YEYE가 지켜보고 있다–카카오의 공격 표면 관리 이야기

카카오의 공격 표면 관리 도구, YEYE

• YEYE는 카카오의 공격 표면 관리(ASM) 도구로, 2023년 파편화된 보안 도구를 통합하여 탄생.
• 공격자보다 앞서 공격 표면을 식별, 제거하며 자산 관리, 가시성, 리스크 식별 기능을 제공.
• 내부 API, 스캐닝으로 자산 정보를 수집하고 주기적으로 스캔하여 보안 이슈 식별.
• **DSR(Daily Security Review)**은 YEYE를 통해 식별된 공격 표면을 사람이 줄여나가는 프로세스.

자산 관리 및 대규모 스캔 최적화

• 자산 정의는 외/내부 접점까지 확장되며, 분류 및 표준화 저장.
• 자산 간 관계성을 정의하여 CVE, 미검수 자산 노출 등 정보 추적 가능.
• 대규모 스캔 최적화를 위해 Public Cloud 병행, 병렬 스캔 구조 구현, 가성비 기반 인프라 설계로 효율성 확보.
• 서비스 영향 최소화를 위해 스캔 옵션 및 트래픽 식별 정보 조정.

YEYE의 발전과 보안 문화

• AI Assistant '예냥이' 개발로 단순 업무 자동화 및 보안팀의 가치 있는 업무 집중 지원.
• 궁극적으로 ASM은 도구가 아닌 사람들의 집요함과 보안 문화이며, 구성원의 전문성, 협력, 프로세스, 도구가 결합될 때 달성 가능.