N2SF 시범사업 준비 —
공공기관이 점검할 파일 경로·통제·증적 3가지

N2SF 시범사업을 준비하는 공공기관은 업무를 C·S·O 가운데 어느 등급으로 나눌지부터 고민한다. 하지만 등급 분류는 출발점이다. 등급을 정한 뒤 실제로 검증받는 것은 등급 사이의 경계를 넘어 들어오는 파일을 어떻게 통제하고, 그 통제가 작동했다는 사실을 어떻게 증명하는가다. 망분리 시절에는 물리적 단절이 통제를 대신했다. N2SF 체계에서는 경계가 논리적으로 바뀌고, 파일이 지나가는 지점도 늘어난다. 이 글은 국가사이버안보센터의 N2SF 가이드라인 초안, 통제항목 고도화 보도, KISA 실증 사례집을 바탕으로 공공기관이 준비해야 할 세 가지를 다룬다. 세 가지는 파일 유입 경로 인벤토리, 경로별 탐지·무해화 배치, 평가에 쓰일 증적이며, 실무 점검표와 PoC·BMT 설계안을 함께 정리한다.

국가 망 보안체계(N2SF, National Network Security Framework)는 모든 업무망을 인터넷과 물리적으로 끊던 일률적 망분리를 바꾸는 시도다. 업무와 정보시스템의 중요도에 따라 등급을 매기고, 등급에 맞는 보안 통제를 고르는 방식이다. 국가정보원 국가사이버안보센터는 이 체계의 보안 가이드라인 초안을 공개했다^[1]. 이후 보안 통제항목이 260개 수준으로 확대·고도화되었다는 보도가 이어졌다^[2][3]. KISA는 실증 결과를 정리한 사례집을 2026년 4월 공개했다^[4].

이 흐름에서 N2SF 시범사업의 성격은 분명하다. 특정 제품을 사서 설치하는 사업이 아니다. 기관이 자기 업무를 분류하고, 위협을 식별하고, 통제항목을 골라 실제 시스템에 적용한 뒤, 그 선택의 근거를 설명할 수 있는지 시험하는 자리다. 평가자는 "이 기관은 어떤 보안 제품을 갖고 있는가"보다 "이 기관은 자기 데이터 흐름을 알고, 각 흐름에 맞는 통제를 걸었고, 그 통제가 작동한 기록을 갖고 있는가"를 본다.

파일은 이 질문의 한가운데 있다. 망분리 환경에서는 외부 문서가 업무망에 들어오는 길이 망연계 시스템 하나로 좁혀져 있었다. 그 길에만 검사를 걸면 대부분의 반입 통제가 설명됐다. 등급 기반 체계에서는 O 등급 영역에서 외부 서비스와 협업하고, S 등급 영역과 데이터를 주고받는 구간이 설계상 생긴다. 경계는 여러 겹이 되고, 각 경계마다 파일이 어느 방향으로 넘어가는지 따로 정의해야 한다.

첫 번째 준비물은 기관에 파일이 들어오는 모든 길의 목록이다. 등급 분류표가 "무엇을 지킬 것인가"를 정한다면, 경로 인벤토리는 "무엇이 들어오는가"를 정한다. 두 표를 겹쳐야 어느 경계에 어떤 통제가 필요한지 보인다. 등급표만 있고 경로표가 없으면, 통제항목을 고를 때 실제 데이터 흐름이 아니라 일반론으로 고르게 된다.

인벤토리는 네트워크 구성도에서 출발하면 빠뜨리는 곳이 생긴다. 구성도는 장비와 회선을 그리고, 파일은 업무를 따라 움직이기 때문이다. 민원 접수 담당자가 받는 첨부, 외부 위원회와 주고받는 검토 의견서, 용역 사업자가 납품하는 산출물, 협업 도구에 올라오는 회의 자료는 구성도에서 눈에 띄지 않는다. 그래서 부서별 업무 담당자에게 "외부에서 받은 파일을 어디서 열어 보는가"를 묻는 방식이 효과적이다.

표의 마지막 줄이 자주 빠진다. 외부 메일로 들어온 HWP 파일이 O 등급 업무 PC에서 열리고, 담당자가 그것을 편집해 망연계로 S 등급에 넘기는 일은 평범한 업무 흐름이다. 이때 망연계 구간의 검사는 "외부 파일"이 아니라 "내부 직원이 보낸 파일"을 검사하게 된다. 최초 유입 지점의 검사 결과와 이후 경로의 검사가 이어지지 않으면, 같은 파일을 두 번 다른 기준으로 판단하거나 어느 쪽에서도 깊이 보지 않는 틈이 생긴다.

각 경로에 대해서는 숫자도 적는다. 일평균 파일 건수, 형식별 분포, 압축 파일 비율, 암호가 걸린 파일 비율, 현재 걸려 있는 통제, 운영 중인 예외가 기본 항목이다. 이 숫자는 추정이 아니라 기존 로그에서 측정한 값이어야 한다. 이후 통제 배치에서 처리 용량을 산정하고, PoC·BMT에서 테스트셋을 구성하는 근거가 되기 때문이다.

경로 목록을 만들었다면, 각 경로로 어떤 공격이 들어올 수 있는지 붙여 본다. 공공기관을 겨냥한 공격에서 문서 파일은 오래된 진입 수단이다. 미국 CISA는 북한 연계 위협 그룹 Kimsuky가 스피어피싱을 초기 접근 수단으로 쓴다고 분석한 권고문을 낸 바 있다^[13]. MITRE ATT&CK는 첨부파일을 이용한 스피어피싱을 독립된 기법으로 분류한다^[8]. 이메일이 악성코드의 1차 전파 경로로 제시되는 이유도 이 구조에 있다^[5].

문서형 공격의 공통점은 파일 형식이 원래 갖고 있는 기능을 악용한다는 데 있다. 매크로, 외부 개체 연결, 원격 템플릿, 문서 내 스크립트, 압축 속 바로가기 파일은 각각 정상 업무에서 쓰이는 기능이다. 그래서 "이 기능이 있으면 차단"이라는 규칙은 업무를 멈추게 하고, "이 기능은 허용"이라는 규칙은 공격의 통로가 된다.

매크로는 조건을 정확히 봐야 하는 대표 사례다. Office는 인터넷에서 온 파일의 매크로를 기본적으로 차단하도록 바뀌었다. 하지만 이 동작은 파일에 인터넷 출처 표시가 붙어 있을 때 적용된다^[7]. 출처 표시는 파일이 어떤 경로로 저장됐는지, 어떤 압축 해제 도구나 전송 시스템을 거쳤는지에 따라 붙기도 하고 사라지기도 한다. 망연계를 거쳐 반입된 파일이나 내부 공유 폴더에서 열린 파일에 이 표시가 유지되는지는 기관 환경마다 확인해야 한다. 기본 차단이 있으니 매크로는 해결됐다고 판단하기 전에, 기관 경로에서 그 조건이 실제로 성립하는지부터 봐야 한다.

원격 템플릿 주입은 문서 안에 매크로가 없다는 점에서 또 다르다^[10]. 검사 시점의 파일은 깨끗해 보이고, 문서가 열리는 순간 외부에서 매크로가 담긴 템플릿을 불러온다. DDE와 외부 개체 연결도 문서에 실행 코드를 직접 담지 않고 다른 프로그램을 호출하는 기능을 쓴다^[14]. 사용자 실행 유도는 이 모든 기법의 마지막 단계에서 반복된다^[9].

국내 공공기관 환경에서는 HWP·HWPX 문서를 따로 봐야 한다. 업무 문서의 기본 형식이고, 외부에서 받는 문서 가운데 비중이 크다. 그만큼 공격자에게도 수신자가 의심 없이 여는 형식이다. 문서 편집기의 특정 버전이 조작된 구조를 처리하는 과정을 노린 익스플로잇은 사용자 클릭 없이 문서를 여는 것만으로 동작할 수 있다. 경로 인벤토리에서 형식 분포를 측정하라고 한 이유가 여기 있다. HWP 비중이 높은 경로는 HWP 구조를 깊이 이해하는 통제가 필요하다.

두 번째 준비물은 경로마다 어떤 통제를 걸지 정한 배치안이다. 배치안을 만들려면 파일 보안 방식들이 각각 무엇을 잘하고 무엇을 놓치는지 공정하게 알아야 한다. 어느 한 방식이 모든 것을 해결한다는 전제로 배치하면, 그 방식의 약점이 기관 전체의 약점이 된다.

행위 기반 방식의 회피 문제는 이론이 아니다. MITRE ATT&CK는 가상화·샌드박스 회피를 독립된 기법으로 정리하고, 시스템 점검·사용자 활동 확인·시간 기반 회피를 하위 기법으로 나눈다^[11]. 공격자는 분석 환경에서는 아무것도 하지 않다가 실제 사용자 PC에서만 동작하는 조건을 걸 수 있다. 그렇다고 행위 기반 방식이 쓸모없다는 뜻은 아니다. 실제 동작을 보여 준다는 강점은 다른 방식이 대신하기 어렵다. 다만 문서 반입 경로에서 그것만으로 경계를 지키면, 회피 조건을 갖춘 파일이 경계를 통과할 수 있다.

리버스 엔지니어링 기반 분석은 질문을 바꾼다. 파일이 무엇을 하는지 지켜보는 대신, 문서 구조 안에 취약점을 건드리는 조작이 들어 있는지 본다. 가상환경을 감지하는 코드가 있어도 그 코드는 분석 대상이 될 뿐 분석을 피하는 수단이 되지 않는다. 그래도 탐지는 판단이고, 판단에는 놓칠 가능성이 따른다. 배치안은 이 가능성을 숨기지 말고 다음 통제로 받아내도록 짜야 한다.

시큐레터의 MARS 엔진은 자동화된 리버스 엔지니어링으로 문서를 어셈블리 수준까지 분해해, 악성 행위가 일어나기 전에 취약점의 근원을 찾아낸다. 행위 기반 방식이 놓치는 가상환경 회피·시간차 공격·사용자 행위 조건 같은 우회 공격을 근본 원인 분석으로 잡는 구조다. 탐지 범위는 문서에 국한되지 않는다. 문서·이미지·압축 파일은 리버스 엔지니어링으로, 실행 파일은 백신·YARA·평판 분석으로 탐지한다. 시큐레터는 KISA 인증에서 악성코드 탐지율 100%를 받았고^[5], TTA GS 실측 분석 시간은 12초(12.027초)다^[5].

그럼에도 시큐레터는 탐지가 모든 위협을 잡는다고 전제하지 않는다. 어떤 탐지도 100%를 보장할 수 없다는 점을 출발점으로 삼아, 탐지가 놓친 것은 CDR 무해화가 막도록 탐지와 무해화를 함께 쓴다. 시큐레터 CDR의 무해화 시간은 파일당 34ms다. 이 수치는 6장에서 경로별 처리 용량을 따질 때 다시 쓴다. 탐지가 "이 파일이 악성인가"를 묻는다면, 무해화는 판정 결과와 별개로 파일 안의 액티브 콘텐츠를 제거해, 탐지가 판단을 놓친 파일이라도 경계 안에서 동작을 일으키지 못하게 하는 역할을 맡는다.

CDR 방식의 원리를 일반론으로 풀면 이렇다. CDR은 일반적으로 파일을 스캔해 액티브 콘텐츠를 찾고, 그것을 제거한 뒤 파일을 재생성한다. 조금 더 들어가면, 파일을 형식 명세에 따라 구성 요소로 나누고, 본문·서식·이미지처럼 업무에 필요한 요소와 매크로·스크립트·외부 연결·임베디드 실행 개체처럼 동작을 일으킬 수 있는 요소를 구분한다. 그리고 앞의 것만으로 새 파일을 만든다. 원본을 고쳐 쓰는 것이 아니라 새로 만드는 방식이라, 명세에서 벗어난 조작이나 알려지지 않은 익스플로잇 구조도 새 파일로 옮겨지지 않는다. 판정을 거치지 않기 때문에 아직 시그니처가 없는 위협에도 같은 방식으로 작동한다.

두 통제를 같이 두면 역할이 나뉜다. 탐지는 무엇이 들어오려 했는지 기록하고, 보안 담당자가 대응할 사건을 만든다. 무해화는 탐지가 놓친 파일이 능동 요소를 지닌 채 경계를 넘지 않도록 막는다. 정상으로 판정된 업무 문서를 원본으로 넘길지 무해화 사본으로 넘길지는 경로별 정책으로 정하며, 그 선택에 따라 무해화가 받아내는 범위도 달라진다. 평가 관점에서는 이 구조가 설명하기 쉽다. "탐지가 놓친 파일은 어떻게 되는가"라는 질문에 "탐지와 무해화를 함께 써서, 탐지가 놓친 것은 무해화가 막도록 구성했다"고 답하고, 경로별 정책과 처리 로그로 뒷받침할 수 있다.

경로 인벤토리와 통제 방식을 정리했다면 제품을 경로에 대응시킨다. 이 순서가 중요하다. 제품부터 놓고 경로를 맞추면 제품이 닿지 않는 경로가 목록에서 사라진다. 경로부터 놓으면 어떤 경로에 아직 통제가 없는지가 드러난다.

SLF와 SLE는 MARS 탐지와 CDR을 함께 탑재한다. 앞 장에서 말한 "탐지와 무해화를 함께 쓰는 구조"를 한 제품 안에서 구성하는 셈이다. 망연계 구간에서 O 등급의 파일이 S 등급으로 넘어갈 때, 그리고 외부 메일이 업무 영역으로 들어올 때 이 구조가 적용된다.

SLCDR은 성격이 다르다. 리버스 엔지니어링 기반 APT 탐지 엔진이 없는 CDR 전용 제품이고, 탐지는 백신·YARA·평판 분석으로 한다. 무해화를 반입 통제의 중심에 두려는 구간, 또는 다른 계층에서 이미 심층 분석을 하고 있어 그 구간은 무해화와 기본 탐지로 충분하다고 판단한 구간에 맞는다. 배치안에서 SLCDR을 쓸 때는 그 구간의 심층 탐지를 어디서 맡는지 함께 적어야 평가자의 질문에 답할 수 있다.

처리 성능은 경로별 용량 산정의 근거가 된다. TTA GS 실측 분석 시간 12초(12.027초)^[5]와 파일당 34ms의 무해화 시간은 경로 인벤토리에서 측정한 일평균 건수, 최대 시간대 건수와 함께 놓고 봐야 의미가 생긴다. 지원 포맷은 309종 이상이다^[5]. 경로 인벤토리의 형식 분포 상위 항목이 모두 지원 범위에 드는지, 범위 밖 형식은 어떤 정책으로 처리할지도 배치안에 적는다. 제품 선정 근거를 정리할 때 참고할 외부 평가로는 Gartner CDR Market Guide(2022)가 있다. 시큐레터는 이 가이드의 대표 벤더로, 글로벌 40개 벤더 가운데 유일한 한국 기업이다^[5].

같은 경계라도 파일이 어느 방향으로 넘어가는지에 따라 걸어야 할 통제가 달라진다. 경로 인벤토리에 "경계 방향" 칸을 둔 이유다. 방향을 섞으면 반입 통제로 반출 위험을 설명하거나 반출 통제로 반입 위험을 설명하는 오류가 생긴다.

O에서 S로 넘어가는 반입은 N2SF 체계에서 새로 커지는 위험 지점이다. O 등급 영역은 외부 서비스와의 연계가 넓어지는 만큼 외부 파일이 들어오기 쉽다. 그 영역에서 열리고 편집된 파일이 S 등급으로 넘어갈 때, 전송 승인은 "누가 무엇을 보내는지"를 통제하지만 "그 파일 안에 무엇이 들었는지"는 확인하지 않는다. 승인과 내용 검증을 별도의 통제로 두고, 각각의 기록을 따로 남겨야 한다.

S에서 O로 나가는 반출은 성격이 다르다. 여기서 주된 위험은 악성코드가 아니라 민감 정보의 유출이다. 반출 승인, 정보 유출 방지, 반출 이력 관리가 중심이 된다. 파일 보안은 보조 역할에 그친다. 배치안에서 반출 경로에 반입용 무해화를 걸어 두고 반출 통제로 설명하면, 평가자는 통제 목적과 수단이 맞지 않는다고 볼 수 있다.

C 등급과 맞닿은 경계는 가장 엄격하게 다룬다. 이 경계에서 파일 반입을 허용하는 예외가 있다면 그 예외는 가장 강한 정책과 가장 상세한 기록을 요구한다. 무해화 사본만 허용하고 원본 열람은 별도 승인 절차로 분리하는 식이다. C 등급 경계의 정책은 기관 내부 기준과 가이드라인 원문을 직접 대조해 정해야 한다^[1].

세 번째 준비물은 증적이다. 경로를 알고 통제를 걸었다는 주장은 기록으로만 증명된다. 증적은 사업이 끝난 뒤 한꺼번에 모으는 것이 아니라 처음부터 무엇을 남길지 정하고 시작해야 한다. 로그 항목을 나중에 추가하면 그 이전 기간의 기록은 비어 있게 된다.

증적은 세 층으로 나누면 정리가 쉽다. 첫째는 정책 증적이다. 왜 이 경로에 이 통제를 걸었는지 보여 주는 문서로, 경로 인벤토리와 배치안이 여기에 해당한다. 둘째는 동작 증적이다. 통제가 실제로 파일을 처리한 기록으로, 처리 로그와 탐지 사건이 해당한다. 셋째는 운영 증적이다. 예외를 누가 승인했는지, 정책을 언제 바꿨는지, 사용자 문의를 어떻게 처리했는지 남긴 기록이다.

로그에는 필요한 만큼만 담는다. 파일 보안 로그는 업무 문서를 다루기 때문에, 문서 내용이나 수신자 정보를 과하게 남기면 로그 자체가 보호해야 할 정보가 된다. 증적이 요구하는 것은 "통제가 작동했다는 사실"이지 문서의 내용이 아니다. 해시값과 형식, 처리 결과로 충분한 항목에 본문 발췌나 개인 식별 정보를 넣지 않도록 로그 항목을 정한다.

지표도 미리 정한다. 경로별 처리 건수, 탐지 건수와 판단 계층별 분포, 무해화 비율, 원본 요청 건수와 처리 시간, 예외 건수의 월별 추이 정도면 평가 보고서의 통제 효과 항목을 채울 수 있다. KISA 실증 사례집처럼 공개된 사례가 어떤 형식으로 결과를 정리했는지 참고하면, 기관 보고서의 구성 방향을 잡는 데 도움이 된다^[4].

세 가지 준비물은 PoC·BMT에서 한꺼번에 검증할 수 있다. PoC·BMT를 제품 성능 비교로만 보면 결과가 제품 선정 문서에서 끝난다. N2SF 시범사업 준비 관점에서 설계하면 결과가 그대로 경로 인벤토리 보강, 배치안 검증, 증적 견본이 된다.

측정 항목은 우선순위를 정해 두는 편이 좋다. 모든 항목을 같은 무게로 보면 판단 기준이 흐려진다.

경로 인벤토리와 배치안을 내부에서 공유하면 몇 가지 반론이 반복해서 나온다. 미리 답을 정리해 두면 내부 합의가 빨라진다.

마지막으로 경계해야 할 것은 "통제항목 수를 채우는 준비"다. 260개 수준으로 고도화된 통제항목을 모두 문서상으로 대응시키는 데 힘을 쏟다 보면^[2], 실제 파일이 지나가는 경로에 통제가 비어 있는 상태가 남을 수 있다. 통제항목과 배치를 연결하는 상세 대응은 별도로 정리하되, 그 출발점은 언제나 경로 인벤토리여야 한다. 제로 트러스트 아키텍처 논의가 자원과 데이터 흐름을 먼저 식별하라고 권하는 것도 같은 맥락이다^[12].

세 가지 준비물을 하나의 점검표로 묶으면 다음과 같다. 각 항목은 "예"로 답할 수 있을 때 다음 단계로 넘어간다.