공격이라도 그 공격이 능동 요소에 의존한다면 재생성된 파일에는 남지 않는다. 한계도 분명하다. 무해화 정책 설정에 따라 업무에 필요한 정상 매크로도 함께 제거될 수 있고, 암호화된 파일은 해석할 수 없으며, 지원하지 않는 형식은 처리할 수 없다. 또 판정을 하지 않으므로 "이 파일이 악성이었는가"라는 질문에는 별도의 분석이 답해야 한다.

이 표에서 읽어야 할 것은 우열이 아니라 빈칸이 겹치지 않는 조합이다. CDR이 판정 근거를 주지 못하는 자리는 분석이 채우고, 분석이 조건부 발현 공격을 놓칠 수 있는 자리는 CDR이 채운다. 암호화 파일은 세 방식 모두의 공통 빈칸이므로 기술이 아니라 정책이 채워야 한다.

국가정보원·국가사이버안보센터가 제시한 국가 망 보안체계(N2SF)는 정보와 정보시스템을 중요도에 따라 기밀(C)·민감(S)·공개(O) 등급으로 분류하고, 등급별로 보안 통제를 적용하는 구조다^[3]. 일률적인 물리 망분리에서 벗어나 업무 특성에 맞게 보안과 연결성의 균형을 잡는 것이 목적이다. KISA는 이 체계를 실제 기관에 적용해 본 실증 사례를 사례집으로 공개했다^[4].

이 전환은 망간 자료 전송 보안에 세 가지 변화를 가져온다.

첫째, 경계의 수가 늘어난다. 기존에는 인터넷 망과 업무망 사이 하나의 경계가 중심이었다. 등급 기반 구조에서는 C·S·O 영역 사이, 그리고 각 영역과 외부 사이에 여러 경계가 생길 수 있다. 파일이 넘나드는 지점이 늘어나므로, 내용 검증을 지점마다 따로 설계하면 정책이 어긋나기 쉽다. 경계 수가 늘어날수록 동일한 검증 기준을 여러 지점에 일관되게 적용하는 구조가 중요해진다.

둘째, 방향별 위험이 달라진다. 낮은 등급에서 높은 등급으로 가는 파일은 악성 콘텐츠 유입이 주요 위험이고, 높은 등급에서 낮은 등급으로 가는 파일은 정보 유출이 주요 위험이다. 내용 검증은 주로 전자를 다루지만, 문서 속성 정보나 숨겨진 데이터 처리처럼 후자와 연결되는 부분도 있다.

셋째, 네트워크 단절에 의존하던 부수적 방어가 약해질 수 있다. 6장에서 본 것처럼, 외부 연결성이 높아지는 영역에서는 원격 참조형 공격의 2단계가 성공할 여지가 커진다. 경계에서 파일 자체를 통제하는 장치의 비중이 그만큼 커진다.

내용 검증 장치를 망간 전송 흐름의 어디에 둘지는 보안 효과와 운영 부담을 함께 결정한다. 2장의 흐름도를 기준으로 세 가지 배치를 비교한다.

경계 중계 구간 배치가 기본형으로 자주 검토되는 이유는 우회 경로를 줄이는 구조이기 때문이다. 검증이 송신 망 쪽에만 있으면, 송신 망에 검증을 거치지 않는 다른 등록 경로가 생길 때 통제가 빠진다. 경계 장비와 연동된 검증은 파일이 어떤 경로로 등록되었든 넘어가는 순간에 적용된다.

배치와 함께 결정해야 할 것이 처리 모드다. 동기 처리는 검증이 끝나야 전송이 완료되므로 안전하지만, 검증 시간이 곧 사용자 대기 시간이 된다. 비동기 처리는 전송 후 검증 결과에 따라 격리·회수하는 방식으로, 사용자 경험은 낫지만 검증 완료 전 파일이 열릴 수 있는 시간 창이 생긴다. 무해화처럼 처리 시간이 짧은 방식은 동기 처리와 잘 맞는다. 시큐레터 DISARM 소개 자료는 CDR 평균 무해화 소요시간을 34ms로 제시한다^[2]. 이 값은 해당 자료에 제시된 평균이며, 실제 환경의 처리 시간은 파일 크기와 구조, 동시 요청량에 따라 달라지므로 PoC에서 자기 조직의 파일로 측정하는 것이 정확하다.

내용 검증의 품질은 정상 파일을 처리할 때가 아니라 처리할 수 없는 파일을 만났을 때 드러난다. 망간 자료 전송 보안 운영에서 반복적으로 문제가 되는 예외 유형과, 각각에 대해 정해 두어야 할 정책을 정리한다.

이 중 운영 부담이 가장 큰 것은 원본 요청이다. 무해화 정책이 매크로 같은 능동 요소를 제거하도록 설정되어 있으면, 정상 업무에 매크로가 필요한 사용자는 원본을 요청하게 된다. 원본 요청 절차가 지나치게 번거로우면 사용자는 다른 경로를 찾는다. 반대로 원본 요청이 형식적인 클릭 하나로 끝나면 무해화의 의미가 사라진다. 균형점은 보통 다음과 같은 조건으로 잡는다.

• 원본은 격리 저장소에 보관하고, 일정 기간 후 자동 폐기한다.
• 원본 제공 전 악성코드 분석을 한 번 더 거친다.
• 원본 요청 사유와 승인 이력을 남기고, 반복 요청 패턴을 주기적으로 검토한다.
• 반복 요청되는 정상 매크로 문서는 서명·배포 절차를 마련해 원본 요청 자체를 줄인다.

CDR만 두면 모든 파일이 무해화되어 전송되므로 업무망은 안전해진다. 그런데 보안 담당자는 다른 질문을 받는다. "지난달 우리 기관으로 악성 문서가 몇 건 들어왔는가", "특정 위협 그룹의 공격이 우리에게도 왔는가". CDR은 판정하지 않으므로 이 질문에 단독으로 답하지 못한다.

그래서 경계 구간 설계에서는 무해화와 분석을 함께 두는 구성이 검토된다. 무해화는 업무망에 도달하는 파일을 안전하게 만들고, 분석은 원본이 무엇이었는지를 기록한다. 두 기능의 역할이 분리되어 있으면 운영 정책도 명확해진다. 사용자에게는 무해화된 파일이 즉시 전달되고, 보안 담당자에게는 분석 결과가 보고된다. 분석에서 악성으로 판정된 원본은 원본 요청 대상에서 제외하는 식으로 두 결과를 연결할 수 있다.

분석 결과는 위협 인텔리전스와 연결될 때 가치가 커진다. 경계에서 걸린 파일의 특징을 외부 위협 정보와 대조하면, 단발성 공격인지 특정 그룹의 지속적 표적 공격인지 판단할 근거가 생긴다. 망간 자료 전송 보안이 단순한 차단 장치를 넘어 조직의 위협 관측 지점이 되는 것이다.

시큐레터 제품은 파일이 들어오는 경로와 구축 방식에 따라 나뉜다. SLF 는 구축형 파일 보안 제품으로, MARS 탐지와 CDR을 기본 탑재하고 망연계·웹게시판 구간을 맡는다. 이메일 쪽은 메일 환경에 따라 제품이 다르다. SLE 는 구축형 메일 서버용 이메일 보안 제품으로, MARS 탐지와 CDR을 기본 탑재하고 스팸·악성 메일·피싱·BEC 등 이메일 공격 전반을 막는다. MS 365·Gmail을 쓰는 조직에는 SaaS 제품인 DISARM 이 있다. DISARM은 SLE와 별개의 제품으로, CDR과 BEC 탐지를 제공하고 APT 탐지는 포함하지 않는다. 네이버·카카오·하이웍스 등 국내 메일 서비스용 SaaS인 SLES 는 APT 탐지를 제공하고 CDR은 포함하지 않는다. 2장에서 본 흐름에 대입하면, 인터넷 망 메일 수신 구간은 구축형 메일 서버라면 SLE가, 클라우드 메일이라면 메일 서비스에 맞는 SaaS 제품이 맡고, 경계 중계 구간은 SLF가 맡는 구성이 된다.

SLCDR 은 CDR 전용 구축형 제품이다. 리버스 엔지니어링 기반 APT 탐지는 포함하지 않으며, 탐지는 백신·YARA·평판(TI) 분석으로 한다. 따라서 SLCDR을 중심으로 구성할 때는 11장에서 말한 '원본이 무엇이었는가'에 대한 분석을 어느 수준으로 둘지 함께 정해야 한다. 무해화 성능에 대해서는 두 가지 값을 볼 수 있다. 시큐레터 CDR의 평균 무해화 소요시간은 파일당 34ms이고^[2], 무해화 후에도 원본 레이아웃을 100% 보존한다. 처리 시간은 9장에서 본 동기 처리 모드의 사용자 대기 시간과, 레이아웃 보존은 사용자가 무해화된 문서를 그대로 업무에 쓸 수 있는지와 연결된다. 다만 문서의 모양이 유지되는 것과 문서 안의 기능 요소가 그대로 남는 것은 별개의 문제다. 7장에서 본 것처럼 CDR 방식은 일반적으로 설정에 따라 매크로 등 기능 요소가 제거될 수 있으므로, 도입 전에 조직의 무해화 정책에서 매크로를 어떻게 다룰지 정하고, 그 결과를 실제 업무 문서로 PoC에서 확인해 두는 것이 좋다. 매크로가 제거되는 정책을 택한다면 10장의 원본 요청 절차를 함께 마련해야 한다. 시큐레터가 지원하는 파일 포맷은 309종 이상이다^[1]. 경계 구간에서는 업무에 쓰이는 형식이 다양하므로, 10장에서 다룬 미지원 형식 예외를 줄이는 데 포맷 커버리지가 직접 영향을 준다.

탐지 측면에서 MARS는 SLF·SLE에 들어가는 탐지 엔진이다. MARS는 자동화된 리버스 엔지니어링으로 문서를 어셈블리 수준까지 분해해, 악성 행위가 일어나기 전에 취약점의 근원(Exploit)을 찾아낸다. 7장에서 본 것처럼 행위 기반(샌드박스) 방식은 가상환경을 알아채고 숨는 공격, 시간차를 두고 동작하는 공격, 사용자 조작을 기다리는 공격에서 행위가 드러나지 않을 수 있다. MARS는 행위 기반 방식이 놓치는 이런 우회 공격을 근본 원인 분석으로 잡는다. 탐지 범위는 문서에 국한되지 않는다. 문서·이미지·압축 파일은 리버스 엔지니어링으로, 실행 파일은 백신·YARA·평판 분석으로 탐지한다. 어떤 탐지도 모든 공격을 잡을 수는 없으므로, 탐지가 놓친 것은 CDR 무해화가 막도록 탐지와 무해화를 함께 쓴다. 11장에서 말한 무해화와 분석의 병행이 SLF·SLE에서는 한 제품 안에서 이루어지는 셈이다.

검증 성능에 대한 외부 평가로는 KISA 인증(2020)에서 악성코드 탐지율 100%를 받았고, TTA GS 인증 기준 분석 시간은 12초다^[1]. 두 수치는 각 인증 시험의 조건에서 측정된 결과이며, 앞에서 말한 '모든 공격을 잡는 탐지는 없다'는 전제와 함께 읽어야 한다. 또 Gartner CDR Market Guide(2022)에서 대표 벤더로 소개되었으며, 글로벌 40개 벤더 중 유일한 한국 기업이다^[1]. 자기 조직의 망연계 환경, 파일 구성, 동시 처리량에서 같은 결과가 나오는지는 PoC·BMT로 확인해야 한다.

아래 점검표는 현재 운영 중인 망연계 환경을 스스로 진단하는 용도다. 각 항목은 앞의 장과 연결되어 있으며, 답이 '모름'인 항목이 우선 점검 대상이다.

점검표의 목적은 점수를 매기는 것이 아니라, 지금 운영 중인 통제가 어떤 질문에 답하고 어떤 질문에 답하지 못하는지를 구분하는 것이다. 전송 통제 항목은 대개 잘 갖추어져 있고, 내용 검증과 예외 처리 항목에서 '모름'이 나오는 경우가 많다면 그 지점이 보완 대상이다.