.jpg)
.jpg)
코로나 사태와 취약점 처음으로 줄어든 시기와 맞물리지만 정확한 관계 알 수 없어
취약점 개수도 3년 정도 지나야 정확히 통계낼 수 있어...지금 현상도 마찬가지일 듯
[보안뉴스 문가용 기자] 2020년 1사분기 동안 발견된 취약점의 수가 전 년도 동 기간에 비해 거의 20%나 감소했다. 전부 4968개가 등록됐다. 취약점 수가 줄어드는 건 10년 만에 처음 나타나는 현상이다. 이에 대해 보안 업체 리스크 베이스드 시큐리티(Risk Based Security)가 상세한 보고서를 발표했다.
재미있는 건 10년 만에 처음 발견된 취약점의 수가 줄어들었는데, 그 기간이 초유의 팬데믹 사태가 발생한 때와 겹친다는 것이다. 물론 코로나로 인해 많은 사람들이 집에서 근무하고 외출을 금지 당한 것과 발굴된 취약점이 줄어들었다는 것 사이의 뚜렷한 관련성이 있는 건 아니라고 리스크 베이스드 시큐리티의 부회장인 브라이언 마틴(Brian Martin)은 설명한다.
“흐름에 반하는 독특한 현상이 나타난다면, 코로나와 관련이 있을 겁니다. 그러나 그 관련성이 얼마나 강력한 건지 혹은 대단히 우회적으로 희미하게 영향을 미치는지는 알 수가 없습니다. 지금 시점에서는 ‘코로나 사태가 발생했다,’ 그리고 ‘그 기간에 10년 만에 처음으로 취약점 수가 줄어들었다’는 것만 말할 수 있습니다.”
마틴은 이번 연구 조사를 통해 확실히 알게 된 건 화요일마다 정기 패치를 발표하는 보안 업계 내 관습(패치 튜즈데이)이 보안 담당자들에게 점점 짐이 되고 있다는 것이라고 말한다. “패치 튜즈데이의 의미가 퇴색되고 있습니다. 정기적으로 스케줄을 정함으로써 패치를 좀 더 편리하게 하자는 게 패치 튜즈데이인데, 언젠가부터 이 날 발표되는 취약점의 수가 지나치게 많아지고 있죠. 담당자들 입장에서는 화요일이 점점 더 공포스러운 날이 되고 있습니다.”
취약점의 수는 관리 조직에 따라 조금씩 달라진다. 국가취약점데이터베이스(National Vulnerability Database, NVD)의 경우 2020년 현재 시점까지 7950개의 취약점을 등록했다. 이는 작년 동 기간과 비교했을 때 크게 달라지지 않은 숫자다. 하지만 이 숫자는 확정적인 것은 아니다. 리스크 베이스드 시큐리티에 의하면 “보고된 것들만 취합해 센 것은 여러 변수가 섞여 있기 때문에 안정적이지 않고, 한 3년 정도 지난 후에야 이 기간에 발굴된 취약점의 정확한 수가 나온다”고 말한다.
취약점의 수가 갑자기 떨어진 이유는 무엇일까? 가장 그럴 듯한 건, 소프트웨어 기업들의 취약점 전문가들이 코로나 때문에 원격에서 근무하면서 취약점 연구에 어느 정도 차질이 생겼다는 것이라고 마틴은 말한다. “하지만 이건 결과론에 불과합니다. 누군가는 오히려 집에서 일하니까 출퇴근 시간을 아낄 수 있고, 그만큼 취약점 연구가 더 쉬워진다고 말할 수도 있습니다. 따라서 코로나에서만 답을 찾는다는 건 끼워 맞추기 식 결론에 다다를 수 있습니다.”
그러면서 마틴은 “오히려 지금 경제적 어려움에 처한 보안 기업들이 생겨나고 있고, 따라서 사람을 내보내야 하는 보안 기업이 많아지고 있다는 것을 알아야 한다”고 말한다. “하지만 이것 때문에 취약점이 줄어들었을까요? 그랬을 수도 있습니다. 하지만 오히려 직장에 나가지 않아도 되기 때문에 취약점 연구에 더 몰두하는 연구원들도 있었을 겁니다.”
그러면서 마틴은 “우리의 이번 연구 결과는 코로나와 취약점 감소라는 두 가지 비정상적으로 보이는 현상이 맞물렸다는 것이고, 그에 대한 정확한 이유는 아직 섣불리 말할 수 없다는 것”이라고 말한다. “지금으로서는 함부로 결론을 내릴 수 없습니다. 다만 이런 두 가지 현상이 2020년 상반기에 나타났고, 그에 대한 연구와 추적을 하다보면 미래에 보다 명확한 무언가가 나올 겁니다. 저희는 그 계속된 연구의 시작점을 찍은 것입니다.”
3줄 요약
1. 10년 만에 처음으로 사분기 취약점 개수에서 감소세가 나타남.
2. 사상 처음으로 팬데믹이 선포된 시기와 맞물리나, 두 현상 사이의 관계는 명확하지 않음.
3. 몇 년이 지나면 취약점이 줄어든 이유와 코로나 사이의 관계가 좀 더 뚜렷해질 것으로 기대.
[국제부 문가용 기자(globoan@boannews.com)]
취약점 개수도 3년 정도 지나야 정확히 통계낼 수 있어...지금 현상도 마찬가지일 듯
[보안뉴스 문가용 기자] 2020년 1사분기 동안 발견된 취약점의 수가 전 년도 동 기간에 비해 거의 20%나 감소했다. 전부 4968개가 등록됐다. 취약점 수가 줄어드는 건 10년 만에 처음 나타나는 현상이다. 이에 대해 보안 업체 리스크 베이스드 시큐리티(Risk Based Security)가 상세한 보고서를 발표했다.
[이미지 = utoimage]
재미있는 건 10년 만에 처음 발견된 취약점의 수가 줄어들었는데, 그 기간이 초유의 팬데믹 사태가 발생한 때와 겹친다는 것이다. 물론 코로나로 인해 많은 사람들이 집에서 근무하고 외출을 금지 당한 것과 발굴된 취약점이 줄어들었다는 것 사이의 뚜렷한 관련성이 있는 건 아니라고 리스크 베이스드 시큐리티의 부회장인 브라이언 마틴(Brian Martin)은 설명한다.
“흐름에 반하는 독특한 현상이 나타난다면, 코로나와 관련이 있을 겁니다. 그러나 그 관련성이 얼마나 강력한 건지 혹은 대단히 우회적으로 희미하게 영향을 미치는지는 알 수가 없습니다. 지금 시점에서는 ‘코로나 사태가 발생했다,’ 그리고 ‘그 기간에 10년 만에 처음으로 취약점 수가 줄어들었다’는 것만 말할 수 있습니다.”
마틴은 이번 연구 조사를 통해 확실히 알게 된 건 화요일마다 정기 패치를 발표하는 보안 업계 내 관습(패치 튜즈데이)이 보안 담당자들에게 점점 짐이 되고 있다는 것이라고 말한다. “패치 튜즈데이의 의미가 퇴색되고 있습니다. 정기적으로 스케줄을 정함으로써 패치를 좀 더 편리하게 하자는 게 패치 튜즈데이인데, 언젠가부터 이 날 발표되는 취약점의 수가 지나치게 많아지고 있죠. 담당자들 입장에서는 화요일이 점점 더 공포스러운 날이 되고 있습니다.”
취약점의 수는 관리 조직에 따라 조금씩 달라진다. 국가취약점데이터베이스(National Vulnerability Database, NVD)의 경우 2020년 현재 시점까지 7950개의 취약점을 등록했다. 이는 작년 동 기간과 비교했을 때 크게 달라지지 않은 숫자다. 하지만 이 숫자는 확정적인 것은 아니다. 리스크 베이스드 시큐리티에 의하면 “보고된 것들만 취합해 센 것은 여러 변수가 섞여 있기 때문에 안정적이지 않고, 한 3년 정도 지난 후에야 이 기간에 발굴된 취약점의 정확한 수가 나온다”고 말한다.
취약점의 수가 갑자기 떨어진 이유는 무엇일까? 가장 그럴 듯한 건, 소프트웨어 기업들의 취약점 전문가들이 코로나 때문에 원격에서 근무하면서 취약점 연구에 어느 정도 차질이 생겼다는 것이라고 마틴은 말한다. “하지만 이건 결과론에 불과합니다. 누군가는 오히려 집에서 일하니까 출퇴근 시간을 아낄 수 있고, 그만큼 취약점 연구가 더 쉬워진다고 말할 수도 있습니다. 따라서 코로나에서만 답을 찾는다는 건 끼워 맞추기 식 결론에 다다를 수 있습니다.”
그러면서 마틴은 “오히려 지금 경제적 어려움에 처한 보안 기업들이 생겨나고 있고, 따라서 사람을 내보내야 하는 보안 기업이 많아지고 있다는 것을 알아야 한다”고 말한다. “하지만 이것 때문에 취약점이 줄어들었을까요? 그랬을 수도 있습니다. 하지만 오히려 직장에 나가지 않아도 되기 때문에 취약점 연구에 더 몰두하는 연구원들도 있었을 겁니다.”
그러면서 마틴은 “우리의 이번 연구 결과는 코로나와 취약점 감소라는 두 가지 비정상적으로 보이는 현상이 맞물렸다는 것이고, 그에 대한 정확한 이유는 아직 섣불리 말할 수 없다는 것”이라고 말한다. “지금으로서는 함부로 결론을 내릴 수 없습니다. 다만 이런 두 가지 현상이 2020년 상반기에 나타났고, 그에 대한 연구와 추적을 하다보면 미래에 보다 명확한 무언가가 나올 겁니다. 저희는 그 계속된 연구의 시작점을 찍은 것입니다.”
3줄 요약
1. 10년 만에 처음으로 사분기 취약점 개수에서 감소세가 나타남.
2. 사상 처음으로 팬데믹이 선포된 시기와 맞물리나, 두 현상 사이의 관계는 명확하지 않음.
3. 몇 년이 지나면 취약점이 줄어든 이유와 코로나 사이의 관계가 좀 더 뚜렷해질 것으로 기대.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-01] 
