CISA가 던진 메시지: CVSS를 넘어 실제 위험으로

미국 사이버보안 및 인프라보호국(CISA)이 최근 발표한 새로운 취약점 조치(Remediation) 체계는 사이버보안 분야에서 중요한 패러다임 전환을 보여준다. 과거 수년간 취약점 관리는 CVSS(Common Vulnerability Scoring System) 점수를 중심으로 이루어졌다. 그러나 최근 CISA는 단순 점수 중심 접근에서 벗어나 실제 공격 가능성과 현실적 위험도를 중심으로 한 새로운 체계를 제시했다.

우선순위를 정하는 네 가지 질문

CISA가 공개한 의사결정 도표를 보면 취약점의 조치 우선순위는 네 가지 질문에 의해 결정된다.

첫째, 해당 시스템이 인터넷에 직접 노출되어 있는가(Publicly Exposed). 둘째, 해당 취약점이 이미 실제 공격에 악용되고 있는 취약점 목록(KEV, Known Exploited Vulnerabilities)에 포함되어 있는가. 셋째, 공격자가 자동화 도구를 활용해 대규모 공격을 수행할 수 있는가(Automatable). 넷째, 공격 성공 시 시스템 장악이나 권한 탈취와 같은 중대한 기술적 영향이 발생하는가(Technical Impact) 등이다.

“CVSS 9.8이면 무조건 위험하다”와 무엇이 다른가

이는 기존의 “CVSS 9.8이면 무조건 위험하다”는 점수중심적 접근과는 상당히 다르다. CVSS 점수가 높더라도 실제 공격 사례가 없고 외부에 노출되지 않은 내부 시스템이라면 상대적으로 우선순위가 낮아질 수 있다. 반대로 점수가 다소 낮더라도 이미 공격자들이 활발히 악용하고 있고 인터넷에 노출된 시스템이라면 최우선 대응 대상이 된다.

결국 CISA가 강조하는 것은 취약점 자체의 심각도가 아니다. “공격 가능성(Exploitability)“과 “노출도(Exposure)”, 그리고 “실제 피해 가능성(Impact)“이다. 다시 말해 취약점 관리의 기준이 기술적 점수에서 운영 위험(Risk) 기반으로 이동하고 있는 것이다.

AI 시대에 더욱 커지는 의미

이러한 변화는 AI 시대에 더욱 의미가 크다. 최근 공격자들은 생성형 AI와 자동화 도구를 활용해 취약점 분석, 익스플로잇 개발, 공격 대상을 식별하는 시간을 획기적으로 단축하고 있다. 과거 수주 또는 수개월이 걸리던 공격 준비 과정이 이제는 수시간 또는 수일 내에 가능해지고 있다. 따라서 모든 취약점을 동일하게 관리하는 방식으로는 급증하는 위협을 감당하기 어려워지고 있다.

’3일 이내 조치’가 실제로 요구하는 것

이러한 문제의식 속에서 가장 눈에 띄는 변화는 일부 고위험 취약점에 대해 ’3일 이내 조치’라는 매우 공격적인 목표가 제시되었다는 점이다. 물론 모든 취약점을 3일 안에 패치하라는 의미는 아니다. 인터넷에 노출되어 있고, 실제 공격이 확인되었으며, 자동화 공격이 가능하고, 시스템 장악까지 가능한 일부 취약점에 한정된 기준이다.

현실적으로 보면 3일 내 패치는 결코 쉬운 일이 아니다. 금융권의 핵심 시스템, 통신망, 발전소와 같은 중요 인프라는 충분한 검증 없이 패치를 적용하기 어렵다. 국내 공공기관과 기업들 역시 자산 파악, 영향도 분석, 테스트 환경 구축 등의 문제로 인해 단기간 대응이 쉽지 않은 경우가 많다.

그러나 CISA의 진짜 메시지는 “무조건 3일 안에 패치하라”는 것이 아니다. 오히려 “가장 위험한 취약점은 3일 안에 조치할 수 있을 정도의 가시성과 자동화 역량을 갖추라”는 요구에 가깝다. 다시 말해 패치 속도 자체보다 패치 우선순위를 신속하게 결정할 수 있는 능력이 중요해지고 있다는 의미다.

한국의 CVD·VDP 정책에 주는 시사점

이러한 변화는 최근 우리나라에서 논의되고 있는 CVD(Coordinated Vulnerability Disclosure)와 VDP(Vulnerability Disclosure Program) 정책에도 중요한 시사점을 제공한다. 현재 국내 논의는 주로 취약점 신고 활성화와 법적 면책 체계 구축에 초점이 맞춰져 있다. 이는 매우 중요한 출발점이다.

그러나 취약점 신고가 활성화될수록 또 다른 문제가 등장한다. 접수되는 수많은 취약점 중 무엇을 먼저 처리해야 하는가 하는 문제다. 결국 CVD와 VDP의 성공 여부는 얼마나 많은 취약점을 신고받았는지가 아니라, 신고된 취약점 중 실제 위험한 취약점을 얼마나 빨리 식별하고 대응할 수 있는가에 달려 있다.

따라서 한국의 CVD·VDP 정책도 단순한 신고제도를 넘어 위험 기반 취약점 관리(Risk-Based Vulnerability Management) 체계와 연계될 필요가 있다. 자산 관리, 인터넷 노출 여부 파악, KEV 정보 연계, 공격 가능성 평가, 우선순위 자동화, 조치 이행 추적까지 연결되는 종합적인 취약점 관리 체계가 필요하다. 취약점을 얼마나 많이 발견했는가가 아니라, 실제 위험한 취약점을 얼마나 빨리 식별하고 대응할 수 있는가가 사이버보안의 새로운 경쟁력이 되고 있기 때문이다.

출처: vulncheck.com/blog/cisa-bod-26-04