가위바위보에서 모두가 처음에 주먹을 낸다는 경향을 먼저 알아챈 사람은 보를 낸다. 잠시 승률이 올라가지만 모두가 그 사실을 알게 되면 보가 새 기준이 되고, 이제는 가위를 내는 사람이 앞선다. 핵심은 상대의 경향을 읽고, 그 경향이 바뀌는 순간 전략을 바꾸는 능력이다.

사이버 공격과 방어도 유사하다. 방어자가 특정 탐지와 대응방식에 익숙해질수록 공격자는 다른 방법을 찾는다. 올해 공개된 최신 인공지능(AI) 모델 ‘클로드 미토스 프리뷰’는 주요 운영체제와 웹브라우저 등에서 다수의 제로데이 취약점 탐색·검증 가능성을 보여 줬다. 모든 공격자가 곧바로 같은 능력을 갖지는 않겠지만, AI가 취약점 발견과 이를 악용한 공격 준비 속도를 끌어올릴 수 있다는 신호임은 분명하다.

그렇다면 방어자는 더 넓게 볼 게 아니라 더 좁고 깊게 봐야 한다. 공격자는 취약점 하나만 성공시키면 되지만 방어자는 모든 시스템과 계정, 로그, 네트워크를 지켜야 한다. 이런 비대칭구조에서 감시범위를 무작정 넓히면 정작 중요한 신호는 묻히고 인력은 경보 피로에 빠진다. 필요한 것은 위험 예측에 기반한 감시범위의 축소다. 공격자가 반드시 거쳐야 하는 병목구간을 정하고 그곳을 집중적으로 감시하고 분석해야 한다.

우선 외부 진입점이다. 가상사설망(VPN), 원격 접속장비, 외부 연계 서버는 취약점 탐색의 첫 표적이 될 가능성이 크다. 다음은 인증과 권한이다. 공격자는 계정을 탈취하고 권한을 높이며 서비스 계정을 악용한다. 세 번째는 내부 이동이다. 하나의 서버가 뚫린 뒤 데이터베이스, 인증 서버, 백업 서버로 확산되면 피해는 커진다. ‘WMI’ ‘WinRM’ ‘PowerShell’ 같은 관리 기능은 명령 실행과 내부 정찰에 악용될 수 있어 집중 감시해야 한다. 네 번째는 개발·클라우드·보안관리 영역이다. 소스코드 저장소, CI/CD, 클라우드 IAM, 보안관리 콘솔이 장악되면 공격자는 정상 배포와 관리 권한을 악용할 수 있다.

이 네 영역을 보려면 단순한 로그 수집이나 관제 대시보드만으로는 부족하다. 외부 노출 자산, 취약점, 서버 간 통신, 대응임무와 조치 결과를 하나의 작전상황으로 묶어야 한다. 그 기반이 사이버전장관리체계다. 사이버전장관리체계는 사이버 정보·감시·정찰로 자산과 위협, 취약점을 수집·분석하고 사이버 지휘통제로 작전상황도를 가시화한다.

AI가 공격 속도를 높인다면 방어도 판단과 지휘통제의 속도를 높여야 한다. 기존 방식으로는 AI 속도의 공격을 따라가기 어렵다. 앞으로는 더 많은 경보가 아니라 더 빠른 판단이 필요하다. 더 넓은 감시가 아니라 더 정확한 집중이 요구된다. 미토스가 던진 질문은 결국 하나다. 사이버 방어는 얼마나 빨리 바뀔 수 있는가. 그 답은 핵심 병목을 집중 감시·분석하고, 그 결과를 사이버전장관리체계로 연결해 탐지·판단·지시·대응하는 하나의 흐름으로 작동하게 만드는 데서 찾아야 한다.