패치가 속도를 따라가지 못하고 보호는 더 이상 미룰 수 없을 때

업계 동향 | 2026년 10월 14일

수년간 애플리케이션 보안은 취약점이 발견되더라도 공격자가 이를 악용하기 전에 조직이 위험을 평가하고, 패치를 개발하거나 확보한 뒤 테스트하고 배포할 시간이 있다는 익숙한 전제를 바탕으로 운영되어 왔습니다.

인공지능으로 인해 그러한 가정은 갈수록 더 위험해지고 있습니다.

AI는 취약점 발견, 정찰, 익스플로잇 개발 및 공격 자동화를 가속화하고 있습니다. 이러한 역량이 더욱 정교해짐에 따라 공격자는 기존의 보안 및 개발 프로세스로는 대응할 수 없을 만큼 빠른 속도로 취약점을 식별하고 악용할 수 있습니다. 경우에 따라서는 취약점이 공개되기도 전에 악용이 시작됩니다.

“조직은 패치 적용 프로세스를 지속적으로 개선해야 하지만, 영구적인 수정 사항을 즉시 적용할 수 없는 경우에도 애플리케이션과 API를 보호할 수 있는 방법이 필요합니다.”

그 영향은 단순히 패치를 더 빠르게 적용해야 한다는 차원을 훨씬 넘어섭니다. 취약점을 수정하는 데 걸리는 시간이 공격자가 이를 악용하는 데 필요한 시간보다 훨씬 길 수 있는 상황에서, 조직은 애플리케이션과 API를 보호하는 방식을 재고해야 합니다. 이 주제는 가상 온디맨드 행사인 F5 포스트 미토스 보안 서밋에서 진행되는 제 세션 ‘포스트 미토스 시대를 위한 WAAP’에서 심도 있게 다룹니다.

제 세션에서 설명하듯이, 해답은 즉각적인 보호와 영구적인 해결이 서로 다른 두 가지 과제임을 인식하는 데서 시작됩니다. 그 격차가 계속 커지는 상황에서 보안 리더가 접근 방식을 재고해야 할 세 가지 방법을 소개합니다.

1. 노출 격차가 구조적인 문제가 되었음을 인식하라

보안 팀은 취약점 관리를 개선하고 패치 배포를 가속화하는 데 수년간 힘써 왔습니다. 이러한 노력은 여전히 필수적입니다. 하지만 조직이 애플리케이션과 인프라를 안전하게 변경할 수 있는 속도에는 근본적인 한계가 있습니다.

패치는 평가와 테스트를 거쳐 배포해야 합니다. 개발팀은 애플리케이션 종속성, 운영 안정성, 긴급 수정으로 인해 새로운 문제가 발생할 가능성을 고려해야 합니다. 여러 환경에서 수천 개의 애플리케이션을 관리하는 기업의 경우, 이러한 프로세스는 필연적으로 복잡할 수밖에 없습니다.

한편, AI는 공격자 측의 판도를 바꾸고 있습니다.

취약점 발견과 악용을 자동화하는 역량이 발전하면서 공격자는 기계와 같은 속도로 움직일 수 있게 된 반면, 방어자는 여전히 개발 주기와 운영 요건의 제약을 받습니다. 아무리 효율적인 보안 조직이라도 팀에 더 빠르게 일하라고 요구하는 것만으로는 이러한 격차를 해소할 수 없습니다.

이로 인해 구조적인 노출 격차가 발생합니다. 조직이 영구적인 수정 사항을 안전하게 배포하기 훨씬 전부터 취약점이 악용될 수 있습니다. 또한 AI가 계속 발전함에 따라 이 격차는 관리하기가 더욱 어려워질 수 있습니다.

보안 리더들이 직면해야 할 문제는 이제 단순히 패치 적용 속도를 높이는 방법뿐만 아니라, 패치를 충분히 신속하게 적용할 수 없을 때 조직을 어떻게 보호할 것인가 하는 점입니다.

2. 보호와 문제 해결에는 서로 다른 시간이 필요합니다

이러한 과제를 해결하려면 사고방식의 전환이 필요합니다. 전통적으로 취약점 관리는 취약점을 식별하고 우선순위를 정한 뒤 최대한 신속하게 제거하는 등 문제 해결에 중점을 두어 왔습니다. 하지만 패치가 제공되기 전에 취약점이 악용될 수 있는 상황에서는 조직이 보호 조치를 문제 해결에만 전적으로 의존해서는 안 됩니다.

조직은 이 두 가지를 분리해야 합니다. 영구적인 해결 조치는 근본적인 취약점을 해소합니다. 반면 즉각적인 보호 조치는 해결 작업이 진행되는 동안 공격자가 해당 취약점을 악용하지 못하도록 방지하는 데 중점을 둡니다.

이러한 구분은 비즈니스 핵심 애플리케이션에서 특히 중요합니다. 충분히 테스트하지 않은 패치를 서둘러 운영 환경에 적용하면 그 자체로 운영상의 위험을 초래할 수 있습니다. 하지만 기존 변경 관리 절차를 따르느라 배포를 늦추면 조직이 위협에 노출될 수 있습니다.

가상 패치는 이러한 딜레마를 해결하는 한 가지 방법입니다. 취약한 애플리케이션 외부에 보호 제어를 적용하면 조직은 기반 코드를 즉시 수정하지 않고도 알려진 공격 기법을 차단할 수 있습니다.

중요한 점은 가상 패치가 취약점 수정을 대신할 수 없다는 것입니다. 또한 가능한 모든 공격 경로를 차단하는 것도 아닙니다. 가상 패치의 가치는 개발팀과 보안팀이 취약점을 영구적으로 해결하는 데 필요한 작업을 완료하는 동안 공격 노출을 줄이는 데 있습니다.

즉, 조직은 모든 보안 사고가 발생할 때마다 애플리케이션을 긴급 배포하지 않고도 즉각적인 위협에 대응할 수 있어야 합니다. 이를 위해서는 애플리케이션 보호에 대한 아키텍처 차원의 접근 방식이 필요합니다.

3. 아키텍처는 격차를 해소해야 합니다

위협이 애플리케이션 개발 및 배포 주기보다 빠르게 진화할 때는 보호 기능이 이러한 주기와 독립적으로 작동할 수 있어야 합니다.

바로 이 지점에서 최신 웹 애플리케이션 및 API 보호(WAAP)(https://www.f5.com/solutions/web-app-and-api-protection)가 점점 더 중요한 역할을 합니다. WAAP는 애플리케이션 데이터 경로에 보안 제어 기능을 제공함으로써 악성 활동이 취약한 애플리케이션에 도달하기 전에 조직이 이를 탐지하고 차단할 수 있도록 지원합니다. 웹 애플리케이션 방화벽, API 보안, 봇 방어, DDoS 완화 등의 기능은 상호 보완적인 보호 계층을 제공합니다.

아키텍처 측면의 이점은 상당합니다. 조직은 애플리케이션 코드가 변경될 때까지 기다릴 필요 없이 보호 제어를 적용할 수 있으므로, 개발팀은 취약점을 조사하고 영구적인 수정 사항을 구현할 시간을 추가로 확보할 수 있습니다.

하지만 문제는 점점 더 복잡해지고 있습니다.

오늘날의 애플리케이션 환경은 기존 웹 애플리케이션의 범위를 넘어 확장되고 있습니다. 기업은 새로운 상호작용과 종속성, 잠재적 공격 표면을 야기하는 API, AI 기반 애플리케이션, 자율 에이전트에 점점 더 의존하고 있습니다. 동시에 AI로 고도화된 공격으로 인해 보안 팀이 악의적인 활동과 정상적인 트래픽을 구분하기가 더욱 어려워지고 있습니다.

단순히 보안 규칙을 더 추가하거나 경고를 더 많이 생성하는 것은 지속 가능한 해결책이 아닙니다. 보안 팀에 과도한 부담을 주거나 정상적인 비즈니스 활동을 방해하지 않으면서도 보호 기능은 더욱 지능적이고 적응력 있게 발전해야 합니다.

따라서 위협을 정확하게 식별하고 오탐을 최소화하며 적절한 보호 조치를 적용하는 역량이 갈수록 중요해지고 있습니다. 또한 애플리케이션과 환경 전반에서 일관된 보호를 제공할 수 있는 아키텍처의 필요성도 더욱 커지고 있습니다.

궁극적으로 조직은 단순히 인력을 늘리거나 기존 프로세스의 속도를 높이는 것만으로는 기계적 속도로 발생하는 보안 문제를 해결할 수 없습니다. 기반 시스템이 대응 역량을 갖출 때까지 애플리케이션을 보호할 수 있도록 설계된 아키텍처가 필요합니다.

패치가 따라가지 못할 때 보호하는 방법에 대한 제 세션을 확인해 보세요

AI는 취약점 발견, 악용, 해결 간의 관계를 근본적으로 변화시키고 있습니다. 조직은 패치 프로세스를 지속적으로 개선해야 하지만, 영구적인 수정 사항을 즉시 적용할 수 없을 때 애플리케이션과 API를 보호할 방법도 필요합니다.

저는 F5 Post-Mythos Security Summit에서 진행한 ‘포스트 Mythos 시대를 위한 WAAP’ 세션에서 최신 WAAP가 조직이 이러한 새로운 현실에 대응하는 데 어떻게 도움이 되는지 살펴봅니다. 또한 AI 기반 보호 및 가상 패치를 통해 애플리케이션 코드가 변경될 때까지 기다리지 않고도 엣지에서 취약점에 대응하는 방법을 시연합니다. 아울러 점점 더 정교해지는 위협으로부터 애플리케이션, API 및 AI를 보호하기 위한 광범위한 접근 방식에 이러한 기능을 어떻게 통합할 수 있는지도 알아봅니다.

제 세션을 시청하려면 여기에서 등록하세요.

작성자 소개

Nirav Shah제품 및 솔루션 마케팅 담당 수석 부사장 | F5

Nirav Shah는 F5의 수석 부사장 겸 제품 및 솔루션 마케팅 총괄로서 애플리케이션 보안과 AI 보안의 전략적 방향을 이끌고 있습니다. F5에 합류하기 전에는 Fortinet에서 11년간 여러 리더십 직책을 맡았으며, 특히 AI 기반 SASE, SOC 및 보안 네트워킹 솔루션을 총괄했습니다. 또한 Cisco Systems에서 SD-WAN의 주요 이니셔티브를 주도하는 등 핵심적인 역할을 수행한 폭넓은 경력을 보유하고 있습니다. 사이버 보안 분야에서 20년 넘게 쌓은 경험을 바탕으로 시장을 새롭게 정의하는 제품을 출시하고, 제품 개발과 영업 및 마케팅을 연계해 성과를 극대화하는 고성과 팀을 구축해 온 검증된 실적을 갖추고 있습니다. 업계를 선도하는 사상가이자 USC 동문인 그는 업계 콘퍼런스에서 자주 연사로 나서고 AI와 사이버 보안의 접점에 관한 글을 주요 간행물에 정기적으로 기고하는 한편, 차세대 사이버 보안 전문가를 육성하는 데에도 힘쓰고 있습니다.

Nirav Shah의 다른 블로그 게시물