“자산 가시성이 중요하다”는 명제에는 모두 동의한다. 그러나 실무의 진짜 질문은 “그 완전한 인벤토리를 어떻게 만드는가”이다. 정답은 하나의 수집 방식이 아니다. 에이전트, 에이전트리스(크리덴셜 스캔), 네트워크 탐지, 외부 연동은 각각 명확한 사각지대를 가지며, 완전한 커버리지는 이들의 조합에서만 나온다. 본 글은 수집 방식별 트레이드오프와, 왜 단일 방식이 반드시 자산을 놓치는지를 다룬다.

문제 정의 — 안 보이는 자산은 셀 수도 없다

가장 흔한 오해는 “관리 콘솔에 보이는 것이 전부”라는 가정이다. 에이전트는 스스로 ‘자신의 부재’를 보고하지 못한다. 에이전트가 깔리지 않은 장비는 어떤 콘솔에도 나타나지 않는다. Ivanti 조사에서 IT 전문가의 38%가 자사 네트워크에 접속하는 장치를 충분히 가시화하지 못한다고 답한 이유다.[1]

이 공백은 곧 위험이다. Microsoft의 Digital Defense Report 2024는 랜섬웨어 공격 성공 사례의 90% 이상이 관리되지 않는 장치에서 비롯된다고 지적한다.[2] 보이지 않는 자산은 우선순위조차 매길 수 없는 순수한 사각지대다.

근거 — 커버리지 갭은 측정된다

커버리지 갭은 추상적 우려가 아니라 측정 가능한 수치다. Axonius의 고객 기반 분석에서, 중앙값 29만 8천 대 규모의 인벤토리 중 12.7%의 장비가 기대되던 보안 에이전트를 갖고 있지 않았다.[3] 대시보드는 ‘정상’을 보고하지만, 실제로는 8대 중 1대가 통제 밖에 있었던 셈이다.

독립적 교차 검증의 효과도 사례로 드러난다. 한 대형 기업은 여러 소스를 통합·검증한 뒤 엔드포인트 커버리지가 70%에서 99%로, 또 다른 기업은 38개 도구의 데이터를 통합해 85%에서 99%로 개선됐다.[3] 데이터를 합치자 비로소 사각이 드러난 것이다.

분석 — 방식마다 다른 사각지대

각 수집 방식은 강점과 맹점이 뚜렷하다.

에이전트는 깊은 정보(설치 소프트웨어·구성·프로세스)를 주지만, 설치할 수 없는 자산—네트워크 장비, 프린터·IoT, 임베디드, 미관리 서버—에는 원천적으로 닿지 못한다.

에이전트리스(크리덴셜 스캔)는 에이전트 없이 인증 기반으로 상세 정보를 수집하지만, 자격증명과 접근 권한이 전제돼야 한다.

네트워크 탐지는 에이전트도 크리덴셜도 없는 장비까지 ‘존재’를 드러내지만, 깊이는 얕다.

외부 연동(커넥터)은 클라우드·기존 관리 시스템의 자산을 끌어오지만, 그 소스가 아는 만큼만 안다.

결론은 자명하다. 어느 하나도 단독으로는 완전하지 않다. 에이전트만 믿으면 IoT·네트워크 장비가, 네트워크 탐지만 믿으면 상세 취약점 정보가 빠진다.

실무 대응 — 조합하고, 병합하고, 교차 검증하라

Gartner가 CAASM(Cyber Asset Attack Surface Management)을 여러 소스를 통합해 자산 가시성을 확보·검증하는 분야로 정의하는 이유가 여기에 있다.[4]

① 다중 수집을 기본값으로. 에이전트+에이전트리스+네트워크+커넥터를 함께 운용해 방식별 사각을 상호 보완한다.

② 중복을 병합하라. 여러 소스가 같은 자산을 보고할 때 하나로 정규화·병합해야 ‘실효 자산 수’가 정확해진다.

③ 커버리지 자체를 지표로. “어떤 자산이 어떤 방식으로도 안 잡히는가”를 상시 측정해, 보이지 않는 자산을 보이게 만든다.

결론

완전한 자산 인벤토리는 더 나은 하나의 수집기가 아니라, 서로의 맹점을 메우는 여러 수집 방식의 설계된 조합에서 나온다. 자산 가시성의 성패는 “무엇을 보느냐”가 아니라 “무엇을 못 보고 있는지를 아느냐”에 달려 있다.

참고문헌

[1] Ivanti, 네트워크 접속 장치 가시성 관련 조사(IT 전문가 38% 가시성 부족).

[2] Microsoft, Digital Defense Report 2024.

[3] Axonius 고객 기반 분석 및 사례(VentureBeat, 2025) — 12.7% 에이전트 미탑재, 대형 기업 커버리지 개선 사례.

[4] Gartner, Cyber Asset Attack Surface Management(CAASM) 정의.