제로데이 예측 모델, 머신러닝은 다음 치명적 취약점을 예측할 수 있을까

꿈은 단순합니다. 막 공개된 버그 중 어떤 것이 공격자에게 무기화되기 전에 경영진 이슈가 될지 미리 아는 것입니다. 현실은 훨씬 지저분합니다. 올바른 신호와 냉정한 검증이 있을 때만 모델이 우선순위 결정에 도움이 됩니다.

강한 모델이 실제로 보는 것

• 패치 경과 시간만으로는 부족합니다. 좋은 모델은 익스플로잇 징후, 인터넷 노출, 설치 기반, PoC 공개 여부, 빠른 완화 가능성을 함께 봅니다.
• 가장 강한 신호는 대개 외부 압력입니다. 익스플로잇 킷, KEV 스타일 목록, 봇넷 스캔, 레드팀 재현이 빠르게 나타나면 실제 악용 가능성이 급등합니다.
• 비즈니스 맥락도 중요합니다. 많이 노출된 ID 플랫폼의 중간 CVSS 취약점이, 격리된 관리 도구의 더 높은 점수보다 더 중요할 수 있습니다.

머신러닝이 아직 못하는 것

• 모델은 새롭고 낯선 패턴에 약합니다. 이상한 체인, 숨은 인증 우회, 공급망 피벗은 사람이 연결하기 전까지 보이지 않을 수 있습니다.
• 데이터 품질도 치명적입니다. 벤더 공지는 들쭉날쭉하고, 익스플로잇 보고는 시끄럽고, 자산 목록은 종종 틀립니다.
• 점수를 진실로 여기는 팀은 중요한 예외를 놓칩니다. 모델은 관심의 순서를 정해야지 판단을 대체하면 안 됩니다.

방어팀의 사용법

• 모델로 먼저 정렬하고 상위 10퍼센트는 사람이 직접 검토하세요.
• 빗나간 예측을 매주 기록하세요. 실패를 인정하지 않는 시스템은 대체로 실패를 숨깁니다.
• 실제 악용 증거, 내부 노출, 패치 지연을 다시 넣어 인터넷 평균이 아니라 자기 환경을 학습시키세요.