[N2SF&제로 트러스트 인사이트] 위드네트웍스 “취약점 개수보다 악용 가능성에 초점 맞춰야”

7월 3일
2분 분량

“얼마나 많은 취약점 찾아 패치했느냐 아니라 실제 위험 수준 낮췄느냐가 중요” 위드네트웍스, AI 기술 결합 실제 위험 점수(VRS) 활용 취약점 관리 필요 |AI 디펜스에 활용 가능한 신뢰 보안 데이터셋 제공

[데이터넷] “자연어 명령으로 공격이 가능한 시대가 되었다. 특히 연결면이 늘어나고 취약점이 증가하면서 공격은 훨씬 더 쉬워졌다. 모든 공격 가능한 지점을 막는 것 보다, 공격 가능성을 낮추면서 효율적으로 관리하는가가 더 중요해졌다.”

이용 위드네트웍스 상무는 “AI 공격이 가속화되고, 공격표면이 확대되는 현재 보안 환경에 대응할 수 있는 인적 역량과 예산은 극히 제한적이다. 게다가 급증하는 취약점을 자산과 비즈니스 중요도에 따라 우선순위를 정하고 대응하지 못한다. 취약점 조치 책임이 분산되고, 증적 수집 역시 쉽지 않으며, 운영 이력이 단절되어 지속적이고 일관된 취약점 대응이 매우 어려운 상황”이라고 강조했다.

AI 이용 취약점 체이닝, CVSS 중심 관리로 못 막아

이용 상무는 ‘N2SF & 제로 트러스트 인사이트 2026’의 ‘AI 기반 취약점 관리 라이프사이클 체계’ 주제 세션에서 현재 조직이 직면한 취약점 관리 문제를 진단했다.

CVE에 부여되는 심각도 점수(CVSS)는 실제 운영 환경에서의 심각도 수준과 맞지 않는다. 지난해 발생한 취약점 악용 공격의 대부분은 중·저수준 취약점 여러 개를 연결해 이뤄진 것으로, CVSS 점수가 높지 않아 조치 우선순위에서 밀린 것이다. 또한 신규 취약점이 대거 공개된다해도, 실제 공격에 악용되는 취약점의 개수는 많지 않다. 특히 공격자가 AI를 이용한 취약점 체이닝으로 공격을 진행하기 때문에 CVSS를 중심으로 설계된 취약점 관리는 한계가 있다.

이용 상무는 “취약점의 개수나 CVSS 점수가 아니라, 실제로 노출되어 악용 가능한 취약점을 중심으로 관리해야 한다. 또한 섀도우 IT·API의 취약점, 보안 설정이 잘못된 서비스와 장비가 중요한 진입지점이 될 수 있다. 보이는 자산뿐만 아니라 관리되지 않은 자산까지 모두 식별해 연결된 노출 경로를 확인하고 조치해야 한다”며 “얼마나 많은 취약점을 찾아 패치했느냐가 아니라, 실제 위험 수준을 얼마나 낮췄느냐가 중요하다”고 말했다.

이용 상무는 노출 위험 판단을 위해 ▲자산 중요도 ▲외부 노출되어 공격 가능한 지점 ▲악용 가능성 ▲자산 영향도 ▲조치 긴급도 등 다섯 가지 요소를 종합해야 한다고 설명했다. 이렇게 도출된 위험도와 외부 위협정보, AI 분석을 결합한 실제 위험 점수(VRS)를 활용하는 것이 AI 시대의 취약점 관리 방법이라고 설명했다.

이용 상무는 “외부 노출된 자산과 서비스를 식별하고, 그에 영향을 미치는 취약점을 찾으며, 이를 여러 정보와 결합해 심각도를 평가하고, 우선순위를 정해 조치·이행하며, 그 결과를 확인해 개선하며, 이력·증적을 남기는 과정을 거쳐야 실제로 공격표면을 줄이면서 안전한 서비스 운영이 가능하다. 또한 이 모든 과정을 검증하고 조치가 제대로 되었는지 확인하면서 지속적으로 반복·개선해나가야 한다”고 강조했다.

정확하고 정제된 데이터 제공

위드네트웍스의 ‘위드VTM’이 이러한 원칙으로 설계된 통합 플랫폼으로, 모든 데이터를 하나로 연결해 정확한 최신 맥락을 제공하며, VRS 기반 조합 위험 평가로 실제로 작동 가능한 위험부터 조치할 수 있다. 또한 상시 모니터링과 자동화로 지속 가능한 보안운영을 실현할 수 있다. 일관된 데이터 정규화와 AI 디펜스에 활용 가능한 신뢰 보안 데이터셋을 제공해 보안 운영을 더욱 정확하고 지속 가능하도록 만든다.

위드VTM은 취약점, 자산, 위협정보를 단일 대시보드에서 확인할 수 있으며, AI 기반 위험 평가와 운영 자동화를 제공한다. 탐지-운영-증적을 연결한 통합 보안운영 플랫폼으로 복잡한 환경도 단순하면서 정확하게 취약점 우선순위에 따라 대응한다. 또한 기존 보안·IT 도구를 바꾸지 않고 데이터를 연결해 운영 흐름을 통합해 단일 플랫폼에서 관리해 운영 편의성을 높인다.

이용 상무는 “위드VTM은 AI 디펜스를 위한 가장 신뢰할 수 있는 기초 데이터를 제공한다. 정확하고 정제된 데이터를 기반으로 AI 기반 운영의 판단 품질을 강화할 수 있다”며 “N2SF, 제로 트러스트를 위한 효과적이고 효율적인 AI 보안운영을 지원한다”고 말했다.

[김선애 기자(iyamm@datanet.co.kr)]