공통 취약점 및 노출(CVE)이란 무엇인가?
새벽 3시에 취약점을 발견했을 때, CVE 식별자는 보안 도구, 공급업체 권고, 위협 인텔리전스 피드가 모두 동일한 표준화된 이름으로 같은 취약점을 참조하도록 보장합니다. 이는 대응 시간이 며칠이 아닌 몇 시간밖에 없을 때 혼란을 방지합니다.
MITRE 기관(미국 국토안보부 지정)은 CVE를 관리하며, 이는 취약점을 보고할 때 보안 도구가 참조하는 사전 역할을 합니다. CVE 표준화는 하나의 식별자(CVE-YYYY-NNNN 형식)를 제공하여 발견, 평가, 우선순위 지정, 조치, 검증 워크플로우 전반에 걸쳐 일관된 추적을 가능하게 합니다.
MITRE의 CWE Top 25 Methodology에 따르면 2025년에 39,450개의 취약점 기록을 처리하는 시스템을 운영하게 됩니다. 모든 취약점을 조치할 수 없으므로 효과적으로 우선순위를 지정하려면 표준화된 식별이 필요합니다.
.jpg)
CVE와 CVSS: 차이점은 무엇인가?
CVE와 CVSS는 서로 다른 질문에 답합니다. CVE는 취약점이 무엇인지 알려주고, CVSS는 그 심각도가 어느 정도인지 알려줍니다.
CVE(Common Vulnerabilities and Exposures)는 CVE-YYYY-NNNN 형식의 식별자를 제공합니다. 여기서 YYYY는 할당 연도, NNNN은 일련번호입니다. 이를 통해 보안 스택 전반에서 일관된 추적이 가능합니다.
CVSS(Common Vulnerability Scoring System)는 세 가지 주요 메트릭을 사용하여 0.0~10.0의 심각도 점수를 제공합니다:
- 기본 메트릭은 취약점 자체의 고유 특성을 평가합니다
- 시간 메트릭은 익스플로잇 가용성, 패치 상태 등 시간에 따라 달라지는 요소를 반영합니다
- 환경 메트릭은 자산 중요도, 기존 보안 통제 등 특정 환경에 미치는 영향을 평가합니다
CVE와 CVSS를 함께 사용하면 효과적인 우선순위 지정을 할 수 있습니다. 취약점 스캐너가 CVE-2021-44228을 탐지하고, 위협 피드가 CVSS 기본 점수 10.0을 확인하며, 환경 점수는 취약한 Log4j 인스턴스가 인터넷에 노출되어 있는지 또는 격리되어 있는지에 따라 조정됩니다. 이를 통해 더 빠르고 정확한 대응 결정을 내릴 수 있습니다.
사이버보안에서 CVE가 중요한 이유
위협 행위자는 취약점을 무기화하는 반면, 귀하의 취약점 관리 프로세스는 이를 해결하기 위해 작동합니다. CVE 표준화가 이 시간 차이를 없애지는 못하지만, 도구가 표시한 취약점이 무엇인지 식별하는 데 시간을 낭비하지 않도록 해줍니다. 더 빠른 분류 및 대응 결정을 내릴 수 있습니다.
CVE 표준화가 없다면, 스캐너는 취약점을 "Apache Log4j의 원격 코드 실행"이라고 부르고, 위협 인텔리전스 피드는 "Log4Shell"을 참조하며, 공급업체 권고는 "JNDI 인젝션 취약점"이라고 설명할 수 있습니다. CVE-2021-44228은 이러한 혼란을 없앱니다. 하나의 식별자, 하나의 취약점, 환경 내 모든 보안 도구에서 일관된 추적이 가능합니다.
ENISA의 Threat Landscape 2025에 따르면, 취약점 악용은 유럽 조직을 대상으로 한 침해의 21.3%를 차지했습니다. 이는 위협 행위자가 취약점 악용을 기업 침해의 초기 접근 벡터로 사용하는 사례가 크게 증가했음을 의미합니다.
CISA의 Known Exploited Vulnerabilities 카탈로그는 실제 사이버 공격에서 적극적으로 악용된 것으로 확인된 1,484개 취약점을 추적합니다. 이는 전체 CVE의 1% 미만이지만, 기업에 가장 높은 위험을 초래합니다. CVE 표준화 덕분에 CISA는 보안 도구가 즉시 활용할 수 있는 명확한 식별자로 이 카탈로그를 발행할 수 있습니다.
CVE 악용의 실제 영향
2021년 Colonial Pipeline 랜섬웨어 공격은 취약점이 무기화될 때 어떤 일이 발생하는지 보여줍니다. 공격자는 레거시 VPN 취약점(다중 인증 미적용)을 악용해 초기 접근 권한을 얻은 뒤, DarkSide 랜섬웨어를 배포하여 5,500마일의 연료 파이프라인 인프라를 암호화했습니다. 이 공격으로 6일간 전체 운영이 중단되고, 미국 동부 연안에 연료 부족 사태가 발생했으며, 회사는 440만 달러의 몸값과 수천만 달러의 복구 비용을 지불해야 했습니다( DOJ 법원 문서 기준).
2017년 Equifax 데이터 유출은 CVE-2017-5638(Apache Struts 취약점) 패치 미적용으로 발생했으며, 1억 4,700만 명의 개인정보가 노출되었습니다. FTC 합의 문서에 따르면, 이 사고로 Equifax는 최소 5억 7,500만 달러의 합의금을 포함해, 사이버보안 개선 및 법적 비용까지 총 14억 달러 이상의 비용이 발생했습니다. 해당 취약점은 두 달 전 공개되어 패치가 제공됐지만, Equifax 환경에서는 미적용 상태였습니다.
이러한 사례는 취약점이 발견된 후 보안 대시보드에 이르기까지의 과정을 이해하는 것이 얼마나 중요한지 보여줍니다. 이 여정은 특정 워크플로우를 따릅니다.
공통 취약점 및 노출(CVE) 워크플로우 이해하기
CVE 할당 워크플로우는 위협 행위자가 공격하기 전 경고를 몇 시간 전에 받을지, 몇 주 전에 받을지를 결정합니다. 취약점은 발견에서 스캐너 탐지까지 다섯 단계의 과정을 거칩니다:
- 발견은 연구원, 공급업체, 보안팀이 침투 테스트, 위협 헌팅, 또는 사고 대응을 통해 취약점을 식별할 때 발생합니다
- 보고는 취약점이 해당 제품을 담당하는 CVE 번호 할당 기관(CNA)에 보고될 때 발생합니다
- CVE ID 요청은 CNA가 해당 이슈가 취약점에 해당하는지 평가하는 공식 절차입니다
- ID 예약은 CNA가 검증된 취약점에 대해 CVE 식별자를 예약하여, 공급업체가 공개 전 패치를 준비할 수 있도록 조정된 공개를 가능하게 합니다
- 공개는 CNA가 취약점 설명, 영향받는 제품, 조치 가이드 등 완전한 세부 정보와 함께 CVE 기록을 발행하면서 워크플로우가 완료됩니다
이 워크플로우는 이를 관리하는 조직에 따라 달라집니다. 누가 CVE 식별자를 할당하는지 이해하면 어디에 취약점을 보고하고 얼마나 빨리 표준화된 추적이 이루어지는지 알 수 있습니다.
CVE를 할당 및 관리하는 주체
CVE 번호 할당 기관(CNA)은 정의된 범위 내에서 CVE 식별자를 할당하며, 전 세계적으로 수백 개가 운영되고 있습니다. CNA에는 공급업체, 오픈소스 프로젝트, CERT 조직, 버그 바운티 제공업체가 포함됩니다. 이 분산 모델은 각 CNA가 특정 제품 도메인에 대한 전문성을 유지하면서 중앙 집중식 접근 방식보다 더 빠른 취약점 처리를 가능하게 합니다.
CNA 프로그램은 계층적 구조로 운영됩니다. 최상위에는 MITRE가 Primary CNA이자 프로그램 관리자로서 정책을 수립하고 글로벌 네트워크를 조정합니다. Root CNA는 특정 도메인 또는 지역 내 CNA 그룹을 관리합니다. 예를 들어, CISA는 중요 인프라 부문에 대한 Root CNA 역할을 하며, 일본 CERT Coordination Center(JPCERT/CC)는 아시아-태평양 지역의 CNA를 조정합니다. 이 계층 구조는 일관된 표준을 보장하면서도 지역별 전문성과 빠른 대응을 가능하게 합니다.
주요 기술 공급업체는 자사 제품에 대한 CNA로 운영됩니다. Microsoft, Google, Apple, Cisco, Oracle 등은 자사 소프트웨어 및 하드웨어에서 발견된 취약점에 대해 CVE 식별자를 할당합니다. 보안 연구원이 이러한 제품에서 취약점을 발견하면, 공급업체 보안팀에 직접 보고하며, 해당 팀이 패치 개발과 함께 CVE 할당을 처리합니다. 이 통합은 발견에서 조치까지의 일정을 단축합니다.
MITRE는 오늘날 사용하는 기반 인프라를 구축했으며, 글로벌 CNA 네트워크를 계속 조정하고 있습니다. MITRE는 1999년 CVE 목록을 만들고, 제출 검증 프로세스를 수립했으며, 취약점 분석 표준을 설정했습니다. 이 프로그램은 한 조직이 식별자를 할당하던 것에서 40개국 300개 이상의 CNA가 참여하는 글로벌 네트워크로 성장했으며, 이는 소프트웨어 취약점의 범위 확장과 분산 전문성의 필요성을 반영합니다.
취약점을 발견했을 때, 올바른 CNA를 식별하는 것이 얼마나 빨리 CVE 식별자를 받을 수 있는지를 결정합니다. 먼저 공식 CVE 웹사이트의 CNA 목록을 통해 해당 공급업체가 CNA로 운영되는지 확인하십시오. 공급업체가 CNA가 아니라면, CERT/CC와 같은 조정 센터에 문의하거나 관련 부문을 담당하는 Root CNA를 통해 보고하십시오. 오픈소스 프로젝트의 경우, Apache Software Foundation, Linux 커널 보안팀, Python Software Foundation 등 주요 프로젝트가 자체 CNA를 운영합니다.
CVE의 발견 및 보고 방법
보안팀은 여러 채널을 통해 취약점을 발견하며, 각 채널은 CVE가 얼마나 빨리 식별자를 받고 보안 도구에 도달하는지에 영향을 미치는 고유한 특성을 가집니다.
- 보안 연구는 CVE 발견의 가장 큰 원천입니다. 독립 연구원, 학계, 공급업체 보안팀이 소프트웨어 및 하드웨어를 체계적으로 분석하여 공격자보다 먼저 취약점을 식별합니다. 이러한 발견은 일반적으로 책임 있는 공개 관행을 따르며, 공급업체에 패치 개발 시간을 제공합니다.
- 버그 바운티 프로그램은 외부 연구원이 취약점을 직접 공급업체에 발견 및 보고하도록 장려합니다. 주요 기술 기업은 수천 건의 CVE를 식별한 바운티 프로그램을 운영합니다. 연구원이 이 프로그램을 통해 발견을 제출하면, 공급업체의 CNA가 즉시 CVE 할당 프로세스를 시작할 수 있습니다.
- 위협 헌팅 및 사고 대응은 종종 실시간 조사 중에 취약점을 발견합니다. 보안팀이 의심스러운 활동을 조사하는 과정에서 공격자가 이전에 알려지지 않은 취약점을 악용하고 있음을 발견할 수 있습니다. 이러한 발견은 긴급 CVE 할당 및 신속한 공개로 이어지는 경우가 많습니다.
- 공급업체 테스트는 소프트웨어 개발 중에 취약점을 사전에 발견합니다. 정적 분석, 동적 테스트, 코드 리뷰를 통해 이전에 출시된 버전에 영향을 주거나 보안 커뮤니티에 도움이 되는 경우 CVE 식별자가 할당됩니다.
취약점을 발견하면, 보고 절차는 정립된 가이드라인을 따릅니다. FIRST.org의 조정된 공개 프레임워크가 대부분의 조직이 따르는 구조를 제공합니다: 공급업체 또는 적절한 CNA에 연락하고, 재현에 충분한 기술 세부 정보를 제공하며, 공공 안전과 조치 시간을 균형 있게 고려한 공개 일정을 합의합니다. 대부분의 공급업체는 90일 이내 조치를 목표로 하지만, 실제 악용 중인 중요 취약점은 더 빠른 공개가 필요할 수 있습니다.
매년 수천 건의 CVE가 공개되므로, 어떤 취약점 유형이 가장 큰 위험을 초래하는지 인식하는 것이 보안 활동의 우선순위 지정에 도움이 됩니다.
CVE로 추적되는 주요 취약점 유형
CISA의 Known Exploited Vulnerabilities 카탈로그는 위협 행위자가 가장 자주 무기화하는 취약점 유형을 보여줍니다:
- Out-of-bounds Write (CWE-787)가 1위로, 메모리 손상을 통한 임의 코드 실행을 가능하게 합니다
- Cross-Site Scripting (CWE-79)가 2위로, 공격자가 악성 스크립트를 웹 애플리케이션에 주입하여 피해자 브라우저에서 실행되게 합니다
- SQL Injection (CWE-89)가 3위로, 공격자가 입력 필드를 통해 악성 SQL 명령을 주입합니다
- OS Command Injection (CWE-78)가 5위로, 인증 없이 직접 시스템 접근을 가능하게 합니다
이러한 일반적인 취약점 패턴을 이해하면 제로데이 위협이 CVE 식별자 할당 전 유사한 약점을 악용하는 것을 인식할 수 있습니다.
어떤 취약점 유형이 존재하는지 아는 것만으로는 충분하지 않습니다. 공격자가 실제로 이러한 약점을 어떻게 악용하는지 이해해야 방어 전략을 수립할 수 있습니다.
공격자가 CVE를 악용하는 방법
공격자는 여러 주요 공격 패턴을 통해 CVE로 추적되는 취약점을 악용합니다.
- 원격 코드 실행 체인은 인젝션 및 메모리 손상 취약점을 사용합니다. Out-of-bounds Write(CWE-787), Command Injection(CWE-78), Use After Free(CWE-416)가 CISA의 KEV 카탈로그 상위에 있습니다.
- 인증 우회는 약한 암호 검증을 악용합니다. CISA는 엔터프라이즈 VPN 제품에서 조작된 SAML 메시지를 통한 SSO 우회로 유효한 자격 증명 없이 무단 접근이 가능함을 문서화했습니다.
- 명령 인젝션은 인증 없이 직접 시스템 침해를 가능하게 합니다. 공격자는 웹 폼, API 파라미터, 파일 업로드를 통해 악성 명령을 주입합니다. 취약한 애플리케이션은 이러한 명령을 애플리케이션 권한 수준에서 실행합니다.
이러한 공격 패턴은 취약점 관리 프로그램에서 CVE 추적이 왜 중요한지 설명합니다.
취약점 관리에서 CVE의 역할
CVE 식별자는 발견, 평가, 우선순위 지정, 조치, 검증 워크플로우 전반에 걸쳐 취약점을 일관되게 추적할 수 있도록 도와줍니다. 취약점 스캐너가 결함을 발견하고 CVE 식별자를 할당하면, 이를 위협 인텔리전스 피드, 공급업체 권고, 익스플로잇 데이터베이스와 연계할 수 있습니다. CISA KEV 카탈로그를 자산 인벤토리와 교차 참조하면, 실제로 악용 중인 취약점이 포함된 자산을 식별할 수 있습니다.
CVE 표준화가 워크플로우 커뮤니케이션을 간소화
CVE 번호는 취약점 관리 워크플로우 전반에 걸쳐 커뮤니케이션을 간소화하는 표준화된 식별자 역할을 합니다. 취약점을 발견하거나 알림을 받을 때, CVE 번호는 모든 팀원, 보안 도구, 공급업체가 동일한 문제를 일관된 라벨로 참조하도록 보장합니다. 이 일관성은 오해를 줄이고 의사결정을 가속화하여, 효과적으로 우선순위를 지정하고 조치 노력을 조정할 수 있게 합니다.
표준화된 참조점은 다양한 보안 시스템과의 통합을 가능하게 합니다. 위협 인텔리전스 피드, 취약점 스캐너, 패치 관리 솔루션이 모두 신속하고 정확한 취약점 조치를 목표로 정렬됩니다. EDR이 CVE-2021-44228 관련 의심 활동을 탐지하면, SIEM이 동일한 식별자를 사용해 취약점 스캔 데이터와 연계합니다. 티켓 시스템은 동일한 참조로 조치 진행 상황을 추적하고, 컴플라이언스 보고서는 표준화된 용어로 대응을 문서화합니다.
CVE 표준화는 조직의 보안 환경 전반에서 보고 및 컴플라이언스 프로세스도 단순화합니다. 보안 평가, 감사 보고서, 이사회 발표, 규제 제출 모두 동일한 CVE 식별자를 참조합니다. 세 가지 다른 알림이 동일한 취약점을 참조하는지 확인하는 데 시간을 낭비하는 대신, 모든 시스템에서 CVE-2021-44228을 즉시 인식하고 실제 조치에 집중할 수 있습니다.
보안 도구 간 대응 조정
CVE 식별자는 보안 운영 센터가 다양한 보안 도구 전반에서 취약점의 우선순위 지정 및 분류를 효율적으로 수행할 수 있게 합니다. 새로운 취약점이 등장하면, CVE 식별자가 일관된 참조점을 제공합니다. 취약점 스캐너가 CVE-2024-12345를 표시하고, 위협 인텔리전스 피드는 CVE-2024-12345의 악용 맥락을 제공하며, 패치 관리 시스템은 CVE-2024-12345의 배포 상태를 추적하고, 티켓 시스템은 CVE-2024-12345의 워크플로우를 관리합니다.
이 표준화는 조정 오류를 줄이고 의사결정을 가속화합니다. CVE 표준화 덕분에 자원을 효과적으로 할당하고, 패치가 기업 환경 전반에 일관되게 적용되도록 보장할 수 있습니다. 통합 참조는 자율 워크플로우를 가능하게 합니다: 보안 오케스트레이션 플랫폼이 스캐너 탐지 결과를 위협 인텔리전스와 자동으로 연계하고, 영향받는 자산에 대한 티켓을 생성하며, 단일 식별자를 통해 조치 진행 상황을 추적합니다.
위험 기반 우선순위 지정
우선순위 지정은 CVSS만으로는 부족합니다. EPSS(Exploit Prediction Scoring System)를 CISA의 Known Exploited Vulnerabilities 카탈로그와 통합하면, 실제로 확인된 위험을 나타내는 소수의 CVE에 집중하여 효율성을 높일 수 있습니다.
즉각적인 우선순위 필터로 CISA의 KEV 카탈로그부터 시작하십시오. 나머지 Critical/High CVE에는 EPSS 확률 점수를 적용하십시오. 조직 맥락에는 Stakeholder-Specific Vulnerability Categorization(SSVC)를 활용하십시오.
NIST 사이버보안 프레임워크 2.0은 취약점 관리를 거버넌스, 식별, 보호, 탐지, 대응, 복구의 여섯 기능으로 구성합니다.
CVE 표준화가 상당한 이점을 제공하지만, 시스템이 취약점 관리 워크플로우에 영향을 미치는 과제도 존재합니다.
CVE 시스템의 과제와 한계
취약점 관리 워크플로우는 NVD 데이터가 불완전할 때 실패를 경험합니다. 취약점 스캐너가 새로운 CVE를 발견했지만 NVD가 "분석 대기 중"을 반환하면, 기본적으로 Critical로 처리해 경보 피로를 유발하거나, 공급업체 권고와 위협 인텔리전스 피드를 수동으로 조사해야 합니다.
MITRE의 방법론에 따르면 2025년에 39,450개의 취약점 기록을 처리해야 하며, 이 규모는 가용 분석 자원을 초과합니다.
NVD 데이터 한계와 다중 소스 인텔리전스 필요성
국가 취약점 데이터베이스(NVD)는 유용한 CVSS 점수와 취약점 설명을 제공하지만, NVD만으로 취약점 데이터 분석 및 추적을 의존하면 보안 태세에 공백이 생깁니다. NVD의 가장 큰 한계는 환경 맥락의 부재입니다: CVSS 점수는 실제 악용 가능성이나 귀하 환경에 미치는 구체적 영향을 반영하지 않습니다. Critical로 평가된 취약점도 영향받는 구성요소가 인터넷에 노출되지 않은 격리 네트워크에서 실행된다면 위험이 미미할 수 있습니다. 반대로, 고객 데이터를 처리하는 인터넷 노출 애플리케이션의 Medium 등급 취약점이 가장 우선순위 높은 위험이 될 수 있습니다.
NVD 데이터는 실제 악용 상태에 대한 맥락이 부족합니다. CVSS 기본 점수는 이론적 심각도를 평가하지만, 위협 행위자가 실제로 해당 취약점을 무기화하고 있는지 여부는 나타내지 않습니다. 이 정보 격차로 인해 취약점 우선순위가 잘못 지정될 위험이 있습니다: 팀이 이론상 Critical 취약점 조치에 몇 주를 소모하는 동안, 공격자가 실제로 악용 중인 Medium 취약점을 간과할 수 있습니다.
심각한 NVD 백로그는 이러한 문제를 악화시킵니다. NIST의 NVD 프로그램 업데이트에 따르면, 2024년 CVE 제출이 32% 증가했지만 처리 용량은 제한되어 백로그가 계속 증가하고 있습니다. 최근 취약점은 종종 몇 주 또는 몇 달간 "분석 대기 중" 상태를 유지하며, 실제 악용 위험이 가장 높은 초기 기간에 보안팀이 CVSS 점수를 받지 못합니다. 공급업체 권고, 위협 인텔리전스 피드, CISA Known Exploited Vulnerabilities 카탈로그 등 추가 인텔리전스 소스를 통합하지 않으면, 조직은 과도하게 대응하거나 과소 대응할 위험이 있습니다.
정확한 취약점 관리를 위해서는 다중 소스 인텔리전스 접근이 필수적입니다. 제품별 맥락과 조치 가이드를 위한 공급업체 권고, 악용 지표와 공격자 전술, 기법, 절차(TTP)를 위한 위협 인텔리전스 피드, 실제 악용 상태 확인을 위한 CISA의 KEV 카탈로그, 그리고 보안 연구 커뮤니티와의 관계가 필요합니다. 이 통합 접근법은 이론적 심각도만이 아닌 실제 위험에 기반해 우선순위를 지정할 수 있게 합니다.
추가 시스템 과제
CVE 카운팅 규칙은 취약점 추적 방식에 한계를 만듭니다. 일부 보안 약점은 CVE ID를 받지 못할 수 있습니다. 최근 CVE 대부분에 영향을 미치는 심각한 NVD 백로그와 결합되어, 이러한 공백은 보안팀이 공급업체 권고, CISA 알림, 위협 인텔리전스 피드 등 여러 인텔리전스 소스를 통합해야 함을 의미합니다.
분산된 CNA 모델은 확장성을 높이지만, 일관성 문제를 야기합니다. 수백 개의 CNA가 각자 정의된 범위 내에서 운영되므로, CVE 기록의 품질과 완성도가 상이할 수 있습니다.
조정된 공개의 일정 관리는 엄격한 일수 기준이 아니라 발견자와 공급업체 간 명확한 기대치에 달려 있습니다. 보안팀은 공급업체가 일반적으로 취약점 심각도, 악용 상태, 조치 복잡도에 따라 임계값을 설정한다는 점을 이해함으로써 공개 일정을 예측할 수 있습니다.
이러한 과제에도 불구하고, 검증된 모범 사례를 통해 취약점 관리 프로그램 내에서 CVE를 효과적으로 관리할 수 있습니다.
CVE 관리 모범 사례
여러 인텔리전스 소스를 결합한 위험 기반 우선순위 지정을 구현해야 합니다. 즉각적인 우선순위 필터로 CISA의 Known Exploited Vulnerabilities 카탈로그부터 시작하십시오. 이들 1,484개 취약점은 실제로 악용 중임이 확인되어 가장 빠른 대응이 필요합니다.
전략적 우선순위 지정을 위한 CISA KEV 활용
CISA의 Known Exploited Vulnerabilities 카탈로그는 귀하의 패치 관리 전략의 기반이 되어야 합니다. 조치 일정을 악용 상태와 직접 연계하십시오: KEV에 등재된 취약점은 실제 위협이므로 2~7일 내 대응이 필요합니다. CISA가 취약점을 KEV 카탈로그에 추가했다면, 위협 행위자가 이미 귀하와 같은 조직을 대상으로 실제 공격에 사용 중임을 의미합니다.
즉각적인 조치 외에도, KEV 카탈로그를 활용해 위협 인텔리전스 활동을 안내하십시오. 새롭게 추가된 KEV 항목을 정기적으로 검토하여, 위협 행위자가 어떤 취약점 유형을 우선시하고, 어떤 산업을 겨냥하며, 어떤 공격 체인을 구성하는지 파악하십시오. 이 인텔리전스는 탐지 전략에 반영됩니다. CISA가 VPN 제품의 인증 우회 취약점을 KEV에 추가했다면, 해당 CVE를 이미 패치했더라도 비정상 인증 패턴 모니터링을 강화하십시오.
KEV 통합은 탐지 역량과 사고 대응 준비성을 높입니다. KEV 등재 취약점의 악용 기법을 겨냥한 탐지 규칙을 구축하십시오. CISA가 CVE-2024-12345가 특정 엔드포인트로 조작된 HTTP 요청을 통해 악용된다고 문서화했다면, 해당 요청 패턴을 탐지하는 네트워크 시그니처를 생성하십시오. SIEM이 자산 인벤토리와 악용 시도를 자동으로 연계하여, 긴급 패치가 필요한 시스템과 이미 보호된 시스템을 식별하도록 구성하십시오.
패치 관리 전략
동료 검토 연구에 따르면, EPSS와 CISA의 KEV 카탈로그를 통합하면 CVSS만 사용하는 접근법 대비 18배의 효율성 향상을 달성했습니다. 악용 상태와 심각도에 따라 패치 일정을 적용하십시오:
| 우선순위 범주 | 일정 | 근거 |
| CISA KEV(실제 악용) | 2-7일 | 실제 악용 중 |
| Critical 심각도 + High EPSS | 7-14일 | 높은 악용 확률 |
| Critical 심각도 + Low EPSS | 30일 | 악용 증거 없음 |
| High 심각도 + High EPSS | 14-30일 | 중간 심각도, 악용 가능성 높음 |
| High 심각도 + Low EPSS | 60일 | 중간 심각도, 위험 낮음 |
공급업체 권고, 자율 데이터 보강, 보안 연구 커뮤니티 관계 등 다양한 인텔리전스 소스를 통합하십시오.
도달성 분석을 활용해 조치 부담을 줄이십시오. 연구에 따르면 도달성 분석은 라이브러리에 존재하지만 실제 배포 환경에서 호출되지 않는 취약점을 식별하여 조치 작업량을 크게 줄일 수 있습니다.
중요도 분류가 포함된 상세 자산 인벤토리를 유지하십시오. 인터넷 노출 자산, 비즈니스 핵심 시스템, 민감 데이터 처리 시스템을 추적하십시오. 명확한 책임이 포함된 문서화된 패치 SLA를 수립하십시오. 패치 예외를 허용할 경우, 보완 통제, 기간, 승인 권한을 문서화하십시오.
이러한 모범 사례를 구현하려면, 지속적인 취약점 탐지와 지능형 우선순위 지정을 지원하는 도구가 필요합니다.
SentinelOne의 CVE 위험 관리 지원
스케줄 기반 스캔 없이 지속적으로 작동하는 취약점 탐지가 필요합니다. Singularity Vulnerability Management는 기존 SentinelOne 엔드포인트 에이전트를 통해 환경을 실시간으로 모니터링합니다. 이 플랫폼은 기존 엔드포인트 인프라를 활용해 운영체제 및 애플리케이션 전반의 취약점을 탐지합니다.
Singularity Platform은 보안 환경 전반에 대한 통합 가시성을 제공하며, 취약점 데이터를 위협 인텔리전스 피드와 연계해 즉각적인 대응이 필요한 이슈를 자동으로 표시합니다. MITRE ATT&CK 평가에서 SentinelOne은 타 엔드포인트 보안 플랫폼 대비 88% 적은 알림(12건, 경쟁사 178,000건)을 생성하여, 오탐 피로를 제거하고 실제 위협에 집중할 수 있도록 합니다.
Singularity Platform 생태계와의 통합을 통해, Singularity Endpoint, Singularity Cloud, Singularity Identity, Singularity XDR 기능 전반에 걸쳐 통합 가시성을 제공합니다. 취약점 데이터는 광범위한 위협 탐지 및 대응 워크플로우로 직접 연계되어, 취약점이 실제로 악용될 때 조정된 대응이 가능합니다. Purple AI는 초기 도입자 기준 최대 80%까지 위협 조사를 가속화하며, 자연어 보안 분석을 통해 팀의 역량을 강화합니다.
이 자율적 접근 방식은 기존 스캐닝에서 취약점 공개와 탐지 간의 격차를 해소합니다. 네트워크 기반 스캐너의 인프라 오버헤드, 대역폭 소모, 스케줄링 복잡성 없이 지속적인 평가가 가능합니다.
SentinelOne 데모를 예약하여 Singularity Vulnerability Management가 지속적 탐지, 자율 우선순위 지정, 통합 위협 대응을 통해 기업 전반의 CVE 위험을 어떻게 줄이는지 확인하십시오.
핵심 요약
CVE 표준화는 보안 스택 전반의 커뮤니케이션 문제를 해결하여, 스캐너, 위협 피드, 공급업체 권고가 모두 동일한 식별자로 취약점을 참조하도록 보장합니다. 연간 39,450건의 CVE 기록 중 실제 악용이 확인된 것은 1% 미만이므로, 효과적인 우선순위 지정이 관리 가능한 작업량과 경보 피로를 구분합니다.
팀의 한정된 시간을 CISA KEV 카탈로그의 1,484개 실제 악용 CVE에 우선 집중하고, 나머지 취약점에는 EPSS 확률 점수를 적용하십시오. 연구에 따르면 이 통합 접근법은 CVSS만 사용하는 방법 대비 18배의 효율성 향상과 더 많은 악용 취약점 탐지를 제공합니다.
NVD 백로그로 인해 완전한 데이터 보강을 기다릴 수 없습니다. 공급업체 권고, CISA 알림, 위협 피드, NVD 데이터를 함께 활용하는 다중 소스 인텔리전스 파이프라인을 구축하여, 실제 악용 취약점에 대한 2~7일 내 조치 목표를 달성하십시오.
자주 묻는 질문
CVE(공통 취약점 및 노출)는 공개적으로 공개된 보안 취약점에 할당되는 표준화된 식별자입니다. 각 CVE는 CVE-YYYY-NNNN 형식을 따르며, YYYY는 연도, NNNN은 고유 일련번호입니다.
MITRE Corporation이 CVE 시스템을 관리하며, 이를 통해 보안 도구, 벤더, 연구원이 업계 전반에서 취약점을 일관되게 참조할 수 있습니다.
CVE 번호 할당 기관(CNA)이 각자의 정의된 범위 내에서 CVE 식별자를 할당합니다. CVE 프로그램에는 수백 개의 CNA가 포함되어 있으며, 벤더 조직, 연구 기관, 오픈 소스 프로젝트, CERT 조직, 버그 바운티 제공자가 있습니다.
이러한 CNA는 MITRE가 조정하는 분산된 계층 구조로 운영되어 전 세계 보안 생태계에서 더 빠른 취약점 추적이 가능합니다.
취약점은 소프트웨어 또는 하드웨어의 모든 보안 약점을 의미합니다. CVE는 공개적으로 공개되고 출시된 소프트웨어에 영향을 미치는 취약점에만 할당되는 표준화된 식별자입니다.
침투 테스트에서 수십 개의 취약점을 발견할 수 있지만, CVE 기준을 충족하는 경우에만 식별자가 부여됩니다. 제로데이 취약점은 벤더가 패치를 준비할 때까지 CVE ID가 할당되지 않습니다.
보안 팀은 보안 연구, 벤더 테스트, 버그 바운티 프로그램, 위협 헌팅, 사고 대응을 통해 취약점을 발견합니다.
취약점을 발견하면, 영향을 받는 제품에 따라 적절한 CVE 번호 할당 기관에 이를 보고합니다. 책임 있는 공개는 FIRST.org의 가이드라인을 따르며, 명확한 조정 정책과 실행 가능한 일정이 포함됩니다.
아닙니다. 약 200,000개의 알려진 CVE 중 CISA의 Known Exploited Vulnerabilities 카탈로그는 실제로 악용이 확인된 1,484개만 추적하며, 이는 1% 미만입니다.
보안 팀은 이 확인된 악용 하위 집합을 우선적으로 처리하고, 나머지 취약점에는 EPSS와 같은 위험 기반 접근 방식을 적용해야 합니다.
확인된 악용 사례는 CISA의 KEV 카탈로그를 우선 참고하고, 이후 EPSS로 악용 가능성, CVSS로 심각도, SSVC로 조직 맥락을 적용하세요.
연구에 따르면 이 통합 접근 방식은 CVSS만 사용하는 방법에 비해 18배의 효율성을 제공합니다. 도달성 분석을 통해 노출되지 않은 취약점을 식별하고 자산의 중요도에 따라 조정하세요.
조직은 사전 탐지와 신속한 대응을 결합한 다계층 접근 방식을 통해 CVE 위험을 줄입니다. 주기적인 평가 대신 지속적인 취약점 스캐닝을 구현하여 환경에 영향을 미치는 새로운 CVE를 식별하십시오. CISA의 KEV 카탈로그를 활용해 실제 악용이 확인된 취약점을 우선적으로 조치하고, EPSS 점수를 참고하여 악용 가능성이 높은 취약점을 우선순위로 지정하십시오.
정확한 자산 목록을 유지하여 새로운 CVE가 공개될 때 영향을 받는 시스템을 신속하게 식별할 수 있도록 하십시오. 네트워크 분할, 엔드포인트 보호, 접근 제어 등 다계층 방어 통제를 배포하여 취약점이 존재하더라도 노출을 최소화하십시오. 중요한 취약점에 대해 명확한 책임과 에스컬레이션 경로가 포함된 문서화된 패치 SLA를 수립하십시오.
