[기고] CVSS 넘어 VRS로 ··· AI 시대 취약점 관리의 새로운 우선순위

API와 취약점의 시대: 제로 트러스트를 넘어서는 보안 운영③ 무기화 가능성·공격 그래프·GNN 기반 결합 VRS 필요 공격경로 차단해 선제적인 위협 예방 필수

이용 위드네트웍스 프로덕트 총괄 상무 이사

[데이터넷] AI의 발전으로 취약점의 발견과 악용 속도가 빨라지면서 기존의 CVSS 중심 취약점 관리만으로는 실제 공격 위험에 효과적으로 대응하기 어려워졌다. 이제는 취약점의 심각도가 아니라 실제 무기화 가능성과 공격 경로를 기준으로 우선순위를 결정해야 한다. 이를 위해 KEV, EPSS, 공개 익스플로잇 정보와 공격 그래프를 결합한 VRS(Vulnerability Risk Score) 기반 접근이 필요하다.<편집자>

<연재순서>

1. 제로 트러스트 이후의 보안: 우리는 이미 내부에 있다

2. 보이지 않는 공격 표면: API와 섀도우 API의 시대

3. 취약점은 예측하고 제거해야 한다: 상시 취약점 관리와 새로운 보안 모델 (이번 호)

앞선 두 번의 연재에서 두 가지 구조적 변화를 확인했다. 첫째, 현장에서 구현된 제로 트러스트는 더 이상 충분한 방어 모델이 아니며, 공격은 취약점을 통해 인증 이후 단계에서 이루어진다. 둘째, 현대 시스템의 자산은 API로 재정의되며, 쉐도우 API의 확산은 우리가 인지하지 못하는 공격 표면을 지속적으로 만들어낸다.

이제 남는 질문은 하나다. 이처럼 빠르게 변화하고 확장되는 환경에서, 우리는 어떤 취약점을 먼저 제거해야 하는가? 이 질문에 대한 답은 생각보다 훨씬 어렵다.

CVSS 중간 등급 취약점 악용 공격 다수 발견

최근 보안 특화 AI 모델이 수십 년간 발견되지 않았던 취약점을 자율적으로 찾아냈다는 보고가 이어지고 있다. AI는 이제 인간이 놓친 공격 표면을 먼저 식별하는 수준에 도달하고 있다. 일례로 미국 국립표준연구소(NIST)는 국가취약점데이터베이스(NVD) 전수 관리를 축소하면서 약 2만9000건의 취약점을 미분류 상태로 남기기로 했다. 이는 모든 취약점을 일일이 따라잡는 방식은 더 이상 성립하지 않는다는 선언이나 다름없다.

대부분의 조직은 공통 취약점 평가 시스템(CVSS) 점수 등 단순한 심각도 분류에 기반해 취약점의 우선순위를 결정한다. 그러나 CVSS는 취약점의 이론적 위험도를 나타낼 뿐, 실제 공격에서 얼마나 빠르게 활용되는지 반영하지 못한다. 동일한 CVSS 점수를 가진 취약점이라도, 하나는 며칠 내에 대규모 공격으로 이어지고, 다른 하나는 수년간 악용되지 않을 수 있다.

미국 사이버보안 및 인프라 보안국(CISA)의 악용된 알려진 취약점 목록(KEV) 카탈로그를 분석해보면 이 현실이 수치로 드러난다. KEV에 등재된 취약점 중 CVSS 기준 ‘중간(Medium)’ 등급에 불과했던 사례가 다수 포함되어 있으며, 역으로 CVSS 크리티컬 등급을 받고도 실제 공격에 활용된 사례가 없는 취약점도 상당수 존재한다. 점수 기반 우선순위 결정이 구조적으로 잘못된 방향을 가리킬 수 있다는 의미다.

무기화 가능성 측정하는 다양한 접근

중요하게 관리해야 할 ‘위험해 보이는 것’이 아니라 ‘실제로 공격으로 전환되는 것’이다. 즉 취약점 관리의 핵심은 심각도 평가가 아니라 무기화 가능성(Weaponization Likelihood)을 예측하는 것이다. 이를 위해서는 먼저 무기화 상태를 정밀하게 측정해야 한다.

현재 활용 가능한 신호 중 가장 많이 사용되는 예는 다음과 같다.

• CISA KEV: 실제 공격에서 악용이 확인된 취약점의 목록. 가장 강력한 무기화 근거

• 익스플로잇 예측 점수 시스템(EPSS): 머신러닝 기반으로 향후 30일 내 익스플로잇 발생 가능성을 확률로 제공

• 메타스플로잇 프레임워크(MSF)·익스플로잇 DB(EDB) 등재 여부: 공격자가 실제로 활용 가능한 자동화된 공격 코드의 존재 여부를 의미

• PoC 코드 공개 여부: 깃허브 등에 공개된 PoC 코드의 존재 여부

• Nuclei 템플릿 포함 여부: 자동화된 취약점 스캐닝 도구인 Nuclei에 해당 취약점을 탐지하는 템플릿이 등록되어 있는지 여부

이 다양한 신호는 서로 다른 공격 단계와 공격자 프로파일을 반영한다. KEV는 이미 국가 수준 또는 조직적 공격에서 활용된 취약점을 포착하고, MSF/EDB는 일반적인 공격자도 접근 가능한 자동화 수준을 나타내며, EPSS는 아직 공격이 확인되지 않은 신규 취약점의 잠재 위험을 사전에 반영한다. 이러한 신호를 결합하면 하나의 취약점이 ‘공격 준비 상태’인지 정량적으로 표현한 ‘무기화 점수(Weaponization Score)’가 구성된다.

구조가 위험도를 어떻게 설명하는가

개별 취약점의 무기화 신호도 충분하지 않다. 취약점은 독립적으로 존재하지 않으며, 그것이 속한 생태계 구조 자체가 위험도에 영향을 미친다. 특정 벤더의 제품군에서 반복적으로 발견되는 취약점은 공격자에게 이미 익숙한 공격 경로를 제공하며, 무기화 속도가 빠른 경향이 있다. 특정 취약점 유형(CWE)이 가지는 구조적 특성, 그리고 취약점들 사이의 관계, 즉 공격 체인에서 어떤 취약점이 어떤 취약점과 연결되는지도 마찬가지다.

CVE 사이의 관계를 그래프로 구조화하면, 각 취약점이 해당 생태계 내에서 가지는 위치가 드러난다. 연결 중심성이 높은 취약점, 즉 많은 다른 취약점과 연결된 위치에 있는 것일수록 공격 체인의 거점이 될 가능성이 높다.

이러한 구조적 정보를 무기화 점수와 통계적으로 연결하면 중요한 사항을 발견할 수 있다. 벤더, 제품, 취약점 유형, 연도와 같은 집단적 특성과 구조적 위치가 설명하는 위험과, 그로도 설명되지 않는 ‘초과 위험’이 드러난다.

같은 벤더의 유사한 제품에서 발생한 취약점임에도 불구하고 유독 빠르게 무기화되는 사례가 있다면, 그 초과분은 즉각적인 주의가 필요한 신호다. 기존의 패턴이나 경험으로는 예측하기 어렵지만, 실제 공격에서는 두드러지게 나타나는 이상 징후이기 때문이다.

신규 CVE에 대한 사전 예측: 귀납적 학습

초과 위험 신호는 표준화 과정을 거쳐 0과 1 사이의 연속형 레이블로 변환되고, 이것이 그래프 신경망(GNN)의 학습 목표가 된다. GNN은 여러 취약점과 자산이 연결된 공격 그래프 위에서, 실제 침투로 이어지기 쉬운 경로와 거점 노드를 추정, 예측하는 역할을 한다. 전통적인 규칙 기반 접근과 달리, 과거 무기화 데이터와 구조 정보를 함께 학습해 고위험 경로와 노드를 표현 학습 방식으로 찾아낸다.

이때 모델이 학습하는 특징은 CVSS 점수, 취약점 설명 등 순수하게 취약점 자체에서 도출되는 신호로만 구성된다. 무기화 여부나 구조적 위치 정보는 레이블에만 반영되고 특징에는 포함되지 않는다. 이는 모델이 미래 데이터에 오염되지 않도록 하기 위한 설계 원칙이다.

이 설계를 통해 모델은 무기화가 확인된 과거 취약점에서 관찰된 패턴을 학습하면서, 아직 무기화 신호가 없는 신규 CVE에 대해서도 공격 그래프 문맥을 고려해 귀납적으로 위험도를 예측할 수 있다. GNN의 출력은 0~100점 척도로 표준화되어, 보안 담당자가 직관적으로 이해할 수 있는 운영용 위험 점수로 제공된다.

운영 관점: 상시 관리 체계로의 전환

이 모델을 운영 관점에서 해석해보자. 기존의 취약점 관리 체계는 대체로 일정 주기로 점검을 수행하고, 발견된 취약점을 목록화하며, 심각도에 따라 순서를 정해 패치를 진행한다. 이 방식은 세 가지 한계를 가진다. 점검 주기 사이에 발생하는 취약점을 포착하지 못하고, 우선순위가 실제 공격 가능성과 일치하지 않으며, 대응 속도가 공격 속도를 따라가지 못한다.

무기화 가능성 기반 모델을 적용하면 운영 방식 자체가 달라진다. 취약점은 발견되는 즉시 무기화 점수가 산출되고, 구조적 초과 위험이 식별되며, 최종 점수에 따라 자동으로 우선순위가 결정된다. 새로운 익스플로잇 코드가 공개되면 KEV·EPSS 신호가 갱신되고, 이는 즉시 무기화 점수와 최종 위험도에 반영된다. 반대로 패치가 적용되거나 외부 노출이 차단되면 위험도는 즉시 감소한다. 이 과정은 단발성 분석이 아니라, 새로운 정보가 유입될 때마다 지속적으로 갱신되는 동적 파이프라인이다. 결국 취약점 관리의 라이프사이클은 ‘발견 → 무기화 점수 산출 → 구조적 분석 → GNN 예측 → 조치 → 재평가’의 연속적인 루프로 재구성된다.

GNN은 단순한 스코어링을 넘어 네트워크 단 대응의 트리거가 된다. GNN은 여러 취약점과 자산이 연결된 공격 그래프 위에서, 실제 침투로 이어질 가능성이 높은 경로와 거점 노드를 예측한다. 이 정보를 제로 트러스트, SDN 기반 정책 엔진과 결합하면, 고위험 경로에 위치한 워크로드를 네트워크 레벨에서 자동으로 세그멘트·격리해 공격 진행 자체를 차단하는 구조를 만들 수 있다.

예를 들어, 특정 API 서버가 공격 그래프 상에서 핵심 거점 노드로 평가되고, 동시에 KEV 등재 취약점에 대한 무기화 점수가 임계값을 넘으면, 정책 엔진은 해당 서버를 마이크로세그멘테이션 기반 격리 존으로 이동시키고 외부 및 인접 서비스와의 통신을 최소한의 관리 채널만 남기고 차단할 수 있다. 단순 차단을 넘어, 공격자의 수평 이동을 즉시 막으면서도 서비스 전체를 중단시키지 않는 정교한 방어다.

취약점 관리의 우선순위는 ‘취약점이 몇 개 있느냐’가 아니라, 그 취약점이 라이프사이클의 어느 단계에 와 있는지, 외부로 얼마나 노출돼 있는지에 따라 결정돼야 한다. 외부에 노출된 취약점이 얼마나 오래 방치되어 있는지가 곧 조직의 실질적인 위험을 가늠하는 기준이 된다. 이를 제대로 관리하려면 어떤 취약점이 외부로 노출돼 있는지부터 확인하고, 누가 어떤 조치를 했는지, 실제로 마무리됐는지, 그 증적이 남는지까지 추적할 수 있어야 한다. 그래야만 라이프사이클 전체에서 위험 감소 효과를 객관적으로 평가할 수 있다.

실무 우선순위: 무엇을 지금 당장 막아야 하는가

이 파이프라인이 작동하더라도 현실적인 제약은 존재한다. 모든 조직이 동일한 출발점에 있지 않기 때문이다.

보안 특화 AI 모델에 접근할 수 있는 조직이라면, 해당 모델이 직접 식별한 취약점을 최우선 조치 대상으로 분류해야 한다. 실제 악용 가능성이 극도로 높다고 판단되는 취약점들이기 때문이다. 그 다음으로는 Nuclei, OpenVAS, 자체 스캐너 등으로 실제 시스템에서 검출된 취약점이 뒤를 잇는다. 즉, AI 모델과 스캐너가 현실 시스템 위에서 발견한 취약점이 1차 골든 리스트를 구성하고, VRS(Vulnerability Risk Score)는 여기에 KEV, EPSS, 공격 코드 신호와 구조 정보를 결합해 세밀한 우선순위를 재조정하는 역할을 한다. AI 모델과 스캐너가 ‘어떤 취약점이 문제인가’를 빠르게 알려준다면, VRS는 ‘그중 무엇을 지금 당장 막아야 하는가’를 데이터 기반으로 답한다.

보안 특화 AI 모델에 접근하기 어려운 조직이라면, Nuclei, OpenVAS, 자체 스캐너로 검출된 취약점을 최우선 리스트로 삼고, KEV, EPSS, 공격 코드 신호와 구조 정보를 결합해 위험도를 재정렬하는 전략이 현실적인 출발점이다.

정책 전환과 운영 지표

이제 시선을 정책과 의사결정의 영역으로 확장해보자. 많은 조직에서 보안은 여전히 비용 중심으로 인식되며, 컴플라이언스 요구사항을 충족하는 수준에서 운영된다. 그러나 취약점은 단순한 기술적 결함이 아니라, 즉시 악용 가능한 경영 리스크다. 취약점 관리는 '주기적 점검'이 아니라 '상시 운영 체계'로 정의되어야 하고, 자산 관리의 범위는 API까지 확장되어야 하며, 우선순위 기준은 CVSS 같은 정적 지표에서 KEV, EPSS, MSF 등 실제 공격 가능성을 반영하는 동적 지표로 전환되어야 한다.

조직 차원의 운영 지표도 달라져야 한다. 고위험 취약점의 평균 노출 시간(MTTR), KEV 등재 취약점의 즉시 대응률, 자동화된 탐지 및 우선순위 결정 비율은 단순한 보안 성숙도를 넘어 조직의 실제 위험 수준을 반영한다. 이 지표들은 경영진의 의사결정과 직접 연결되어야 하며, 보안 투자 우선순위를 결정하는 기준이 되어야 한다.

NIST NVD가 전수 관리 체계를 축소한 상황에서, 한국 역시 외부 데이터베이스에만 의존할 수 없다. KEV 등 실제 악용 취약점을 중심으로 한 독자적 워크플로 전환이 시급하다. 최근 논의되는 국가 핵심 인프라 자산 인벤토리, SBOM 확보, AI 기반 SOC, 국가 AI 보안센터 구상은 방향이 같다. 국가 차원에서도 상시 취약점 관리와 공격 경로 기반 분석, AI 기반 대응 체계를 결합한 인프라 구축이 필요하다.

취약점은 사라지지 않는다. 그리고 공격은 점점 더 빨라진다. 이 환경에서 유일하게 통제 가능한 변수는 취약점 제거 속도이며, 그 속도를 결정하는 것은 이제 사람의 직관이 아니라 무기화 측정, 구조적 위험 분리, 그래프 기반 예측으로 구성된 상시 파이프라인이다. 우리가 제안한 공격 그래프, GNN, 제로 트러스트/SDN 결합 모델은 ‘취약점 하나씩 찾아 막는 방식’에서 ‘공격 경로 자체를 차단하는 구조’로의 전환을 계량적, 운영적 수준에서 구현하기 위한 하나의 답안이다.

---

원문 보기

데이터넷