제로데이(Zero-Day) 취약점이란 무엇인가 — 발견부터 패치까지

제로데이(Zero-Day) 취약점은 소프트웨어 공급업체가 아직 알지 못하거나, 알고 있더라도 패치를 배포하지 않은 보안 결함을 말한다. 공격자는 이를 악용해 방어자가 대응할 시간이 '0일'인 상태에서 공격할 수 있다.

제로데이의 생애 주기

• 발견(Discovery): 보안 연구자, 취약점 브로커, 국가 해킹팀, 버그바운티 헌터 등이 취약점 발견
• PoC 개발: 실제 취약점을 증명하는 개념증명(Proof of Concept) 코드 작성
• 무기화(Weaponization): 실제 공격에 활용 가능한 익스플로잇(Exploit) 코드로 발전
• 공개 전 악용(Pre-patch Exploitation): 공급업체 모르게 실제 공격에 활용
• 패치 배포: 공급업체 인지 후 보안 업데이트 배포 (평균 70~200일 소요)
• N-day 단계: 패치 배포 이후에도 미적용 시스템 대상 공격 지속

제로데이 시장 — 얼마에 거래되나?

최근 주목할 제로데이 트렌드

• 모바일 스파이웨어 체인: Pegasus, Predator 등 상용 스파이웨어가 여러 제로데이를 체인으로 연결해 클릭 한 번(One-click) 또는 클릭 없이(Zero-click) 기기 완전 장악
• 엔터프라이즈 소프트웨어 집중: Citrix, Ivanti, Fortinet, MOVEit 등 기업용 소프트웨어 제로데이 증가 — 하나의 취약점으로 수천 기업 동시 침해 가능
• AI 지원 취약점 발견: LLM이 코드 분석을 통한 취약점 자동 탐색에 활용되기 시작

방어자 입장의 현실적 대응

제로데이는 알 수 없기 때문에 사전 차단이 불가능하다. 그러나 피해를 최소화할 수 있는 전략은 있다.

• 공격 표면 축소: 불필요한 서비스·포트·소프트웨어 제거 — 공격할 수 없으면 익스플로잇도 없다
• 망 분리와 최소 권한: 익스플로잇 성공 후에도 횡이동을 막는 것이 핵심
• 행위 기반 탐지(EDR/XDR): 시그니처가 없어도 비정상 행위 패턴으로 탐지
• 샌드박싱: 브라우저·오피스 파일·이메일 첨부 자동 격리 실행
• VEX·SBOM 활용: 사용 중인 소프트웨어 구성 파악으로 신규 취약점 영향 범위 신속 분석
• 위협 인텔리전스 구독: 제로데이 공개 즉시 영향 파악 및 임시 완화 조치

제로데이 자체를 사전에 막는 것은 정의상 불가능하다. 그러나 제로데이가 실제 공격으로 전환돼 조직에 도달했을 때 이를 무력화할 심층 방어(Defense in Depth) 체계를 갖추는 것은 가능하다.