최신 IT 기술의 보안성을 검토하는 방법에 대해 어떤 연구를 진행해본 적이 있나요?

새로운 컨테이너 런타임을 도입할 때 공개 CVE 리스트에 critical 항목 없음을 확인하고 안전하다고 판단한 적이 있습니다. 그런데 실제 배포 설정에서 privileged 모드가 기본값으로 켜진 것을 나중에야 발견했고, CVE보다 구성 실수가 더 큰 위협이 된다는 것을 배웠습니다. CVE는 소프트웨어 결함을 다루지만 잘못된 설정에서 비롯된 공격 경로는 별도로 점검합니다. 이후에는 CIS Benchmark와 같은 구성 기준을 함께 대조하고, 배포 후 실제 옵션 값이 기대치와 일치하는지 자동 스캔 단계를 추가했습니다. 취약점 리스트와 구성 점검은 서로를 대체하지 않는다는 것, 그 차이를 구분하는 시각이 생겼습니다.

이 경험이 이후 신기술 도입 검토 시 CVE와 구성 기준을 병행 점검하는 기준이 됩니다. 기술 보안 검토는 알려진 취약점보다 실제 구성 값이 더 중요한 검토 대상이라는 원칙을 지킵니다.