미토스(Mythos)와 무너진 취약점 대응 모델 : 퀄리스(Qualys) 리스크 운영 센터(ROC)가 필요한 이유
취약점 대응은 오랫동안 하나의 전제 위에서 움직였습니다. 취약점이 공개되면 그때부터 대응을 시작해도, 조치 속도를 충분히 높이면 공격자를 앞설 수 있다는 전제입니다. 지난 10년간 업계가 평균 조치 시간(MTTR)을 줄이는 데 집중해 온 이유도 여기에 있습니다. 그런데 AI가 이 전제를 흔들고 있습니다. 퀄리스(Qualys)는 앤스로픽의 프론티어 모델인 미토스(Claude Mythos)와 같은 AI가 사람이 수년간 놓친 소스코드 취약점까지 찾아내면서, 익스플로잇까지 걸리는 시간이 주 단위에서 수 시간 단위로 줄었다고 설명합니다. 미토스에 대한 이러한 위협 규정은 퀄리스가 자사 캠페인에서 제시한 프레이밍이지만, 그 배경에 있는 데이터의 상당 부분은 출처가 분명한 사실입니다.이 글에서는 취약점 대응이 왜 기존 방식으로 한계에 이르렀는지를 데이터로 살펴본 뒤, 퀄리스가 그 해법으로 내세운 리스크 운영 센터(ROC)와 이를 구동하는 엔진 엔터프라이즈 트루리스크 매니지먼트(ETM)가 이 문제를 운영 관점에서 어떻게 다루는지 정리합니다. ☑️ 지금 취약점 대응에서 무엇이 바뀌었나 핵심은 이것입니다. 공격 속도가 사람이 감당할 수 있는 조치 속도보다 빨라졌고, 이제 문제는 조치 속도가 아니라 운영 모델 자체입니다. 스캔하고, 티켓을 발행하고, 사람이 수작업으로 조치하는 모델은 취약점 물량이 적고 익스플로잇 타임라인이 길던 시대에 맞춰 설계되었기 때문입니다. 물량이 폭증하고 익스플로잇이 공개 이전에 일어나는 지금 환경에서는, 조치를 아무리 빨리 해도 구조적으로 뒤처지게 됩니다.이 진단은 퀄리스 위협연구팀(TRU)이 퀄리스-버라이즌 DBIR 2026 리서치 파트너십으로 발표한 리포트 "The Broken Physics of Remediation"에 근거합니다. 이 리포트는 10,000개 이상 조직의 CISA KEV 조치 기록 10억 건 이상을 4년간(2021~2025년) 추적·분석한 자료입니다. 아래에서 다루는 수치는 별도 표기가 없으면 이 리포트의 분석 결과이며, 각 수치의 원출처는 함께 표기했습니다.▶'The Broken Physics of Remediation' 리포트 전문 보기 ☑️ 데이터로 본 대응의 한계 익스플로잇은 취약점 공개 이전에 일어난다평균 익스플로잇 소요 시간(TTE)이 2024년에 -1일, 2025년에 -7일로 단축되었습니다(GTIG의 Mandiant M-Trends 2026 기준). 값이 음수라는 것은 공격자가 취약점이 공개되기 전에 이미 무기화해 악용하고 있다는 의미입니다. 방어자가 대응을 시작하는 공개 시점은 경주의 출발선이 아니라, 이미 뒤처져 있음을 확인하는 지점이 됩니다.리포트는 이를 실제 사례로 뒷받침합니다. 완전한 익스플로잇 타임라인이 확보된 52개 주요 취약점 중 정확히 절반은 공개 이전에 이미 무기화된 상태였고, Win Kernel 권한상승 취약점은 공개 182일 전, WinRAR 코드 실행 취약점은 110일 전부터 악용되고 있었습니다. 물량은 폭증했는데 대응은 오히려 악화됐다CISA KEV 취약점 처리 건수는 4년간 6.5배 증가했습니다. 2022년 약 7,300만 건에서 2025년 약 4억 7,300만 건으로 늘었습니다. 그런데도 공개 7일 시점에 아직 조치되지 않은 크리티컬 취약점 비율은 2022년 56%에서 2025년 63%로 악화됐습니다. 이는 인력이나 프로세스, 경영진의 관심 어느 것으로도 넘을 수 없는 구조적 한계라는 것이 리포트의 진단입니다.주목할 점은 조치 속도 자체는 느려지지 않았다는 것입니다. 리포트 부록 분석에 따르면 탐지에서 조치 완료까지의 중앙값은 그대로 유지됐고, 조직들은 절대 건수 기준으로 어느 해보다 많은 취약점을 닫았습니다. 그런데도 미조치 비율이 악화된 이유는, 처리해야 할 물량이 시스템의 처리 용량보다 빠르게 늘었기 때문입니다. 문제는 속도가 아니라 용량이라는 것이 리포트의 핵심 논지입니다. 무기화된 취약점 대응에서 방어자가 대부분 진다앞서 52개 취약점을 익스플로잇 시점과 조치 시점 기준으로 비교하면, 88%가 공격자의 익스플로잇보다 늦게 조치됐습니다. 무기화되어 실제 위험이 큰 취약점일수록 방어자가 지는 구조라는 의미입니다. 노출은 조치 이후에도 길게 이어진다기존 지표의 한계는 WinRAR 코드 실행 취약점(CVE-2023-38831) 사례에서 뚜렷하게 드러납니다. 이 취약점은 공개 110일 전부터 무기화되어 있었고, 공개 이후 조직들이 환경 전체에서 조치를 마치기까지 평균 137일이 더 걸렸습니다. 무기화부터 조치 완료까지의 전체 노출 기간은 247일, 즉 8개월이 넘었습니다. 공개 1년 후에도 취약 시스템의 약 15%가 여전히 패치되지 않은 상태로 남아 있었습니다. MTTR은 공개 이후 대응 속도만 재기 때문에, 이 이야기의 절반도 담지 못합니다.CISA KEV 크리티컬 취약점 전반의 생존곡선도 같은 흐름을 보여줍니다. 공개 시점에 취약 자산의 85%가 미조치 상태이고, 1주 후 63%, 평균 조치 시점인 약 21일 후에도 33%가 열려 있으며, 90일이 지나도 약 12%가 남아 있습니다. 초기 대응은 대시보드상 진척처럼 보이지만, 긴 꼬리 구간의 노출은 지표에 잘 잡히지 않습니다. MTTR이 놓치는 것: 노출 기간과 리스크 매스리포트는 MTTR을 보완하기 위해 두 가지 개념을 제안합니다.하나는 평균 노출 기간(AWE, Average Window of Exposure)입니다. 취약점이 무기화된 순간부터 환경 전체에서 조치가 끝나는 순간까지의 전체 창을 측정합니다. 조치 속도만 보는 것이 아니라, 조직이 실제로 얼마나 오래 노출되어 있었는지를 드러냅니다.다른 하나는 리스크 매스(Risk Mass)입니다. 취약 자산 수에 각 자산의 노출 일수를 곱한 값(노출-일)으로, 위험이 얼마나 오래·넓게 지속됐는지를 나타냅니다. 하루 만에 닫힌 취약점과 여러 달 열려 있던 취약점을 기존 CVE 카운트는 똑같이 조치 완료로 처리하지만, 리스크 매스는 이 둘을 서로 다른 리스크로 구분합니다. 리포트는 Follina 취약점(CVE-2022-30190) 사례에서 노출-일의 약 80%가 공개 전 블라인드 구간과 조치 이후 긴 꼬리 구간에 몰려 있고, 대시보드에 잡히는 초기 대응 구간은 20%에 못 미친다고 분석합니다. 대시보드가 측정하는 것과 실제 노출이 어긋난다는 의미입니다.이 어긋남은 자산 유형별로도 나타납니다. 리포트는 조치가 빠른 상위 성과 구간과 느린 하위 구간의 격차를 수작업 비용(Manual Tax)이라 부르며, 잊힌 서버나 원격 단말, 섀도 IT 같은 하위 자산이 상위 대비 4~5배 오래 걸린다고 설명합니다. 인프라·백본 계열은 변경 창과 다운타임 제약 때문에 조치가 수개월로 늘어나기 쉽고, 긴 꼬리 노출이 가장 두껍게 쌓이는 지점입니다. ☑️ 우선순위화에서 확인(confirmation)으로 여기서 중요한 전환이 있습니다. 우선순위화는 이미 업계가 상당 부분 달성한 과제입니다. 2025년에 공개된 취약점은 48,172건이었지만, 이 중 실제로 원격 악용이 가능하고 무기화되었으며 작동하는 PoC까지 확인된 것은 357건, 즉 0.74%에 불과했습니다. 이 비율은 2022년 0.52%, 2023년 0.64%, 2024년 0.55%로 공개 물량이 늘어도 대체로 1% 미만에서 유지됐습니다. 지금까지 공개된 전체 CVE 대비 CISA KEV 등재 비율도 약 0.48% 수준입니다. 위협 인텔리전스와 리스크 기반 우선순위화로 대응 대상을 1% 미만으로 좁히는 일은 이미 가능해졌습니다.리포트는 다음 과제가 우선순위화가 아니라 확인이라고 봅니다. 특정 조직의 보완 통제(WAF, 방화벽, EDR, 네트워크 분리 등)를 고려했을 때, 우선순위가 높은 그 취약점이 지금 실제로 악용 가능한지를 결정론적으로 검증하는 단계입니다. 이론적으로 위험한 것과, 우리 환경에서 실제로 악용 가능한 것 사이의 간극을 좁히는 것이 다음 과제입니다. 우선순위화가 대상을 좁힌다면, 확인은 그중 무엇이 진짜 위험인지를 가려냅니다. ☑️ 우리 조직은 준비됐는가 이런 환경에서 자율 대응이 가능한 조직인지는 크게 세 가지 축으로 점검해 볼 수 있습니다. AI 속도 탐지, 하이퍼 우선순위화, 제로데이 조치입니다. 각 축을 기준으로 현재 운영 상태를 짚어봅니다. AI 속도 탐지가 되고 있는가탐지가 주간이나 월간 스캔 주기가 아니라 상시로 돌고 있는지, 온프레미스·클라우드·컨테이너·외부 공격 표면까지 모든 자산이 커버되는지, 새로운 제로데이 시그니처가 공개 직후 빠르게 배포되는지를 확인합니다. 탐지 주기가 길거나 사각지대가 있으면, 익스플로잇이 공개 이전에 일어나는 환경에서 이미 대응이 늦습니다.하이퍼 우선순위화가 되고 있는가발견된 항목이 활성 위협 인텔리전스로 필터링되어 실제 무기화된 소수를 가려낼 수 있는지, 자산 중요도(인터넷 노출, 핵심 시스템, 데이터 자산 등)가 반영되는지, 그리고 악용 가능성이 CVE 점수 추정이 아니라 실제 통제 환경에서 검증되는지를 확인합니다. 마지막 항목이 앞서 말한 확인(confirmation)에 해당합니다.제로데이 조치가 되고 있는가패치가 없는 상황에서 완화·격리 같은 패치리스 조치가 가능한지, 조치가 IT와 보안 도구 전반에서 오케스트레이션되어 수작업 티켓 전달이 제거되는지, 검증된 크리티컬 노출을 짧은 시간 내에 조치할 수 있는지를 확인합니다.세 축 중 어느 하나라도 "되고 있지 않다"는 답이 나온다면, 그 빈칸이 곧 현재 운영 모델의 구조적 취약점입니다. 조직 전체를 항목별로 점검하는 상세 체크리스트가 필요하다면 아래 문의를 통해 받아보실 수 있습니다. 이 세 축의 빈칸을 하나의 운영 체계로 메우려는 접근이 바로 리스크 운영 센터(ROC)입니다. ☑️ 리스크 운영 센터(ROC)는 이 문제를 어떻게 푸는가 ROC는 퀄리스가 보안 관제 센터(SOC)에 빗대 제시한 운영 개념입니다. SOC가 사후 대응을 위해 위협 이벤트를 한곳에 모아 다룬다면, ROC는 같은 방식을 사전 리스크 관리에 적용해 탐지부터 우선순위화, 악용 가능성 검증, 조치까지 취약점 대응의 전 주기를 하나의 폐쇄 루프로 묶습니다.그 바탕에는 지속적 위협 노출 관리(CTEM)가 있습니다. CTEM은 가트너가 정립한 프레임워크로, 흩어진 노출을 모아 리스크를 줄이는 방법론입니다. ROC는 이 CTEM을 실제 운영으로 구현하고, 여기에 리스크가 조치할 가치가 있는지 판단하는 의사결정, 재무 관점의 리스크 정량화, 컴플라이언스·감사 대응을 더한 것입니다. 엔터프라이즈 트루리스크 매니지먼트(ETM)가 이 ROC를 구동하는 엔진이며, 퀄리스는 ETM을 업계 최초의 클라우드 기반 ROC 플랫폼으로 규정합니다.ETM(Enterprise TruRisk Management)은 앞서 제기한 문제들을 하나의 폐쇄 루프로 받아 해소합니다. 흩어진 리스크를 한곳에 모으는 것에서 시작해, 데이터로 짚은 세 가지 한계를 차례로 어떻게 메우는지 살펴봅니다. 흩어진 리스크를 한곳에 모은다폐쇄 루프가 돌려면 먼저 흩어진 리스크가 한곳에 모여야 합니다. ETM은 자산관리(CSAM), 외부 공격 표면 관리(EASM), 서드파티 도구의 데이터를 통합해 단일 자산 인벤토리를 만듭니다. 취약점뿐 아니라 OT·IoT 장비, 클라우드 환경, 코드베이스, 사용자 아이덴티티까지 다양한 자산 유형을 함께 집계하고, 마이크로소프트 디펜더, Wiz, 옥타, 크라우드스트라이크 같은 서드파티 신호도 받아들입니다. 여기에 25개 이상의 위협 인텔리전스 피드를 정규화·중복 제거·상관 분석해 심각도와 악용 가능성 맥락을 더합니다. 도구마다 제각각이던 리스크 판단을 하나의 기준으로 정리하는 것이 출발점입니다. 공개 전에 악용되는 취약점을 먼저 인지한다앞서 익스플로잇이 취약점 공개 이전에 일어난다는 문제를 짚었습니다. 공개 시점이 이미 뒤처진 출발선이라면, 대응은 공식 신호보다 앞서 시작되어야 합니다. 상시 탐지(VMDR)가 자산의 취약점을 지속적으로 찾아내고, 위협 인텔리전스 계층인 TruLens가 실시간 맥락을 더합니다. TruLens는 CISA KEV 카탈로그를 99% 이상 커버하며, CVE가 KEV에 등재되기 평균 40일 전에 취약점 심각도를 상향합니다. 여기에 TruRisk 점수가 심각도, 악용 가능성, 자산 중요도, 비즈니스 영향을 종합해 대응 순서를 정합니다. 그 결과, 공식 위협 카탈로그에 오르기 전에 위험을 앞당겨 인지하고, 어떤 자산부터 손댈지 순서를 세울 수 있습니다. 공개 시점에야 대응을 시작하던 방식과 달리, 공격자의 타임라인에 조금 더 앞서 설 수 있습니다. 수천 건이 아니라 실제로 악용 가능한 소수만 대응한다앞서 우선순위화만으로는 부족하고 확인이 필요하다는 점을 짚었습니다. 수천, 수만 건의 크리티컬 취약점 가운데 무엇이 지금 우리 환경에서 실제로 악용 가능한지를 가려내는 단계입니다.이 역할을 하는 것이 TruConfirm입니다. 전통적인 스캐너가 "취약할 수 있다"를 알려준다면, TruConfirm은 "지금 이 환경에서 실제로 악용 가능하다"를 증명합니다. 표준 퀄리스 스캐너와 다른 별도 IP를 사용해, 화이트리스트에 등록되지 않은 실제 공격자 관점에서 자산에 접근합니다. 검증에는 시스템을 손상시키지 않는 변형된 무해 페이로드를 쓰는데, 먼저 취약 서비스가 실제로 존재하는지 사전 확인한 뒤에만 페이로드를 보내 불필요한 네트워크 노이즈를 줄입니다. 익스플로잇이 성공하면 결정론적 증적과 함께 위험을 상향하고, 실패하면 어떤 통제(WAF, 방화벽, EDR 등)가 막았는지 근거를 남깁니다. 스캐너 결과가 "지금 악용 가능함"과 "이미 차단됨"이라는 판단 근거로 바뀌는 것입니다.무엇을 먼저 검증할지는 에이전틱 AI 계층인 Agent Val이 결정합니다. 리스크 그래프 위에서 비즈니스 맥락, 자산 중요도, 위협 인텔리전스(KEV·활성 랜섬웨어 캠페인 신호 포함)를 종합해 검증 순서를 정하고, 검증·완화·재검증의 흐름을 자동으로 돌립니다. 검증이 끝나면 자산·운영체제·환경에 맞춘 조치 방안을 제시해, 팀 사이의 수작업 해석과 조율 부담을 줄입니다. 그 결과, 이론적으로 위험한 수천 건이 아니라 실제로 악용 가능한 소수에만 자원을 집중할 수 있습니다. severity 점수 추정으로 긴급성을 설득하던 방식에서, 증명된 사실을 근거로 대응하는 방식으로 바뀝니다.또한 TruRisk의 리스크 정량화(CRQ)는 자산 태그와 비즈니스 엔티티를 활용해 손실 속성과 리스크 노출액(VAR)을 평가합니다. 기술 이슈를 금액이라는 재무 언어로 바꿔주기 때문에, 경영진·이사회 보고와 감사 대응에서 근거로 쓸 수 있습니다. 규제 대응이 중요한 조직일수록 이 정량화와 리포팅의 실무 비중이 큽니다. 패치가 없거나 늦는 자산의 노출을 메우고 다시 검증한다앞서 조치가 늦고 노출이 길게 이어진다는 문제를 짚었습니다. WinRAR 사례의 247일이나, 패치까지 수개월이 걸리는 인프라 자산의 긴 꼬리가 그 예입니다.이 구간을 받는 것이 TruRisk Eliminate입니다. AI 기반 패치 신뢰도 점수, 단계적 배포, 롤백, 그리고 패치가 없을 때의 패치리스 완화라는 네 가지 안전장치를 둡니다. 패치가 없거나 검증되지 않았거나 운영상 위험한 경우에는, 벤더·CISA·퀄리스 위협연구팀의 권고에 따라 설정을 변경해 패치 없이 보호하거나(TruRisk Mitigate), 위험 자산을 사고 이후가 아니라 선제적으로 격리합니다(TruRisk Isolate). 이 조치들은 서비스나우, JIRA 같은 ITSM 도구와 기본 연동되어 IT 운영 프로세스 안에서 이뤄지므로, 별도 수작업 전달이 필요 없습니다.조치 후에는 Agent Val과 TruConfirm이 같은 익스플로잇 경로를 다시 시험해 노출이 실제로 닫혔는지 재검증합니다. 불완전한 조치가 백로그로 되돌아오는 것을 막는 장치입니다. 그 결과, 패치를 기다리는 동안에도 노출을 완화 조치로 메울 수 있고, 조치가 실제로 위험을 줄였는지까지 확인됩니다. 조치를 "티켓을 닫았다"가 아니라 "노출이 닫힌 것을 증명했다"로 다룰 수 있게 되는 것입니다.발견에서 확인, 조치, 재검증으로 이어지는 이 루프가 하나로 돌 때 성공 지표도 달라집니다. 퀄리스에 따르면 이 과정에서 검증 노이즈가 90% 이상 줄고, 확인된 익스플로잇 대상의 조치 시간이 70% 단축되며, 평균 노출 기간(AWE)은 67일에서 18일 미만으로 줄어듭니다. 대응의 무게중심을 티켓 종료 건수에서 검증된 리스크 감소로 옮긴다는 것이 이 접근의 방향입니다. ☑️ 자주 묻는 질문 리스크 운영 센터(ROC)는 기존 취약점 관리(VM)와 무엇이 다른가요가장 큰 차이는 목적입니다. 기존 취약점 관리가 개별 취약점을 더 빨리 처리하는 데 초점을 둔다면, ROC는 대응 프로세스 전체를 자동화된 운영 체계로 바꾸는 것을 목적으로 합니다. 발견부터 검증, 조치까지를 사람 손을 거치지 않고 하나의 흐름으로 돌린다는 점이 다릅니다.CTEM과 ROC는 어떻게 다른가요CTEM은 방법론이고 ROC는 그 방법론을 돌리는 운영 체계입니다. CTEM이 흩어진 노출을 모아 리스크를 줄이는 가트너의 프레임워크라면, ROC는 여기에 조치할 가치가 있는지에 대한 판단과 재무 정량화, 실제 조치까지 더해 운영으로 구현한 것입니다.MTTR만으로는 왜 부족한가요MTTR은 노출의 시작이 아니라 대응의 속도만 재기 때문입니다. 공격자가 공개 이전부터 악용해 온 기간이나, 조치가 끝난 뒤에도 길게 남는 자산의 누적 위험은 MTTR에 잡히지 않습니다. 이 사각지대를 보완하는 지표가 평균 노출 기간(AWE)과 리스크 매스입니다.우선순위화를 하고 있는데 확인(confirmation)이 왜 따로 필요한가요우선순위화가 답하지 못하는 질문이 하나 남기 때문입니다. 우선순위화는 이론적으로 위험한 취약점을 가려내지만, 그 취약점이 우리 환경의 보완 통제 아래에서 지금 실제로 악용 가능한지는 알려주지 않습니다. 확인은 그 여부를 검증해, 이미 통제로 막힌 항목이 아니라 실제 노출에만 자원을 쓰게 합니다.패치가 없는 취약점은 어떻게 조치하나요패치 대신 노출을 줄이는 보완 통제로 대응합니다. 가상 패치, 네트워크 수준 격리, 호스트 격리 같은 완화 조치로, 패치가 나올 때까지의 노출 구간을 메우는 방식입니다. 이런 패치리스 완화는 특히 패치까지 수개월이 걸리는 인프라 자산에서 중요합니다. ☑️ 마무리 취약점 대응의 문제는 더 빠른 사람, 더 큰 팀으로 풀리지 않습니다. 익스플로잇이 공개 이전에 일어나고 물량이 폭증하는 환경에서, 조치 속도만 높이는 접근은 구조적으로 한계에 부딪힙니다. 퀄리스가 제시하는 리스크 운영 센터(ROC)와 ETM은 탐지·인텔리전스·우선순위화·확인·자율 조치를 하나의 폐쇄 루프로 묶어, 대응의 무게중심을 티켓 종료에서 검증된 리스크 감소로 옮기려는 접근입니다. 여기서 다룬 데이터와 사례는 리포트의 일부이며, 생존곡선과 자산 유형별 분석 등 전체 내용은 퀄리스 리포트에서 확인할 수 있습니다.이 리포트의 데이터는 미국 CISA KEV를 기반으로 하지만, 익스플로잇 타임라인의 붕괴와 수작업 대응의 한계라는 흐름은 국내 기업에도 그대로 적용됩니다. 특히 금융·제조·공공처럼 규제 대응과 감사 근거가 중요하고, 변경 창 제약으로 패치가 지연되기 쉬운 환경에서는 어떤 자산을 우선 검증하고 어떤 조치를 자동화할지부터 검토가 필요합니다. 클라우드네트웍스는 퀄리스의 국내 파트너로서 고객 환경에 맞는 ROC·ETM 도입 검토와 개념검증(PoC), 구축·운영을 함께 진행할 수 있습니다. 자율 대응 준비도 점검이나 도입 방향 검토가 필요하시다면 클라우드네트웍스로 문의해 주시기 바랍니다. ▶ 퀄리스(Qualys) 제품정보 [출처 : Qualys, "The Broken Physics of Remediation", Qualys, "Enterprise TruRisk Management (ETM)", Qualys, "ROC vs CTEM: What's the Difference?", Qualys, "Introducing TruConfirm for Enterprise TruRisk Management: Automated Exposure Validation", Qualys, "Meet Agent Val: Closing the Validation Gap in Exposure Management at Machine Speed with Agentic AI", Qualys, "Handling the Vulnerability Surge in the Post-Mythos Era", Google Threat Intelligence Group(GTIG), "Mandiant M-Trends 2026"]
July 15, 2026
