첫 번째 보안 강화 릴리스 주기: 배운 점과 앞으로의 변화

Kunal Anand최고제품책임자 | F5

편집자 주(2026년 10월 14일): F5는 이제 “강화 릴리스”를 “중요 릴리스”로 지칭합니다. 이러한 용어 변경은 해당 릴리스의 중대성과 최신 버전을 최대한 신속하게 배포하는 것의 중요성을 반영합니다.

지난 7월, 저는 월간 하드닝 릴리스와 월간 보안 알림 체제로 전환한 것에 대해 글을 썼습니다 당시에는 그 주기가 우리의 상황에 적합했으며, 분기별 주기에서 벗어나게 한 것과 같은 원칙에 따라 환경의 변화가 요구할 때 다시 한번 주기를 조정할 것이라고 말씀드렸습니다.

한 차례의 릴리스 주기를 거치며 많은 것을 배웠습니다. 고객과 파트너의 의견을 통해, 그리고 월간 릴리스 주기가 프로덕션 환경에 어떻게 적용되는지 지켜보며 배웠습니다. 이러한 배움을 바탕으로 접근 방식의 일부를 바꾸고 있습니다.

9월 2일 HR2부터 강화 릴리스는 매월이 아닌 6주 주기로 제공됩니다. 또한 이와 함께 게시할 예정이었던 정기 보안 알림은 잠정 중단합니다.

이러한 결정에 이르게 된 과정을 설명하고자 합니다. 날짜보다 그 배경과 이유가 더 중요하기 때문입니다.

고객들이 들려준 이야기

저희는 7월 15일에 HR1을 출시한 후, 약속드린 대로 고객의 목소리에 귀 기울였습니다.

저희가 들은 의견은 한결같았으며, 사실 F5 자체에 관한 문제는 아니었습니다. 가장 중요한 경로에서 저희 제품을 운영하는 조직들은 월간 릴리스 주기로는 테스트, 스테이징, 배포를 진행할 여유가 충분하지 않다고 말했습니다. 이는 저희 릴리스만 놓고 봤을 때 대응하기 어려워서라기보다, 다른 모든 업체의 릴리스와 비슷한 시기에 제공되기 때문이었습니다. 주요 벤더들은 모두 동일한 변화에 대응하고 있으며, 그 누적된 부담은 결국 각 기업 내 한정된 인력으로 구성된 동일한 팀에 집중됩니다.

6주라는 주기는 아무도 배포할 수 없는 수정 사항은 진정한 수정이 아니라는 점을 인정한 것입니다. 이제 고객이 변경 사항을 수용할 수 있는 속도 자체가 보안 방정식의 일부가 되었으며, 수용 속도를 앞지르는 릴리스 주기는 위험을 줄이기는커녕 오히려 키웁니다.

우리가 알게 된 또 다른 사실은 정반대의 방향을 가리킵니다. 플릿 관리와 자동화에 투자한 고객들은 업데이트 속도가 크게 향상되는 효과를 보고 있습니다. 대규모 F5 BIG-IP 플릿을 보유한 한 글로벌 고객은 업데이트 소요 시간을 6개월 이상에서 약 2주로 단축했습니다.

보안 알림을 일시 중단하는 이유

두 번째 변경 사항은 더 어려운 결정이며, 그 이유를 솔직하게 말씀드리고자 합니다.

월간 보안 알림을 발표했을 당시, 보안이 강화된 릴리스가 나온 뒤 세부 내용을 공개하기까지 약 30일의 유예 기간을 두면 고객이 해당 내용이 공개되기 전에 업데이트할 수 있는 현실적인 시간이 확보될 것이라고 판단했습니다. 이는 당시 저희가 내릴 수 있었던 최선의 판단이었습니다.

이제는 그 가정이 유효하지 않습니다. 지난 몇 주 동안 고객 및 업계 관계자들과 나눈 대화를 통해, 실제로 작동하는 익스플로잇을 만드는 데 필요한 정보의 양에 대한 우리의 판단이 달라졌습니다. 최첨단 모델은 diff, 일부 설명, 버전 범위와 같은 제한된 단서만으로도 실제로 작동하는 공격 체인을 추론하는 능력이 계속 향상되고 있습니다. 우리가 방어자에게 제공한다고 생각했던 시간적 여유는 실제로는 공격자에게도 주어지는 기회이며, 그마저도 점점 줄어들고 있습니다.

따라서 이러한 환경에서 책임 있는 공개가 어떤 방식이어야 하는지 함께 모색하는 동안 정기적인 알림을 일시 중단합니다. 다만 예외는 있습니다. 취약점이 실제 공격에 악용되고 있거나, 연구자 또는 정부 기관과 협력하고 있거나, 규제 또는 계약상 의무에 따라 공개해야 하는 경우에는 다른 방식으로 처리할 것입니다. 이는 투명성에 대한 영구적인 방침이 아닙니다. 고객 보호를 최우선으로 해야 한다는 제약 아래 내린 결정이며, 앞으로도 계속 재검토할 것입니다.

이 상황이 불편하게 느껴진다는 점을 잘 알고 있습니다. 전직 CISO인 저에게도 불편한 일입니다. 취약점 공개 규범은 타당한 이유로 존재하며, 보안 커뮤니티는 수십 년간의 뼈아픈 경험을 통해 이를 확립해 왔습니다. 하지만 이러한 규범은 "세부 정보 공개"부터 "익스플로잇 등장"까지의 간격이 몇 주 단위였던 시대에 맞춰져 있습니다. 이제 그 간격은 사라졌으며, 취약점 정보를 공개하는 모든 조직은 이것이 무엇을 의미하는지 진지하게 고민해야 할 것입니다.

더 어려운 문제: 심각도 정보 없이 우선순위 정하기

제가 보기에 업계가 아직 충분히 직시하지 못한 부분이 바로 이것입니다.

대부분의 취약점 관리 프로그램은 심각도를 기준으로 운영됩니다. 치명적 취약점은 24시간 이내에, 높은 심각도의 취약점은 3일 이내에, 중간 심각도의 취약점은 한 번의 스프린트 내에 패치하고, 낮은 심각도의 취약점은 여유가 있을 때 처리합니다. 이 모델은 두 가지를 전제로 합니다. 심각도 등급이 위험을 유의미하게 예측하며, 활용할 수 있는 심각도 등급이 존재한다는 것입니다.

두 가지 전제 모두 점차 무너지고 있습니다.

첫 번째 가정이 무너지고 있는 이유는 최첨단 모델을 사용하는 공격자에게 치명적인 취약점이 필요하지 않기 때문입니다. 공격자는 여러 취약점을 연계합니다. 개별적으로는 분류 대기열의 맨 아래에 놓일 법한 낮은 심각도의 문제 세 가지도, 모델이 이 세 가지를 동시에 종합해 추론할 수 있다면 실제 침해로 이어지는 경로가 됩니다. 자체 코드를 스캔해 보면 이와 같은 유형, 즉 서로 연계될 수 있는 낮은 심각도의 문제들이 발견되고 있습니다. 이러한 문제를 체계적으로 제거해야 소프트웨어가 강화됩니다. 반대로 심각도에 따라 개별적으로 분류하면 문제는 그대로 남게 됩니다.

두 번째 전제도 흔들리고 있습니다. 당사를 포함한 공급업체들이 앞으로는 더 적은 세부 정보를 더 늦게 공개하게 될 것이기 때문입니다. 보안팀은 이를 통제력을 잃는 것처럼 느낄 것이며, 저도 그 이유를 이해합니다.

그렇다면 대신 어떻게 해야 할까요?

등급이 아니라 노출도를 기준으로 우선순위를 정하세요. 접근 가능성, 인터넷 노출 여부, 피해 범위, 비즈니스 중요도는 제공되지 않을 수도 있는 CVSS 점수보다 더 신뢰할 수 있는 판단 기준입니다. 보안 권고의 내용과 관계없이 외부에 노출된 미패치 자산은 위험 요소입니다.

최신 상태 유지를 원칙으로 삼으십시오. 이러한 환경에서 성공할 조직은 "최신 보안 강화 릴리스 사용"을 심각도 등급에 따라 일시적으로 대응하는 일이 아니라 상시 운영 원칙으로 여기는 조직입니다. 이는 기술적 변화인 동시에 문화적 변화이며, 이를 지속하려면 경영진의 전폭적인 지원이 필요합니다.

지금 바로 변화 수용 역량에 투자하십시오. 자동화, 전체 시스템에 대한 가시성, 반복 가능한 유지보수 시간대, 검증된 롤백 체계가 있어야 더 빨라진 변화 주기를 감당할 수 있습니다. 지금은 이러한 투자가 선택 사항처럼 보일 수 있지만, 1년 후에는 그렇지 않을 것입니다.

공백이 존재할 것임을 전제로 대비하십시오. 어떤 조직도 패치를 즉시 적용할 수는 없습니다. 런타임 보호—행위 기반 탐지, 가상 패치, 특정 취약점을 알지 못해도 작동하는 제어 수단—는 수정 사항이 나온 시점부터 실제로 배포되는 시점까지의 공백을 메우는 데 도움이 될 수 있습니다. 이 공백은 사라지지 않을 것입니다. 이를 피하려 하지 말고 전제로 삼아 계획하십시오.

생각을 바꾸는 것에 관하여

저희는 당시 확보한 최선의 정보를 바탕으로 7월에 결정을 내렸습니다. 이를 실행에 옮긴 뒤 고객과 파트너의 의견을 통해 배우고 조정했습니다. 발표했다는 이유만으로 기존 입장을 고수했다면 고객과 파트너에게 더 좋지 않은 결과를 초래했을 것입니다.

저는 지난 7월, 환경과 여러분의 요구가 변화함에 따라 계속해서 대응해 나가겠다고 말씀드렸습니다. 이것이 실제로 실천하는 모습입니다. 지금 어떤 공급업체든 솔직히 인정해야 할 사실은 업계 전반에서 기존 관행이 실시간으로 재검토되고 있으며, 이 문제를 완전히 해결했다고 주장하는 사람은 현실을 제대로 보고 있지 않다는 것입니다.

변하지 않는 것은 우리가 스스로에게 적용하는 기준입니다. 조직은 사용자와 애플리케이션 사이, 에이전트와 API 사이에 F5를 둡니다. 바로 그러한 위치에 있기에 우리는 지금과 같은 속도로 문제를 찾아 해결하고, 지금과 같은 방식으로 테스트하며, 공개와 관련해 이번과 같은 결정을 내렸습니다. 이번 결정에 영향을 준 의견을 보내주셔서 감사합니다. 앞으로도 계속 의견을 보내주시고 최신 정보를 확인해 주시기 바랍니다.

작성자 소개

Kunal Anand최고제품책임자 | F5

Kunal Anand는 최고제품책임자(CPO)로서 F5의 제품 조직을 이끌고 있습니다. 제품 비전, 전략 및 실행을 총괄하며, 고객의 중대한 과제를 해결하고 탁월한 경험을 제공하는 혁신적인 솔루션의 개발을 주도합니다. 이전에는 최고기술·AI책임자로서 회사의 기술 및 AI 전략과 비전을 수립했습니다. F5에 합류하기 전에는 Imperva에서 최고기술책임자(CTO)와 최고정보보안책임자(CISO)를 겸임했습니다. Kunal은 2013년에 공동 창업한 애플리케이션 보안 스타트업 Prevoty가 2018년 Imperva에 인수되면서 Imperva에 합류했습니다. Prevoty 이전에는 BBC Worldwide에서 기술 담당 이사를 역임했습니다. Kunal은 혁신과 기술 분야에서 풍부한 경험과 전문성을 갖추고 있으며, Gravity, MySpace 및 NASA 제트추진연구소에서 보안, 데이터, 기술 및 엔지니어링 팀을 이끄는 직책을 맡았습니다. Kunal은 모델 학습, AI 기반 알고리즘을 활용한 제품 개선, AI 아키텍처 설계 및 구현 등 AI와 머신러닝 분야에서 15년 이상의 경험을 보유하고 있습니다. Kunal은 Babson College에서 컴퓨터 과학 학사 학위를 취득했습니다.

Kunal Anand의 다른 블로그 게시물