보안 문서 검토(examination)는 정책·절차·구성도·규칙표·로그 등 기록물을 검토해 문서와 요구사항이 맞는지 확인하는 방법입니다. 시스템 시험(test)은 실제 시스템의 작동이나 통제 상태를 확인하기 위해 상호작용을 수행하며, 대상에 영향을 줄 수 있습니다.
방화벽 규칙표를 읽는 일은 그 자체로 시스템에 능동 요청을 보내는 시험은 아닙니다. 다만 파일이 최신인지, 실제 장비 설정과 일치하는지는 별도 확인이 필요합니다. 아래 가상 예시는 NIST 방법론을 학습하기 위해 새로 작성했습니다.
문서 검토는 기록된 의도와 상태를 살핍니다
NIST의 기술 안내서 SP 800-115에서 examination을 설명하는 절은 2.3절입니다. 이 안내서는 2008년에 발간되었습니다. 해당 절은 examination을 정책, 절차, 보안 계획, 시스템 구성, 규칙 집합, 시스템 로그 같은 문서의 검토로 설명합니다. 목적은 시스템이 적절히 문서화되었는지 확인하고, 기록을 대조해 설계·설치·구성·운영에 관한 정보를 얻는 것입니다. 예를 들어 방화벽 규칙표를 조직의 통신 정책과 비교해 금지된 연결이 허용되어 있지 않은지 살펴볼 수 있습니다. 문서 검토는 보통 문서나 로그에 접근하는 것 외에는 대상 네트워크에 직접 영향을 주지 않습니다. 그러나 그 결과는 ‘문서에 적힌 상태’를 우선 보여 줍니다. 규칙표가 최신 장비 설정인지, 로그의 시간이 정확한지, 실제 운영이 문서와 일치하는지는 그 자료만으로 보장되지 않습니다.
시스템 시험은 통제나 동작을 직접 확인합니다
시스템 시험은 기능이나 통제가 실제로 작동하는지 확인하기 위해 시스템에 요청을 보내거나 설정을 시험하는 등 관찰 가능한 동작을 수행합니다. NIST는 시험이 문서 검토보다 실제 보안 상태를 더 정확하게 보여 줄 수 있는 경우가 있지만, 그만큼 더 침습적이고 네트워크나 시스템에 영향을 줄 수 있다고 설명합니다. 시험 요청이 과도한 자원을 쓰거나, 잘못 설계한 확인이 업무 기능을 멈추게 할 수 있습니다. 그러므로 대상·시각·허용 행위·데이터 보호·중지 조건을 미리 합의하는 것이 필요합니다. OWASP가 설명하는 DAST는 소스 코드에 접근하지 않고 실행 중인 앱의 웹 인터페이스와 상호작용하는 동적 시험입니다. 이 앱 검사는 능동 시험의 한 예이지만, 모든 능동 시험이 DAST는 아닙니다. 문서와 시험은 서로 대체하는 분류라기보다 서로 다른 근거를 제공하는 방법입니다. 문서는 의도된 정책과 설정의 기록을, 시험은 정해진 조건에서 실제로 관찰한 동작을 보여 줍니다.
규칙표 검토와 시험 요청을 같은 점검표에 적어 봅니다
| 활동 | 방법 분류 | 직접 확인한 것 | 남은 질문 |
|---|---|---|---|
| 승인된 방화벽 규칙표와 정책 비교 | 문서 검토 | 기록된 규칙이 정책에 부합하는지 | 문서가 현재 운영 장비와 같은가 |
| 장비에서 내보낸 설정 백업의 변경 이력 확인 | 문서 검토 | 저장된 파일의 변경 기록 | 장비에서 현재 적용 중인 값인가 |
| 승인된 시험망에서 차단 정책이 적용되는지 제한된 테스트 요청으로 확인 | 시스템 시험 | 지정한 조건에서 요청이 차단 또는 허용된 결과 | 다른 경로·계정·시간에도 같은가 |
| 시험 결과와 규칙표를 함께 대조 | 문서 검토와 시험 결과 분석 | 기록과 실제 관찰의 일치 여부 | 설명되지 않은 차이를 누가 조사할까 |
첫 행은 기록에 적힌 규칙을 정책과 대조한 작업입니다. 세 번째 행은 실제 시스템에 요청을 보내 작동을 관찰했으므로 시험에 해당합니다. 네 번째처럼 두 근거를 결합하면 문서가 오래되었거나 시험 범위가 좁았을 가능성을 파악하는 데 도움이 됩니다. 하지만 하나의 시험 결과를 모든 네트워크 경로에 일반화해서는 안 됩니다. 관찰한 테스트 계정, 출발 위치, 시간, 적용 정책을 같이 기록하세요.
점검 요청을 받으면 대상과 작용부터 물어봅니다
- 무엇을 살피는지 확인합니다. 정책·설정 파일·로그·도면이면 우선 기록 검토로 분류합니다.
- 실제 장비나 서비스에 어떤 요청·변경·기능 호출을 하는지 확인합니다. 대상과 상호작용해 동작을 관찰한다면 시험 요소가 있습니다.
- 파일이 최신인지, 실제 운영 상태와 일치하는지 독립적으로 확인했는지 적습니다.
- 시스템 시험이면 승인 범위, 영향 가능성, 일정, 중지 기준, 담당 연락 창구가 정해졌는지 확인합니다.
파일을 열어 봤다고 운영 상태까지 확인한 것은 아닙니다
‘방화벽 규칙표를 검토했으므로 방화벽이 정책에 맞게 동작한다’고 쓰면 문서 상태에서 실제 동작으로 건너뜁니다. 파일이 장비에 적용된 시점, 변경 이후의 차이, 우회 경로를 확인하지 않았다면 결론은 문서에 적힌 구성에 한정해야 합니다. 반대로 규칙표를 읽는 일은 아무 근거도 주지 않는다고 볼 필요도 없습니다. 정책과 기록의 불일치를 찾고, 어떤 시험을 추가해야 하는지 정하는 중요한 출발점입니다. 가장 정확한 보고는 검토한 문서와 실제 시험을 구분해 각각의 결과를 쓰는 것입니다. 시험자가 실제 장비의 설정과 반응을 확인하지 않았다면 운영 환경의 동작은 확인되지 않았다고 적습니다.
회상 연습: 확인한 근거의 경계를 말해 봅니다
예시 답: ‘승인된 규칙표에 기록된 허용·차단 항목을 정책 문서와 대조했다. 시험 요청을 보내지 않았으므로 장비의 현재 응답과 실제 적용 여부는 아직 확인하지 못했다.’ 이 문장은 문서 검토의 결과를 숨기지 않으면서도 운영 상태를 확인한 것처럼 오해시키지 않습니다. 답안을 쓸 때는 자료의 이름만 나열하지 말고, 그 자료로 무엇을 알 수 있고 무엇은 확인하지 않았는지를 붙여 보세요. NIST 문서는 2008년 기술 가이드이므로 여기서는 방법 분류의 설명 근거로만 사용합니다. 국내 시험에서 공식 정의로 채택되었다고 주장하지 않습니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
방화벽 규칙표를 정책 문서와 비교했지만 시험 요청은 보내지 않았습니다. 문서에서 확인한 점과 장비 시험으로 확인해야 할 점을 설명하세요.
정답과 해설 확인
규칙표에 기록된 정책 부합 여부는 검토했다. 시험 요청을 보내지 않았으므로 현재 장비의 적용 상태와 실제 응답은 확인하지 못했다.NIST 안내서는 문서·규칙표 검토를 examination으로 설명하고, 실제 시스템 시험은 네트워크나 시스템에 영향을 줄 수 있다고 구분한다.