주요동향 : S&T GPS

취약점 점검 서비스(NCATS) 운영 원문보기 1

□ 미국 국토안보부(DHS)* 산하 연방정보보호센터(NCCIC)*는 연방정부, 주·지방정부, 민간 대상으로 무료 취약점 점검

서비스(NCATS)** 제공

* Department of Homeland Security

** National Cybersecurity & Communications Integration Center

*** National Cybersecurity Assessment and Technical Services

○ NCCIC는 사이버보안 강화를 위해 연방 주요기관 및 주·지방 정부를 대상으로 실시해 오던 NCATS를 2년 전부터 민간업체로

확대 운영

○ NCATS 서비스는 Cyber Hygiene과 RVA(Risk and Vulnerability Assessments) 두 가지 프로그램으로 구성

서비스	설명	프로그램
취약점 스캔	외부 및 내부 취약점에 대한 보안평가 수행	Cyber Hygiene RVA
침투 테스트	취약점을 익스플로잇 해 시스템, 애플리케이션, 네트워크, 보안 통제의 반응 테스트	RVA
소셜 엔지니어링	피싱 이메일 직원 테스트	RVA
무선 시스템 점검	무선 신호 식별, AP 익스플로잇	RVA
웹 애플리케이션 스캔 및 테스트	웹 애플리케이션 취약점 식별	Cyber Hygiene RVA
데이터베이스 스캔	데이터베이스 설정과 통제 보안 스캔	RVA
운영 시스템 스캔	운영 시스템 보안 스캔	RVA

○ 2년 동안, 150개 이상의 민간 업체가 NCATS 참여

- (FY 2015*) 53개 민간 부문 참여, 이 중 대부분은 에너지와 금융 서비스 산업의 작은 조직

※ 미국 연방정부의 2015회계연도(’14.10.1∼’15.9.30)

- (FY 2014**) 100개 이상의 업체가 참여하였고, 344개의 취약점 발견

※ 이 중 40%는 ‘위험도 높음’, 13%는 ‘치명적’으로 판정, RVA 피싱 테스트에서 악성 링크를 클릭한 직원은 25%

※ 미국 연방정부의 2014회계연도(’13.10.1∼’14.9.30)