CVSS 점수 기반 패치 대기열 정렬 중단: 익스플로잇 증거가 우선순위를 결정해야 합니다.

(dev.to)

보안 패치 우선순위를 결정할 때 취약점의 심각도(CVSS)가 아닌 실제 공격 여부(Exploitation Evidence)를 기준으로 삼아야 한다는 분석으로, 자원 낭비를 줄이고 실질적 보안 위협에 대응하기 위한 전략적 전환을 촉구합니다.

이 글의 핵심 포인트

12025년 신규 CVE 발표 건수는 48,000건을 넘어섰으며, 2020~2025년 사이 제출량은 263% 급증함
2전체 CVE 중 실제 공격에 활용되는 취약점은 약 5%에 불과함
3CVSS 7.0 이상을 모두 패치하는 전략은 전체의 57.4%를 처리해야 하지만, 실제 공격의 82.2%만 방어할 수 있음
4최근 보안 사고의 주요 침투 경로인 취약점 공격 비중이 31%로 증가하며 역대 최고치를 기록함
5공격자들은 취약점이 공개되기도 전에 이미 공격을 시작하는 '마이너스 시간(Negative time-to-exploit)' 현상을 보임

이 글에 대한 공공지능 분석

왜 중요한가?

보안 운영의 효율성이 한계에 도달했기 때문입니다. 폭증하는 CVE 수에 비해 실제 공격에 활용되는 비율은 매우 낮아, 기존 방식대로 모든 고위험군을 패치하는 것은 막대한 운영 비용과 서비스 중단 리스크를 초래합니다.

어떤 배경과 맥락이 있나?

CVSS는 취약점의 기술적 심각도만 나타낼 뿐 실제 공격 가능성을 예측하지 못합니다. 최근 NIST와 NVD조차 공격 증거가 있는 취약점을 우선적으로 관리하기 시작하며, 패치 전략의 패러다임이 '심각도'에서 '위협 중심'으로 이동하고 있습니다.

업계에 어떤 영향을 주나?

보안 솔루션 및 인프라 운영 기업들은 단순 알림 기능을 넘어 실제 공격 데이터를 결합한 지능형 우선순위 도구를 개발해야 합니다. 취약점 관리(Vulnerability Management) 시장의 핵심 경쟁력은 '얼마나 많은 취약점을 찾느냐'가 아니라 '어떤 것을 먼저 처리해야 하는지 알려주느냐'로 재편될 것입니다.

한국 시장에 어떤 시사점이 있나?

보안 규제 준수(Compliance)를 위해 관성적으로 CVSS 기반 패치 주기를 따르던 국내 기업들은 자칫 실질적인 침해 사고에 무방비해질 수 있습니다. 컴플라이언스 달성을 넘어 실제 공격 데이터 기반의 리스크 관리 역량을 확보하는 것이 중요합니다.

이 글에 대한 큐레이터 의견

보안 운영자에게 '패치할 목록'을 획기적으로 줄여준다는 점은 매우 매력적인 제안입니다. 특히 인력이 부족한 스타트업이나 클라우드 네이티브 환경에서는 불필요한 패치 작업으로 인한 서비스 중단 리스크를 최소화하면서도 핵심 위협을 방어할 수 있는 실용적인 전략입니다.

하지만 이 방식에는 '지연된 지표(Lagging Indicator)'라는 치명적인 트레이드오프가 존재합니다. 공격 증거가 확인된 시점에는 이미 시스템이 침해되었을 가능성이 높기 때문입니다. 따라서 창업자와 엔지니어는 단순히 CVSS를 버리는 것이 아니라, 신규 취약점의 잠재적 위험과 실제 공격 데이터를 결합한 하이브리드 모델을 구축하여 '선제적 방어'와 '효율적 대응' 사이의 균형을 잡아야 합니다.

원문 보기 →