제로데이와 N-day 구분 사례 분석

이 글은 공개된 1차·2차 자료를 우리 관점에서 다시 정리하고 짧은 논평을 더한 것입니다. 특정 문장·표현을 그대로 옮기지 않았으며, 자세한 통계·원문은 하단 References에서 직접 확인하세요.

Security · 취약점 관리 · 개념 정리 [정보성]

보안 보고서를 읽다 보면 “제로데이가 늘었다”와 “실제로 털리는 건 대부분 이미 패치 나온 취약점이다”라는, 언뜻 모순돼 보이는 두 문장을 자주 만납니다. 둘 다 사실이고, 둘을 가르는 기준이 바로 제로데이와 N-day의 구분입니다. 핵심은 하나입니다 — 익스플로잇되는 시점에 벤더의 수정본이 세상에 나와 있었는가.

01 두 용어의 정의 (30초)

제로데이(zero-day)는 벤더가 패치를 공개하기 전에 이미 야생에서 악용되는 취약점을 말합니다. 구글 위협 인텔리전스 그룹(Google Threat Intelligence Group, GTIG)은 이를 “패치가 공개적으로 제공되기 전에 야생에서 악용된” 취약점으로 정의합니다. 이름의 유래는 벤더에게 수정을 준비할 시간이 “0일” 주어졌다는 뜻입니다. 즉 결함을 벤더가 아직 모르거나, 알더라도 쓸 수 있는 패치가 없는 상태입니다.

N-day는 반대로 이미 공개되었거나 패치·기술 문서가 존재하는 “알려진” 취약점입니다. 여기서 “N”은 공개·패치 이후 경과한 일수를 가리킵니다. 결정적 차이는 악용 시점의 패치 존재 여부입니다. 제로데이는 패치가 없고, N-day는 패치가 이미 있는데도 조직이 아직 적용하지 않은 상태입니다.

⚠️미확인 — “N”의 기산점: N을 “공개(disclosure) 이후”로 세는지 “패치 릴리스 이후”로 세는지는 출처마다 혼용됩니다. 개념(알려졌고 보통 패치 가능)은 일치하지만, 날을 세는 출발점의 표준 합의는 느슨합니다. 그래서 이 글은 “공개·패치 이후 경과일”로 포괄해 씁니다.

02 둘을 가르는 사건 = 공개 + 패치 릴리스

제로데이가 N-day로 바뀌는 전환점은 “공개 + 패치 릴리스”의 조합입니다. 이 시점부터 이른바 “N-day 시계”가 돌기 시작합니다. 그 전까지는 방어자에게 수정본이 없으니 제로데이, 그 후로는 수정본이 존재하니 N-day입니다.

이 전환을 질서 있게 만드는 절차가 조정된 취약점 공개(Coordinated Vulnerability Disclosure, CVD)입니다. 발견자가 벤더(또는 조정자)에게 비공개로 먼저 보고하고, 공개 전에 수정본이 준비되도록 협력하는 방식입니다. 목표는 방어자가 무방비인 동안 공격자가 악용할 수 있는 창(window)을 좁히는 것입니다.

다만 공개가 무한정 패치를 기다리지는 않습니다. 미국 CERT 조정센터(CERT/CC)의 기본 공개 정책은 최초 보고 후 45일이며, 이는 패치의 존재·가용 여부와 무관하게 적용됩니다. 활발한 악용 같은 특수 상황에서는 조기 또는 지연 공개가 가능합니다. 즉 패치가 준비되지 않은 채 공개가 먼저 나가는 경우도 제도적으로 존재합니다.

취약점이 식별자를 얻고 구조화되는 과정도 알아둘 만합니다. CVE 채번기관(CVE Numbering Authority, CNA)이 CVE 식별자를 할당·공개하면, 미국 국립취약점데이터베이스(National Vulnerability Database, NVD)가 그 뒤에 CVSS 점수, CWE 분류, 영향 버전(CPE), 참조 링크 같은 구조화 데이터로 보강합니다. NVD는 미국 상무부 산하 국립표준기술연구소(NIST)가 운영합니다.

03 리스크의 성격이 어떻게 갈리는가

같은 “취약점”이지만 방어의 무게 중심이 전혀 다릅니다.

• 제로데이 — 벤더도 방어자도 수정본이 없는 구조적 열세 상태입니다. 그래서 대응의 중심이 탐지와 봉쇄로 옮겨갑니다. 패치로 막을 수 없으니 이상 행위 탐지, 공격 표면 축소, 임시 완화에 기댈 수밖에 없습니다.
• N-day — 수정본이 이미 존재합니다. 따라서 리스크가 기술적 미지의 문제에서 운영·거버넌스의 문제로 바뀝니다. 패치 테스트, 변경 승인, 배포 속도가 곧 방어력입니다. 늦게 붙일수록 노출 창이 길어집니다.

여기서 현장의 핵심 통찰이 나옵니다. 실제로 악용되는 취약점의 상당수는 극적인 제로데이가 아니라 이미 패치가 나와 있는 N-day입니다. 문제의 본질이 “아무도 모르는 결함”이 아니라 “아는데 아직 못 고친 상태”라는 뜻입니다.

04 숫자로 보는 타임라인

제로데이 규모 (GTIG 집계, 해커뉴스 보도 경유)

2024년 제로데이의 44%가 엔터프라이즈 제품을 겨냥했고, 가장 많이 겨냥된 벤더는 Microsoft 26건, Google 11건, Ivanti 7건, Apple 5건이었습니다.

악용까지 걸린 시간(Time-to-Exploit, TTE)과 N-day 속도 (Mandiant / Google Cloud, 2023 분석)

악용까지의 시간은 해가 갈수록 빨라졌습니다. 평균 기준으로 2018–19년 63일, 2020–21년 44일, 2021–22년 32일을 거쳐 2023년에는 5일까지 줄었습니다(네 수치 모두 평균값입니다. 이 5일은 이상치를 제외한 평균이며, 이상치를 포함하면 평균이 47일로 늘어납니다).

패치가 나온 뒤 N-day가 실제로 악용되는 속도도 빠릅니다. 같은 분석에서 패치 릴리스를 기준으로 1일 내 12%, 1주 내 29%, 1개월 내 56%(절반 초과), 6개월 내 95%가 악용됐습니다. 패치를 늦게 붙일수록 안전지대가 거의 남지 않는다는 의미입니다.

범위 명시 — 제로데이:N-day 비율: 같은 2023년 분석에서 조사 대상 138건 중 제로데이가 97건, N-day가 41건으로 약 70:30이었습니다(직전 2021–22년은 62:38). 단 이 비율은 Mandiant가 분석한 표본 138건 한정 수치이지, 전체 모집단의 비율이 아닙니다. “악용되는 건 대부분 N-day”라는 현장 통찰과 이 표본 수치는 서로 다른 집합을 말하므로 혼동하지 마세요.

05 “지금 공격받는 중” 목록 = CISA KEV

제로데이든 N-day든, 현재 실제로 악용되고 있다는 신호를 모아둔 권위 있는 목록이 미국 사이버보안·인프라보안국(CISA)의 알려진 악용 취약점(Known Exploited Vulnerabilities, KEV) 카탈로그입니다. CISA는 이를 야생에서 악용된 취약점의 “권위 있는 출처”로 설명합니다.

KEV 등재에는 세 가지 기준이 모두 충족돼야 합니다.

1. CVE 식별자가 할당되어 있을 것
2. 야생에서 활발히 악용되었다는 신뢰 가능한 증거가 있을 것
3. 명확한 교정 조치(패치 등)가 존재할 것

여기서 중요한 단서가 있습니다. 단순한 스캐닝, 개념증명(PoC) 공개, 악용 연구는 “활발한 악용”으로 치지 않습니다. 또한 KEV는 활발히 악용된 제로데이도 포함하므로, 결국 제로데이와 N-day 양쪽에 걸친 “지금 공격받는 중” 집합이라고 볼 수 있습니다.

⚠️미확인 — KEV 총 등재 수: KEV 등재 건수는 시점에 따라 달라지며 월별로 계속 늘어납니다. 특정 숫자로 단정하기보다 “지속 증가”로 이해하는 편이 정확합니다.

대응 관점 (경량)

• 제로데이 대비 — 패치로 막을 수 없는 구간이 존재한다는 전제에서, 탐지와 봉쇄 역량(이상 행위 모니터링, 공격 표면 축소, 임시 완화)을 갖춰 둡니다.
• N-day 대비 — 핵심은 배포 속도입니다. 숫자가 보여주듯 패치 후 한 달이면 절반 넘게 악용되므로, 패치 테스트·승인·배포 사이클을 짧게 유지하는 것이 곧 방어입니다. KEV 같은 “지금 악용 중” 목록을 우선순위 기준으로 삼으면 한정된 자원을 실제 위협에 집중할 수 있습니다.

짧은 논평

제로데이와 N-day의 구분은 결국 “모르는 위험”과 “아는데 미룬 위험”의 구분입니다. 전자는 인텔리전스와 탐지의 영역이고, 후자는 조직 운영 규율의 영역입니다. 두 보고서가 “제로데이가 늘었다”와 “털리는 건 대부분 N-day다”를 동시에 말할 수 있는 이유가 여기 있습니다 — 하나는 발생 건수를, 다른 하나는 운영상 방치된 노출 창을 가리키기 때문입니다. 패치는 한 번 나오지만, 그것을 붙이는 속도는 매번 조직이 다시 증명해야 하는 문제로 남습니다.

References / 참고자료

1. Mandiant / Google Cloud Threat Intelligence, “Time-to-Exploit Trends 2023” — TTE 평균 5일, 제로데이:N-day 표본 비율, N-day 악용 속도의 1차 근거. https://cloud.google.com/blog/topics/threat-intelligence/time-to-exploit-trends-2023
2. The Hacker News (GTIG 2024 보고 보도), “Google Reports 75 Zero-Days Exploited in 2024” — 제로데이 정의·연도별 건수·2024년 벤더 분포. https://thehackernews.com/2025/04/google-reports-75-zero-days-exploited.html
3. CISA, “Known Exploited Vulnerabilities Catalog” — KEV 권위 정의, 제로데이 포함. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
4. CISA, “Reducing the Significant Risk of Known Exploited Vulnerabilities” — KEV 등재 3대 기준. https://cisa.gov/known-exploited-vulnerabilities
5. CERT/CC, “Vulnerability Disclosure Policy” — 최초 보고 후 45일 기본 공개 정책. https://certcc.github.io/certcc_disclosure_policy
6. Hexnode, “What is N-day?” — N-day 정의(“공개·패치·기술 문서가 이미 존재하는 알려진 취약점”)의 근거. 단, “전환 시점 = 공개 + 패치”나 “N = 경과일” 프레이밍(§02)은 이 출처에 명시돼 있지 않으며, 본문의 해당 틀은 다른 출처·일반 통념에 기댄 것입니다. https://www.hexnode.com/blogs/explained/what-is-n-day/
7. CodeAnt, “Zero-day vs N-day patch window” — 리스크 성격 차이(탐지·봉쇄 vs 운영·거버넌스). https://codeant.ai/blogs/zero-day-vs-n-day-patch-window
8. Cogent Security Academy, “Anatomy of a CVE: From Discovery to Patch” — CVE 수명주기와 NVD 보강 역할. https://www.cogent.com/academy/anatomy-of-a-cve-from-discovery-to-patch
9. RadicalNotion, “Coordinated Vulnerability Disclosure” — CVD 정의와 창 축소 목표. https://radicalnotion.ai/learn/coordinated-vulnerability-disclosure

이 글은 위 공개 자료들을 우리 관점에서 다시 정리하고 논평을 더한 것입니다. 특정 문장·표현을 그대로 옮기지 않았으며, 상세 통계와 원문 맥락은 각 출처를 직접 참고하세요. 완성형 익스플로잇·작동 페이로드·PII·내부 호스트명·실 고객명은 포함하지 않았습니다(전부 개념·통계 수준).