비욘드트러스트 "지난해 마이크로소프트 취약점 줄었지만 심각한 취약점 늘어"
AI 활용 취약점 탐지 효율화되며 취약점의 무기화 속도도 빨라져
[데이터넷] 지난해 마이크로소프트가 공개한 취약점은 전년대비 6% 감소한 1273개였지만, 심각한 취약점은 크게 늘어난 것으로 나타났다. 또한 전체 취약점의 의 40%(509개)가 권한 상승(EoP) 취약점으로, 공격자가 접근 권한을 상승시키고, 측면 이동을 통해 중요 시스템을 침해하는 가장 직접적인 경로라는 사실을 입증시켰다.
비욘드트러스트의 ‘제13회 연례 마이크로소프트 취약점 보고서’에서는 “마이크로소프트 보안 환경이 AI 기반 탐지 및 공격 표면 확장으로 전환되고 있으며, 위험 심각도가 높아지고 있다”고 경고했다.
이 보고서는 지난해 마이크로소프트가 공개적으로 발표한 취약점을 심층 분석한 것으로, AI를 활용한 취약점 탐지, 클라우드 도입 확대, 신원·권한을 악용하는 정교한 공격 등으로 인해 위험 수준이 더욱 높아졌다고 경고했다.
특히 이번 보고서에서 주목할 점은 이전에는 취약점 활동이 감소세를 보였던 주요 마이크로소프트 플랫폼 전반에서 심각한 취약점이 급증했다는 사실이다. 애저 및 다이내믹스 365의 심각한 취약점은 4개에서 37개로 9배 증가했으며, 오피스 취약점은 3배 증가한 157개였다.
보고서에서는 “특히 AI 기반 시스템, 비인간 ID(NHI), 복잡한 클라우드 아키텍처로 인해 CVE에 명확하게 매핑되지 않는 위험이 발생함에 따라 기존의 취약점 추적 방식으로는 더 이상 전체 상황을 파악할 수 없다는 것을 의미할 수 있다”고 설명했다.
보고서에서는 AI가 취약점 양상을 바꾸고 있다는 점을 강조했다. AI는 방어자의 취약점 발견 속도를 높이는 동시에 공격자가 패치를 분석하고, 수정 사항을 역분석하고, 익스플로잇을 실행하는 속도를 그 어느 때보다 빠르게 만들어준다. 그러나 이는 취약점 공개와 악용 사이의 격차를 확대시켜, 조직이 기존 방어 체계로 대응하기 전에 위험에 노출될 수 있다는 사실을 의미한다.
CVE를 이용한 취약점 관리는 전체 상황을 파악할 수 없다는 사실도 강조했다. 과도한 권한을 가진 AI 에이전트, 장기간 유지되는 머신 자격 증명, 잘못된 ID 구성과 같은 새로운 위험은 상당한 영향을 미침에도 불구하고 CVE에 나타나지 않기 때문이다.
보고서는 “취약점을 빠르게 발견하고 조치하는 것이 무엇보다 중요하지만, 이것만으로 침해 가능성을 없앨 수 없다. 인간과 비인간을 포함한 모든 신원을 중심으로한 보안 전략을 취하고 최소권한원칙을 적용해 공격 파급 효과를 최소화해야 한다. 또한 개별 취약점뿐만 아니라 권한 획득 경로에 집중해야 한다”고 강조했다.
Tag
댓글
0