runZero, 기존 자산관리 도구가 있어도 필요할까?

이미 CMDB도 있고 EDR도 깔려 있는데, 자산 가시성 솔루션을 또 도입해야 하나요? 결론부터 말하면 — 기존 도구가 '아는 자산'을 관리하는 도구라면, runZero는 '모르는 자산'을 찾아내는 도구입니다. 일부 기능은 겹치지만, 발견 범위와 운영 목적에 차이가 있습니다. 다만 모든 조직에 지금 당장 필요한 것은 아닙니다. 필요한 경우와 아닌 경우를 정직하게 나눠 정리했습니다.

기존 도구는 '아는 자산'을 관리합니다

대부분의 조직은 이미 여러 자산 관리 도구를 운영합니다. 그런데 이 도구들은 서로 다른 목적으로 만들어졌고, 한 가지 공통점을 공유합니다 — 이미 등록됐거나, 에이전트가 깔렸거나, 계정을 아는 자산만 본다는 점입니다.

이 도구들은 각자의 자리에서 잘 작동합니다. 문제는 이들이 그린 그림을 다 합쳐도 "우리 네트워크에 실제로 무엇이 붙어 있는가"라는 질문에는 답하지 못한다는 것입니다. 세 도구 모두 '이미 관리 대상인 자산'을 전제로 하기 때문입니다.

공통의 사각지대 — '모르는 자산'

관리되지 않는 자산 — 아무도 모르던 자산 — 은 패치·모니터링에서 누락돼 보안 위험을 키울 수 있습니다. 부서가 임의로 붙인 테스트 서버, 계약이 끝났는데 살아 있는 장비, 유지보수 업체가 설치하고 간 원격 접속 장비, 회의실의 스마트 TV와 IP 카메라 — 이런 것들은 CMDB에 없고, EDR 에이전트도 없고, 스캐너 계정도 없습니다. 관리 대상이 아니니 패치도, 모니터링도, 백업도 걸려 있지 않습니다.

국제 표준도 같은 곳을 가리킵니다. CIS 통제의 첫 번째 항목이 '기업 자산의 인벤토리와 통제'입니다. 방화벽도 EDR도 그다음입니다. 보이지 않는 자산에는 어떤 통제도 적용할 수 없기 때문입니다.

runZero가 채우는 자리

runZero는 CAASM(사이버 자산 공격 표면 관리) 솔루션으로, 앞의 도구들과 정반대 방향에서 출발합니다. 에이전트도, 계정도 전제하지 않습니다.

• 자격 증명 없는 능동 탐지(unauthenticated active scanning) — 계정 없이도 네트워크를 훑어 장비의 정체·운영체제·열린 서비스를 식별합니다.
• 패시브 디스커버리 — 트래픽을 관찰해 능동 스캔이 닿지 않는 장비까지 포착합니다.
• OT 안전 설계 — '가능한 한 적은 트래픽, 장치가 예상하는 트래픽'을 원칙으로, 취약한 산업 설비를 멈추지 않으면서 식별합니다.
• 변경 이력 추적 — 어제 없던 장비가 오늘 붙었는지, 사라졌는지를 시간축으로 봅니다.

바로 이 '에이전트·계정을 전제하지 않는다'는 점 때문에, runZero는 다른 도구가 놓치기 쉬운 미관리 자산을 먼저 드러냅니다. 기존 도구를 대체하는 것이 아니라, 그 도구들이 관리할 대상을 정확히 찾아 넘겨주는 역할입니다.

이런 환경이라면 runZero가 필요합니다

• OT·ICS·IoT가 섞인 환경 — 제조·에너지·의료처럼 에이전트를 심을 수 없는 장비가 많은 곳. EDR·스캐너의 사각지대가 가장 넓습니다.
• 하이브리드·멀티클라우드 — 온프레미스와 클라우드에 자산이 흩어져 CMDB가 현실을 못 따라가는 경우.
• 인수합병·조직 통합 직후 — 인수한 네트워크에 무엇이 있는지 아무도 확신하지 못하는 상황.
• 원격근무·지사 분산 — 본사 밖 장비가 관리 체계에 잡히지 않는 경우.
• 규제 대응 — ISMS-P·정보통신기반 보호법의 취약점 분석이 정확한 자산 목록을 전제로 하는데, 그 목록의 신뢰도를 스스로 증명해야 하는 경우.

반대로, 이런 경우엔 서두를 필요 없습니다

정직하게 말하면, 모든 조직이 지금 당장 CAASM을 도입해야 하는 것은 아닙니다. 다음에 가깝다면 우선순위가 낮을 수 있습니다.

• 자산이 전부 표준 IT(윈도·리눅스 서버와 PC)이고, OT·IoT 장비가 사실상 없다.
• EDR·MDM 에이전트 설치율이 100%에 가깝고, 미설치 장비가 즉시 드러나는 관리 체계가 이미 있다.
• 네트워크 규모가 작고 변화가 적어, 수동 목록이 현실과 거의 일치한다.

이런 환경이라면 기존 도구만으로도 상당 부분 커버됩니다. 다만 위 조건 중 하나라도 무너지는 순간 — 새 사업장이 생기거나, OT 장비가 들어오거나, 클라우드로 확장하는 순간 — 사각지대는 빠르게 넓어집니다.

도입 전 스스로 점검할 세 가지

1. 우리 조직의 자산 목록에 신뢰할 수 있는 단일 출처가 있는가, 아니면 팀마다 다른 목록을 들고 있는가?
2. 소유자가 지정되지 않아 아무도 스캔·패치하지 않는 자산이 몇 대인지 지금 답할 수 있는가?
3. 그 목록은 실시간으로 갱신되는가, 마지막 갱신이 몇 달 전인가?

세 질문에 자신 있게 답하기 어렵다면, 그 간극이 곧 공격 표면입니다. 자산 가시성 확보가 다음 보안 투자의 출발점이 되어야 합니다.