수많은 CVE 취약점 중 우선순위를 매길 때는 단순 CVSS 점수보다 실제 공격자 이용 여부(KEV), 자산 중요도, 인터넷 노출도라는 세 가지 컨텍스트를 결합해야 한다. 패치가 불가능한 레거시 시스템에는 네트워크 분리, 가상 패치, 세그먼테이션 같은 보상 통제(Compensating Controls)를 적용하고, 정책적 예외 승인 프로세스로 리스크를 관리해야 한다.
현대 보안 운영팀(SOC)과 CISO의 가장 큰 과제는 매일 쏟아지는 취약점 공지 속에서 실질적인 위협을 가려내는 일이다. CVSS(Common Vulnerability Scoring System) 점수만 높다고 즉시 패치하면 운영 효율이 떨어지고, 정작 실제 공격에 쓰이는 치명적인 취약점을 놓칠 수 있다. 최신 보안 전략은 이제 단순 취약점 관리를 넘어 공격 표면 전체를 다루는 노출 관리(Exposure Management)로 확장되고 있다.
취약점 우선순위 결정 및 노출 관리(Exposure Management) 기준
효과적인 취약점 관리를 위해선 CVE의 기술적 심각도와 실제 환경 위험도를 구별할 줄 알아야 한다. 많은 조직이 CVSS 점수만으로 패치 순서를 정하는 오류를 범하곤 하는데, 이는 실제 공격 경로와 맞지 않을 때가 많다. 최근엔 공격자 이용(AEP, Adversary Exploitation Potential)을 기반으로 우선순위를 정하는 방식으로 옮겨가고 있고, 이를 위해 SSVC(Stakeholder-Specific Vulnerability Categorization), EPSS(Exploit Prediction Scoring System), KEV(Known Exploited Vulnerabilities) 같은 전문 프레임워크 도입이 빨라지고 있다.
가장 먼저 따져봐야 할 기준은 실제 이용 가능성(Exploitability)이다. CISA KEV 카탈로그처럼 실제 공격에 쓰인 것으로 확인된 CVE인지, 아니면 벤더 보안 권고문에서 즉각적인 공격 가능성을 경고했는지 먼저 확인해야 한다. 여기에 내부 자산 컨텍스트까지 더해야 한다. 해당 취약점을 가진 자산이 인터넷에 직접 노출돼 있는지, 핵심 업무 프로세스와 연결된 중요 자산(Criticality)인지, 그리고 데이터 가치가 어느 정도인지 종합적으로 판단해 우선순위를 매겨야 한다.
우선순위 산정 과정을 수동으로 하면 시차가 생겨 공격자에 틈을 준다. 외부 위협 인텔리전스 피드와 내부 자산 인벤토리를 매일 또는 매주 단위로 동기화하고, 산정된 우선순위가 패치 티켓과 워크플로우에 자동으로 연계되도록 자동화 체계를 구축해야 한다. 이렇게 분석부터 조치까지 리드 타임을 줄여야 공격 표면을 빠르게 줄일 수 있다.
패치 불가 레거시 시스템 보안 관리 전략
OT(운영 기술)나 ICS(산업 제어 시스템) 환경, 혹은 EOS(End of Service) 상태의 레거시 시스템은 기술적으로 패치가 불가능하거나 패치 적용 시 서비스 중단 위험이 커 일반적인 취약점 관리 프로세스를 적용하기 어렵다. 이런 자산은 패치라는 직접 해결책 대신, 리스크를 수용 가능한 수준으로 낮추는 보상 통제(Compensating Controls) 전략을 세워야 한다.
가장 핵심 대응책은 네트워크 분리와 세그먼테이션이다. 레거시 시스템을 별도의 격리된 네트워크 구역에 두고, 엄격한 ACL(Access Control List)을 적용해 허용된 통신만 통과시켜 공격자의 측면 이동(Lateral Movement)을 막아야 한다. WAF(웹 방화벽), IDPS(침입 탐지 및 방어 시스템), RASP(런타임 애플리케이션 자가 보호) 등을 활용한 가상 패치(Virtual Patching)를 적용해 취약점을 직접 수정하지 않고도 공격 시도를 네트워크 단에서 차단하는 방식을 운영해야 한다.
기술적 통제와 더불어 거버넌스 차원의 프로세스 구축도 병행해야 한다. 패치가 불가능한 자산은 명확한 정책적 예외 승인 프로세스를 통해 누가, 왜, 언제까지 이 리스크를 수용하는지 기록하고 관리해야 한다. 또 레거시 시스템 사용자 및 서비스 계정을 최소한으로 유지하고, 다요소 인증(MFA) 같은 강력한 인증 체계를 도입해 모니터링을 강화해야 한다. 특히 레거시 운영 트래픽 베이스라인을 설정하고 이를 벗어나는 이상 징후 감지 규칙을 강화해, 사고 발생 시 즉각 대응할 수 있는 전용 플레이북을 미리 준비해 두는 것이 중요하다.
| 관리 대상 | 우선순위 결정 기준 | 주요 대응 전략 | 핵심 관리 지표 |
|---|---|---|---|
| 최신/범용 자산 | KEV, EPSS, 인터넷 노출도, 자산 가치 | 신속한 보안 패치 및 업데이트 | 패치 완료 시간(MTTR), 패치 성공률 |
| 레거시/EOS 자산 | 비즈니스 영향도, 보상 통제 유효성 | 네트워크 분리, 가상 패치, 세그먼테이션 | 보상 통제 검증 주기, 예외 승인 만료일 |
| OT/ICS 자산 | 공정 영향도, 물리적 안전 위험 | 에어갭(Air-gap), 전용 방화벽, 프로토콜 필터링 | 비정상 트래픽 탐지 건수, 가용성 유지율 |
Exposure Management 구현 및 자동화 단계
단순 취약점 스캔을 넘어 통합적인 노출 관리(Exposure Management)를 구현하려면 다음과 같은 단계적 접근이 필요하다.
- 전수 자산 인벤토리 구축 및 가시성 확보: 섀도우 IT를 포함하여 조직 내의 모든 하드웨어, 소프트웨어, 클라우드 자산을 식별하고 최신 상태로 유지한다.
- 위협 컨텍스트 결합: CISA KEV, 벤더 보안 권고, 위협 인텔리전스 피드를 통합하여 각 CVE가 실제 환경에서 얼마나 위험한지를 정량화한다.
- 우선순위 모델 자동화: CVSS 점수가 아닌, 앞서 언급한 이용 가능성과 영향도, 자산 중요도를 결합한 자체 우선순위 스코어링 모델을 설계하고 이를 자동화 도구에 반영한다.
- 조치 워크플로우 연계: 결정된 우선순위에 따라 패치 관리 시스템(PMS)이나 IT 서비스 관리(ITSM) 티켓팅 시스템과 연동하여 담당자에게 즉시 할당한다.
- 검증 및 지속적 모니터링: 패치 적용 후 취약점이 실제로 해결되었는지 재스캔을 통해 검증하고, 보상 통제가 적용된 레거시 자산의 경우 통제 유효성을 주기적으로 테스트한다.
이 과정에서 가장 주의해야 할 점은 우선순위 드리프트(Priority Drift) 현상이다. 위협 환경은 실시간으로 변해 어제 우선순위가 낮았던 취약점도 오늘 새로운 익스플로잇 코드가 공개되면 최상위 위험으로 뛰어오를 수 있다. 산정 기준이 바뀔 때마다 팀 전체에 공유하고 워크플로우에 즉시 반영하는 동적 관리 체계가 필요한 이유다.
취약점 관리 성공 지표와 모니터링
보안 운영 성과를 측정할 땐 단순히 패치한 CVE 개수를 세는 대신, 실질적인 리스크 감소량을 측정해야 한다. 가장 유효한 지표는 평균 조치 시간(MTTR, Mean Time to Remediate)으로, 특히 KEV에 포함된 치명적 취약점에 얼마나 빨리 대응했는지 구분해서 측정해야 한다.
또 레거시 시스템에 적용된 보상 통제의 유효성을 검증하는 지표를 운영해야 한다. 예를 들어 가상 패치가 적용된 WAF 정책이 실제 공격 시도를 몇 건이나 차단했는지, 세그먼테이션 정책으로 비정상 접근 시도가 얼마나 차단됐는지 모니터링해 기술적 통제의 실효성을 입증해야 한다. 기술적 통제만으론 부족하므로 정책적 예외 승인 프로세스 준수율과 주기적인 재평가 수행 여부를 관리 지표에 포함시켜, 프로세스와 기술이 결합된 통합 리스크 관리 체계를 완성해야 한다.
현대의 취약점 관리는 모든 구멍을 막는 게 아니라 가장 위험한 구멍부터 효율적으로 막는 전략적 선택 과정이다. CVE 우선순위를 결정할 때 실제 공격 이용 여부와 자산 컨텍스트를 결합하고, 패치가 불가능한 레거시 자산엔 강력한 보상 통제를 적용하는 것이 최선이다. 지금 우리 조직의 취약점 관리 프로세스가 단순 CVSS 점수에 의존하고 있지는 않은지 점검하고, 실질적인 노출 관리 체계로 전환해 보안 공백을 최소화하자.