서론
패치 우선순위는 CVSS 점수만으로 정하기 어렵다. 실제 악용 여부(CISA KEV), 향후 악용 가능성(FIRST EPSS), 외부 노출과 도달 가능성, 업무 영향, 보완 통제를 함께 고려해야 공격자가 실제로 도달할 수 있는 표면을 먼저 줄일 수 있다.
이 글의 P0/P1/P2와 SLO는 조직별 운영 예시다. 개별 CVE의 조치 기한은 CISA KEV 레코드, 벤더 권고, 계약·법규 요건을 우선한다.
본론
왜 노출 기반 우선순위인가
동일한 CVSS라도 인터넷에 노출된 VPN·원격 관리·웹 애플리케이션·메일 및 파일전송 장비의 인증 우회나 원격 코드 실행은 공격자의 초기 접근 비용을 크게 낮춘다. 이미 야생에서 악용된 취약점이거나 신뢰할 수 있는 공격 징후가 있으면, 정기 변경 창보다 먼저 다뤄야 할 수 있다.
반대로 내부 자산도 관리망, ID·인증, 백업·가상화, 보안 관리 서버처럼 침해 이후 확장 경로가 되면 영향도가 높다. 소유자·업무 중요도·도달 경로를 모르는 자산은 저위험으로 분류하지 말고 자산 인벤토리 결손으로 추적해야 한다.
우선순위 결정에 사용할 신호
| 신호 | 확인할 내용 | 운영 원칙 |
|---|---|---|
| 실제 악용 | CISA KEV 등재, 벤더 경고, 신뢰 가능한 침해 징후 | KEV는 CVSS와 별도로 최상위 악용 신호로 취급 |
| 악용 가능성 | FIRST EPSS 확률·백분위 | 향후 30일 내 악용 가능성 모델인 EPSS는 보조 신호로 사용 |
| 노출·도달 가능성 | 인터넷 노출, 인증 우회, 경계 장비, 관리 인터페이스, 세그먼트 | 외부 ASM과 실제 자산·경로를 대조해 확인 |
| 업무 영향·완화 | 기밀성·가용성·복구 비용, 대체 통제, 패치 가능성 | 서비스 중요도와 WAF·격리·기능 비활성화 효과를 함께 평가 |
CISA KEV는 실제 야생 공격에 악용된 취약점 목록이며, 취약점 관리 우선순위 입력값으로 사용할 수 있다. FIRST EPSS는 공개 CVE가 향후 30일 안에 실제 악용될 확률을 산출하는 모델이므로 KEV·자산 노출·업무 영향의 판단을 대체하지 않는다. NIST SP 800-40 Rev.4도 엔터프라이즈 패치 관리를 위험 관리 맥락에서 계획하도록 안내한다.
분류 예시와 조치 목표
| 분류 | 예시 조건 | 운영 예시 |
|---|---|---|
| P0 | KEV + 외부 노출, 또는 외부 노출된 인증 우회/RCE와 신뢰 가능한 공격 징후 | 즉시 소유자 호출, 패치 또는 임시 완화·격리 시작 |
| P1 | 외부 노출 + 높은 EPSS, 또는 중요한 내부 관리 경로의 고위험 취약점 | 정해진 긴급 변경 절차로 조치·검증 |
| P2 | 내부 한정, 강한 분리·낮은 업무 영향이며 악용 신호가 없는 경우 | 정기 변경 창에서 패치, 예외는 기한을 두고 재평가 |
이는 조직의 인력·서비스 구조에 맞춰 조정할 운영 예시다. KEV 레코드, 벤더의 조치 기한 또는 법규가 더 엄격하면 해당 요구사항을 따른다.
가시성 확보 체크리스트
- [ ] CMDB·자산대장, EDR·취약점 스캐너, 클라우드 인벤토리·SBOM을 공통 자산 식별자에 매핑한다.
- [ ] 외부 ASM의 DNS·IP·인증서·서비스 배너를 내부 자산 정보와 정기 대조한다.
- [ ] 새로 발견됐지만 소유자·중요도를 확정하지 못한 외부 자산은 미관리 위험으로 경보화한다.
- [ ] WAF·프록시·VPN·IdP에서 인증 실패 급증, 비정상 URI·명령 인자, 세션·토큰 이상, 권한 상승과 서비스 계정 사용 변화를 상관 분석한다.
- [ ] 패치 미적용 자산은 예외 만료일, 보완 통제, 재스캔 결과를 모두 추적한다. 스캔 성공만으로 패치 완료를 판단하지 않는다.
P0 대응과 검증 절차
- 인터넷 노출을 차단하거나 관리 인터페이스를 제한하고, 벤더 권고에 따라 WAF 규칙·취약 기능 비활성화 등 임시 완화를 적용한다. 침해 징후가 있으면 패치와 별개로 증적 보존·격리·자격증명 교체·범위 조사를 시작한다.
- 변경 전 영향 서비스·의존성·백업과 복구 가능성·롤백 기준을 기록한다. 대표 자산에서 시험 후 단계적으로 배포한다.
- 변경 후 자산 버전·구성을 재수집하고, 인증 및 핵심 업무 합성 테스트, 취약점 재스캔, 외부 노출 재확인을 수행한다.
- 패치를 미룰 때는 사유·소유자·보완 통제·만료일을 승인 기록에 남기고, 만료 시 자동 재평가한다.
성과 측정 지표
패치 완료율만 보지 말고 다음 지표를 함께 본다.
- KEV에 해당하는 외부 노출 자산 수
- 신규 외부 자산의 소유자 확인까지 걸린 시간
- P0 완화까지 걸린 시간
- 만료를 초과한 예외 수
- 재스캔으로 확인된 해소율
이 지표는 작업량이 아니라 공격자가 실제로 도달할 수 있는 표면이 줄고 있는지를 보여 준다.
결론
패치 관리는 설치된 업데이트 수를 높이는 업무가 아니라, 실제 악용 가능성과 공격 경로를 줄이는 위험 관리 활동이다. KEV·EPSS·노출도·업무 영향을 함께 평가하고, 우선 완화한 뒤 재스캔과 외부 노출 확인으로 결과를 검증해야 한다. 자산 소유자와 도달 경로가 불명확한 항목은 낮은 위험이 아니라 해결해야 할 가시성 문제로 관리한다.
참고자료
- CISA, Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- FIRST, Exploit Prediction Scoring System (EPSS). https://www.first.org/epss/
- NIST SP 800-40 Rev.4, Guide to Enterprise Patch Management Planning (2022). https://csrc.nist.gov/pubs/sp/800/40/r4/final
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!