Microsoft에서 Azure 네트워크 부문 부사장 겸 총괄 관리자를 맡고 있는 Igor Sakhnov는 기존의 취약점 관리 모델이 더 이상 현대적 위협의 속도를 따라가지 못한다고 본다. 조직은 일반적으로 취약점의 영향을 파악하고, 영향을 받는 시스템을 식별하며, 패치를 테스트하고, 운영팀과 조율한 뒤 프로덕션 환경에 배포하는 데 며칠 또는 몇 주가 필요하다. 반면 공개된 취약점은 몇 시간 안에 스캔 및 적극적인 악용 단계로 넘어갈 수 있다.
2026년 8월 25일 Microsoft Security Blog에 게재된 이 주장은 특정 제품을 발표한 것이라기보다 보호 계층의 역할을 재분배하는 방안에 대한 회사의 관점을 제시한다. 핵심 아이디어는 패치가 여전히 필수적이지만 위험을 줄이는 가장 빠른 조치가 항상 패치는 아니라는 것이다. 따라서 조직은 문제를 발견한 시점부터 최종적으로 문제를 해결할 때까지의 기간에 작동하는 보완적 통제가 필요하다.
좁아지는 패치 창
기존의 취약점 관리는 공격자가 문제를 광범위하게 악용하기 전에 방어자가 문제를 평가할 충분한 시간을 갖는다는 가정에 기반했다. 그러나 기업 환경에는 클라우드, 하이브리드 환경, 멀티클라우드 환경에 분산된 수천 개의 서버, 애플리케이션, 데이터베이스, 컨테이너 및 네트워크 자산이 포함되게 되었다. 또한 많은 업무 핵심 애플리케이션은 보안 업데이트가 제공되는 즉시 서비스를 중단할 수 없다.
검증 절차는 여전히 필수적이며, 운영 프로세스의 취약성을 나타내는 지표가 아니다. 보안팀은 취약점이 비즈니스에 미치는 영향을 이해하고, 영향을 받는 시스템을 식별하며, 종속성과 호환성을 검토하고, 테스트 환경에서 패치를 검증하며, 변경 일정을 조율한 다음, 운영상 부작용이 있는지 모니터링해야 한다. 문제는 이러한 운영상의 보장에 시간이 필요한 반면, 공격자가 악용 가능한 경로를 발견하는 데 필요한 시간은 줄어들고 있다는 점이다.
인공지능이 시간표를 압박하다
Sakhnov에 따르면 인공지능의 영향은 조직의 데이터 분석 지원과 보안 개선에만 국한되지 않는다. 인공지능을 활용한 작업은 취약점 공개 정보의 분석, 악용 조건의 파악, 공격 경로의 식별, 복잡한 기술 정보의 연계도 가속화할 수 있다. 이러한 역량을 더 광범위하게 이용할 수 있게 될수록 취약점 공개와 악용 시도 사이의 간격은 줄어든다.
여기서 책임의 불균형이 뚜렷해진다. 방어자는 완전하고 복잡한 환경을 보호해야 하지만 공격자는 목표에 도달할 수 있는 유효한 경로 하나만 있으면 된다. 따라서 조직이 취약한 시스템을 알고 있거나 패치 우선순위를 높이는 것만으로는 충분하지 않다. 업데이트를 설치할 수 없을 때 즉시 악용 가능성을 낮춰야 한다.
일시적 억제 계층으로서의 네트워크
이 글은 네트워크를 처리가 계속되는 동안 워크로드를 보호할 수 있는 신속한 «제어 계층»으로 바라볼 것을 제안한다. 네트워크는 애플리케이션 외부에 위치하며 통신 패턴, 신뢰 관계 및 트래픽 흐름을 파악할 수 있으므로, 애플리케이션 자체를 수정하거나 모든 엔드포인트에 새 에이전트를 배포할 때까지 기다리지 않고도 변경 사항을 적용할 수 있다.
이 주장에 따르면 이러한 통제는 취약한 시스템에 대한 접근을 제한하고, 잠재적인 공격 경로를 줄이며, 측면 이동을 제한하고, 고위험 자산을 격리하며, 잠재적인 피해 범위를 축소할 수 있다. 또한 새로운 정보가 나타날 때 이를 조정할 수 있으며, 대규모 기업 환경에서 패치를 테스트하고 배포하는 주기보다 빠르게 적용될 수도 있다.
출처는 HTTP/2 취약점의 사례를 제시한다. 이 취약점에 대한 임시 대응 권고는 프로토콜 전체를 비활성화하는 것일 수 있지만, 이는 애플리케이션의 성능과 가용성에 영향을 줄 수 있다. 더 정밀한 대응에는 동시 스트림 수 제한, 요청 제한 강화 또는 악의적인 통신 패턴의 속도 제한이 포함될 수 있으며, 서비스를 계속 이용할 수 있도록 할 수 있다. 이 사례는 연결을 전면 차단하는 것과 악용에 의존하는 행위를 제한하는 것의 차이를 보여준다.
인식에서 적응형 시행으로
Sakhnov는 가시성 도구, 위협 인텔리전스 및 분석이 중요하지만, 이것만으로는 위험 노출을 줄일 수 없다고 강조한다. 적응형 보호에는 서로 연결된 세 가지 역량이 필요하다. 취약점의 성격을 이해하고, 설정과 통신 경로 및 노출 정도를 기준으로 이를 실제 환경과 연결한 다음, 이러한 이해를 신속하고 광범위하게 적용할 수 있는 통제로 전환하는 것이다.
certi.news의 분석에 따르면 이 주장의 중요성은 패치만으로는 해결할 수 없는 실무적 공백을 규정한다는 데 있다. 조직이 위험을 알고 있지만 시스템을 즉시 변경할 수 없을 때 무엇을 해야 하는가? 그러나 이러한 관점이 패치 관리를 없애는 것은 아니며, 네트워크 통제가 모든 취약점에 적합하다는 점을 입증하는 것도 아니다. 그 효과는 악용 행위에 대한 이해와, 억제 조치가 서비스 중단이나 잘못된 보안감으로 변하지 않도록 규칙을 설정하는 방식에 달려 있다. 또한 출처는 Microsoft 관계자의 편집적 견해를 제시하는 것이지, 독립적인 테스트 결과나 특정 제품의 역량에 대한 약속이 아니다. 따라서 최종 패치가 여전히 문제의 기본적인 해결책인 가운데, 이러한 적응형 보호가 서로 다른 환경에서 얼마나 정확하고 적용 가능한지는 여전히 열린 질문으로 남는다.