지난 글에서는 CVSS 점수만으로는 실제 위험도를 판단하기 어렵다는 점과, EPSS, CISA KEV, 자산 중요도, 인터넷 노출 여부 등을 함께 고려하는 리스크 기반 취약점 우선순위 선정(Risk-Based Vulnerability Prioritization) 의 중요성을 살펴보았습니다.
하지만 우선순위를 결정하는 것만으로는 취약점 관리가 완성되지 않습니다. 실제 운영 환경에서는 '패치를 언제 적용할 것인가'가 또 다른 과제가 됩니다. 특히 금융, 제조, 통신, 의료와 같이 서비스 중단이 어려운 시스템에서는 보안 패치의 필요성을 알고 있으면서도 유지보수 시간을 확보하지 못해 패치를 미루는 경우가 적지 않습니다. 이러한 상황이 반복되면 이미 위험성이 확인된 취약점이 장기간 운영 환경에 남게 되고, 조직은 불필요한 보안 위험을 계속 안고 운영하게 됩니다.
패치를 미루는 이유는 기술적인 어려움 때문만은 아닙니다. 서비스 중단으로 인한 비즈니스 영향, 운영 일정, 변경 관리 절차 등 다양한 운영 요소가 함께 고려되어야 하기 때문입니다. 이 때문에 최근에는 '취약점을 얼마나 많이 발견했는가보다 얼마나 빠르게 안전하게 조치할 수 있는가'가 취약점 관리의 중요한 평가 기준으로 자리 잡고 있습니다.
이러한 배경에서 주목받고 있는 기술이 '라이브 패칭(Live Patching)' 입니다. 라이브 패칭은 실행 중인 Linux 커널에 보안 패치를 적용하는 기술로, 시스템을 재부팅하지 않고도 보안 업데이트를 적용할 수 있습니다. 서비스 중단을 최소화하면서 취약점을 해결할 수 있기 때문에 24시간 운영되는 환경이나 유지보수 시간이 제한적인 시스템에서 효과적인 대안으로 활용되고 있습니다.
이번 글에서는 운영 환경에서 패치가 지연되는 이유를 살펴보고, 라이브 패칭이 이러한 문제를 어떻게 해결하는지, 그리고 리스크 기반 취약점 관리 체계에서 어떤 역할을 하는지 자세히 알아보겠습니다.
---
패치 관리의 가장 큰 과제, 다운타임
취약점의 우선순위를 결정했다고 해서 모든 문제가 해결되는 것은 아닙니다.
실제 운영 환경에서는 언제 패치를 적용할 것인가가 또 다른 과제가 됩니다. 특히 금융, 제조, 통신, 의료와 같이 24시간 서비스를 제공하는 환경에서는 유지보수를 위한 서비스 중단 자체가 쉽지 않습니다. 이러한 이유로 패치 일정이 반복적으로 연기되고, 이미 위험성을 알고 있는 취약점이 장기간 운영 환경에 남아 있는 경우도 적지 않습니다.
많은 조직이 패치를 미루는 이유는 기술적인 어려움보다 운영 중단에 대한 부담 때문입니다.
라이브 패칭이 새로운 대안으로 주목받는 이유
이러한 문제를 해결하기 위한 방법 가운데 하나가 라이브 패칭(Live Patching) 입니다. 라이브 패칭은 실행 중인 Linux 커널에 보안 패치를 적용하는 기술로, 시스템을 재부팅하지 않고도 보안 업데이트를 적용할 수 있습니다. 서비스를 중단하지 않아도 되기 때문에 유지보수 시간을 확보하기 어려운 환경에서 효과적인 대안이 될 수 있으며, 보안과 서비스 연속성을 함께 확보할 수 있다는 장점이 있습니다.
또한 라이브 패칭은 취약점 관리 프로세스와도 자연스럽게 연결됩니다. 리스크 기반 우선순위 선정을 통해 먼저 대응해야 할 취약점을 식별하고, 운영 중단이 어려운 시스템에는 라이브 패칭을 적용하면 위험을 보다 빠르게 줄일 수 있습니다. 즉, 취약점 관리가 무엇을 먼저 해결할 것인가를 결정하는 과정이라면, 라이브 패칭은 그 결정을 운영 환경에서 현실적으로 실행할 수 있도록 지원하는 기술이라고 할 수 있습니다.
리스크 기반 취약점 관리를 위한 솔루션 선택
리스크 기반 취약점 관리 체계를 구축하기 위해서는 조직의 운영 환경에 적합한 솔루션을 선택하는 것도 중요합니다. 대부분의 취약점 관리 솔루션은 취약점을 탐지하고 우선순위를 제시하는 기능을 제공하지만, 위험도를 평가하는 방식과 제공하는 기능에는 차이가 있습니다.
대표적인 솔루션의 특징은 다음과 같습니다.
| 솔루션 | 적합한 환경 | 주요 특징 |
| TuxCare Radar | Linux 서버 및 라이브 패칭 환경 | 백포팅(Backport)과 라이브 패치 적용 여부를 인식하여 오탐(False Positive)을 줄이고, CVSS와 실제 운영 상태를 함께 고려한 위험도 평가를 제공합니다. |
| Rapid7 InsightVM | 다양한 IT 인프라를 운영하는 기업 | Active Risk 기반의 위험도 분석과 자산 관리 기능을 제공하며, 패치 관리 솔루션과 연계하여 활용할 수 있습니다. |
| Tenable Vulnerability Management |
IT·OT 환경을 함께 운영하는 조직 | VPR(Vulnerability Priority Rating)을 활용하여 위협 인텔리전스와 자산 정보를 종합적으로 분석합니다. |
취약점 관리 솔루션을 선택할 때는 단순히 얼마나 많은 취약점을 탐지하는지보다 실제 운영 환경을 얼마나 정확하게 반영하는지를 함께 살펴보는 것이 중요합니다.
특히 Linux 환경에서는 배포판의 백포팅 정책과 라이브 패치 적용 여부를 정확하게 인식하지 못하면 이미 해결된 취약점까지 계속 탐지하는 오탐이 발생할 수 있습니다. 이러한 오탐은 보안팀의 업무 부담을 증가시키고, 실제 대응이 필요한 취약점을 식별하는 데에도 영향을 미칠 수 있습니다.
따라서 취약점 관리 솔루션은 탐지 정확도, 위험도 평가 방식, 운영 환경과의 연계성, 패치 적용 상태 확인 기능 등을 종합적으로 고려하여 선택하는 것이 바람직합니다.
마치며
취약점 관리의 목적은 가능한 많은 취약점을 발견하는 것이 아닙니다. 조직의 운영 환경과 비즈니스 특성을 고려하여 실제 위험을 효과적으로 줄이는 것이 궁극적인 목표입니다.
이를 위해서는 CVSS 점수를 출발점으로 활용하되, EPSS, CISA KEV, 자산 중요도, 인터넷 노출 여부, 비즈니스 영향도와 같은 요소를 함께 고려하는 리스크 기반 접근 방식이 필요합니다. 이러한 정보가 결합되어야 제한된 시간과 인력 안에서도 우선적으로 대응해야 하는 취약점을 식별할 수 있습니다.
또한 우선순위를 결정한 이후에는 이를 실제 운영 환경에서 실행할 수 있는 패치 전략이 뒷받침되어야 합니다. 서비스 중단이 어려운 환경에서는 라이브 패칭과 같은 운영 방식을 함께 검토하면 보안 수준을 유지하면서도 서비스 연속성을 확보하는 데 도움이 됩니다.
취약점 관리는 단발성 프로젝트가 아니라 지속적으로 반복되는 운영 프로세스입니다. 자산을 식별하고, 취약점을 탐지하며, 위험도를 평가하고, 우선순위를 결정한 뒤 조치 결과를 다시 검증하는 과정이 꾸준히 반복될 때 비로소 조직의 보안 수준을 지속적으로 향상시킬 수 있습니다.
결국 효과적인 취약점 관리는 더 많은 취약점을 찾는 것보다 더 중요한 취약점을 먼저 해결하는 것에서 시작됩니다. 리스크 기반 취약점 우선순위 선정 체계를 구축하면 제한된 자원을 보다 효율적으로 활용하면서도 실제 보안 위험을 지속적으로 줄여 나갈 수 있습니다.
원문 출처:
https://tuxcare.com/blog/vulnerability-assessment/
https://tuxcare.com/blog/vulnerability-prioritization/
https://tuxcare.com/blog/vulnerability-patching/
참고 링크:
