취약점
포스팅 뷰30
취약점(Vulnerability)이란 무엇일까요?
- 정의 — 시스템·소프트웨어·설정·절차에 존재하는 약점으로, 공격자가 악용하면 침입이나 피해로 이어지는 지점입니다.
- 핵심 구분 — 취약점 ≠ 위협 ≠ 리스크. 취약점은 우리 안의 약점이고, 위협은 밖의 공격자이며, 둘이 만나 자산에 닿을 때 리스크가 됩니다.
- 관리 기준 — CVE는 이름표, CVSS는 심각도 점수입니다. 점수만 보고 순서를 정하면 안 되고 실제 악용 여부를 함께 봐야 합니다.
취약점이란 공격자가 악용할 수 있는 시스템의 결함이나 약점을 말하며, 식별자(CVE)와 심각도 점수(CVSS)로 관리합니다.
취약점이란?
취약점(Vulnerability)은 공격자가 파고들 수 있는 시스템의 약한 지점입니다. 흔히 소프트웨어 버그만 떠올리지만 범위는 훨씬 넓습니다. 바꾸지 않은 기본 비밀번호, 필요 이상으로 열려 있는 포트와 권한, 지원이 끝난 구형 운영체제, 퇴사자 계정을 방치하는 절차의 공백까지 모두 취약점입니다.
중요한 것은 취약점 자체가 곧 피해는 아니라는 점입니다. 창문이 잠기지 않았다고 반드시 도둑이 드는 것은 아니듯, 취약점은 '악용될 수 있는 상태'일 뿐입니다. 그래서 보안에서는 이 개념을 위협·리스크와 함께 세트로 다룹니다.
취약점·위협·리스크의 차이
셋을 섞어 쓰면 보고서도 대책도 흐려집니다. 보안 문서에서 가장 먼저 정리해야 할 구분입니다.
| 구분 | 취약점 | 위협 | 리스크 |
|---|---|---|---|
| 무엇인가 | 악용될 수 있는 약점 | 피해를 일으킬 수 있는 존재·사건 | 둘이 만났을 때의 예상 피해 |
| 어디에 있나 | 우리 시스템 안 | 대체로 바깥(내부자일 수도) | 경영 판단의 영역 |
| 예시 | 패치 안 된 서버, 기본 비밀번호 | 랜섬웨어 조직, 피싱 메일 | "고객 DB 유출로 과징금·신뢰 손실" |
| 통제 가능성 | 직접 줄일 수 있음 | 없앨 수 없음(감시만 가능) | 수용·완화·전가·회피 중 선택 |
취약점의 일생 — 제로데이와 원데이
취약점은 발견되고, 공개되고, 고쳐지고, 적용되는 시간의 흐름 위에 있습니다. 이 타임라인을 이해하면 무엇이 진짜 위험한지가 달라 보입니다.
제로데이는 패치가 아직 없는 상태라 방어가 어렵고 드뭅니다. 반면 원데이(N-day)는 이미 패치가 나왔는데 우리 조직이 적용하지 않은 상태입니다. 공개된 취약점은 상세 정보와 공격 코드가 함께 퍼지기 때문에, 공격자 입장에서는 가장 값싸고 확실한 통로가 됩니다. 취약점 관리의 목표는 이 원데이 구간을 짧게 만드는 것입니다.
CVE와 CVSS
두 약어를 자주 같이 보지만 역할이 전혀 다릅니다. 하나는 이름표, 하나는 점수입니다.
- CVE(Common Vulnerabilities and Exposures) — 전 세계가 같은 취약점을 같은 이름으로 부르기 위한 고유 식별자입니다. CVE-2026-12345처럼 연도와 일련번호로 붙습니다. 심각한지 아닌지는 전혀 말해 주지 않습니다. 그냥 이름입니다.
- CVSS(Common Vulnerability Scoring System) — 취약점의 심각도를 0.0~10.0으로 매긴 점수입니다. 공격 난이도, 권한 필요 여부, 영향 범위 같은 특성을 표준화해 계산합니다.
CVSS 점수는 다음 등급으로 나뉩니다. 0.0 없음 / 0.1~3.9 낮음 / 4.0~6.9 보통 / 7.0~8.9 높음 / 9.0~10.0 심각. 여기서 반드시 짚어야 할 것이 있습니다. 미국 국립취약점데이터베이스(NVD)는 "CVSS는 리스크의 척도가 아니다"라고 명시합니다. 기본 점수는 취약점 자체의 특성만 반영할 뿐, 그 시스템이 우리에게 얼마나 중요한지, 실제로 공격받고 있는지는 담고 있지 않습니다.NVD
그래서 무엇부터 패치해야 하나
CVSS 7점 이상만 세어도 목록이 수백 건입니다. 전부 동시에 고칠 수 없으니 순서가 필요하고, 그 순서를 점수 하나로 정하면 실패합니다. 요즘은 다음 세 가지를 겹쳐 봅니다.
| 구분 | CVSS | EPSS | KEV 목록 |
|---|---|---|---|
| 답하는 질문 | 뚫리면 얼마나 심각한가 | 앞으로 악용될 확률이 얼마인가 | 지금 실제로 악용되고 있는가 |
| 형태 | 0.0~10.0 점수 | 0~1 확률(수시 갱신) | 등재 여부(예·아니오) |
| 성격 | 이론적 심각도 | 예측 | 확인된 사실 |
| 한계 | 우리 환경을 모름 | 희귀하지만 치명적인 건을 놓칠 수 있음 | 등재가 늦음(없다고 안전한 건 아님) |
| 실무 활용 | 1차 분류 기준 | 같은 점수끼리 순서 가르기 | 긴급 패치 발동 신호 |
정리하면 이렇습니다. 실제로 악용되고 있는 취약점(KEV)이 최우선이고, 그다음이 중요 자산에 있는 높은 점수이며, 점수는 높아도 외부에 노출되지 않은 내부 시스템은 순위를 낮춰도 됩니다. 세상의 모든 CVE 중 실제로 악용되는 것은 일부에 불과하므로, 전부 막으려다 아무것도 못 막는 상황을 피하는 것이 관리의 요령입니다.
실무 체크 포인트 — 취약점 관리
취약점 관리는 스캐너를 돌리는 일이 아니라 고칠 순서를 정하고 끝까지 확인하는 일입니다.
취약점 관리를 아무리 잘해도 남는 구멍은 반드시 있습니다. 그래서 침입을 전제로 한 다음 질문이 필요합니다 — 뚫렸을 때 무엇이 밖으로 나가는가. 실제 피해의 크기는 침입 자체가 아니라 반출된 정보의 양으로 결정됩니다. 오피스키퍼는 정보유출방지로 USB·메일·클라우드·출력 등 반출 경로를 통제하고, PC 사용이력과 매체 제어로 무엇이 언제 나갔는지를 남깁니다. 취약점을 줄이는 일과 새어 나가는 것을 막는 일은 서로 다른 층의 방어입니다.
자주 묻는 질문
Q. CVE와 CVSS는 뭐가 다른가요?
A. CVE는 이름표, CVSS는 점수입니다. CVE-2026-12345는 "이 취약점"을 가리키는 고유 번호일 뿐 심각도를 담지 않고, 그 심각도를 0.0~10.0으로 표현한 것이 CVSS입니다. 하나의 CVE에 하나의 CVSS 점수가 붙는다고 이해하면 됩니다.
Q. CVSS 점수가 높으면 무조건 먼저 고쳐야 하나요?
A. 아닙니다. CVSS는 리스크가 아니라 심각도입니다. 점수가 9점이어도 외부와 단절된 내부 시스템이면 급하지 않고, 6점이어도 실제로 악용되고 있는 취약점이 인터넷에 노출된 서버에 있다면 그것이 최우선입니다. 악용 여부와 자산 중요도를 반드시 함께 보세요.
Q. 제로데이와 원데이는 어떻게 다른가요?
A. 제로데이는 패치가 아직 없는 취약점, 원데이(N-day)는 패치가 나왔는데 적용하지 않은 상태입니다. 이름은 제로데이가 무섭게 들리지만, 실제 침해는 공격 코드까지 공개된 원데이 구간에서 훨씬 많이 발생합니다.
Q. 취약점 진단과 모의해킹은 같은 건가요?
A. 다릅니다. 취약점 진단은 도구로 약점을 넓게 찾아 목록을 만드는 작업이고, 모의해킹은 그 약점을 실제로 공격자처럼 파고들어 어디까지 뚫리는지 확인하는 작업입니다. 넓이는 진단이, 깊이는 모의해킹이 담당합니다.
Q. 업무 영향 때문에 당장 패치할 수 없으면요?
A. 패치가 유일한 답은 아닙니다. 해당 서비스를 외부에서 접근하지 못하게 막고, 웹 방화벽 등으로 공격 패턴을 차단하는 가상 패치를 적용하고, 네트워크를 분리하는 완화 조치가 가능합니다. 다만 이때도 사유와 재검토 기한을 기록해 임시 조치가 영구화되지 않게 해야 합니다.
Q. 취약점 점검이 법적 의무인가요?
A. 대상에 따라 다릅니다. 주요정보통신기반시설로 지정된 기관은 「정보통신기반 보호법」에 따라 소관 시설의 취약점을 정기적으로 분석·평가할 의무가 있습니다. 또한 ISMS-P 등 인증 심사에서도 정기적인 취약점 점검과 조치 이행이 확인 항목으로 다뤄집니다.국가법령정보센터
모든 취약점을 막을 수는 없습니다. 나가는 정보는 오피스키퍼로 막으세요.
제품소개서 신청하기