공통 취약점 평가 시스템(CVSS)은 보안 취약점의 심각도를 평가하고 등급을 매기는 공개 프레임워크입니다. 이에 따라 CVSS가 부여하는 점수는 주로 사이버 보안 전문가들의 위험 완화 활동에 활용됩니다. CVSS 점수는 취약점 수준을 판단하기 위해 0에서 10 사이로 측정됩니다. 2023년 보고서에 따르면, 새로 보고된 취약점의 약 93%가 국가 취약점 데이터베이스(NVD)에 의해 분석되지 않은 채 남아 있어, 공개적으로 이용 가능한 개념 증명(PoC) 익스플로잇이 존재하는 무기화 가능성 높은 취약점이 놀라울 정도로 방치되고 있습니다.
이러한 격차는 공통 취약점 평가 체계의 중요성을 부각시킵니다. 이를 통해 조직은 취약점을 평가하고 우선순위를 정하는 일관된 접근 방식을 취할 수 있으며, 이를 바탕으로 새롭게 등장하는 위협에 대해 훨씬 더 선제적인 대응 태세를 취할 수 있습니다.
본 블로그 글에서는 공통 취약점 평가 체계에 대해 상세히 논의할 것입니다. 또한 취약점 평가 체계, CVSS 점수 계산의 기초를 설명하고, CVSS 계산기를 검토하며, 효과적인 취약점 관리를 지원하는 다른 체계들과 비교할 것입니다. 글을 마치면 조직의 사이버 보안 태세를 개선하는 데 필요한 정보를 갖추게 될 것입니다.
CVSS(공통 취약점 평가 시스템)란 무엇인가요?
CVSS(공통 취약점 평가 시스템)는 소프트웨어 취약점을 평가하고 전달하기 위해 사용되는 표준화된 시스템입니다. 0에서 10까지의 수치 점수를 포함하며, 값이 높을수록 취약점이 더 심각함을 의미합니다. CVSS는 2005년 국가 인프라 자문 위원회(NIAC)에 의해 CVSS 1.0으로 출시되었습니다. 이후 NIAC는 CVSS의 향후 개발을 담당할 기관으로 사고 대응 및 보안 팀 포럼(Forum of Incident Response and Security Teams, 통칭 FRONT)을 선정했습니다.p>CVSS는 기본(base), 시간적(temporal), 환경적(environmental) 세 가지 메트릭 그룹으로 구성됩니다. 이러한 메트릭은 조직이 취약점의 다양한 측면, 즉 악용 가능성, 시스템 내 확산 범위, 다양한 환경에서의 완화 가능성 등을 포착하는 데 도움을 줍니다. 이러한 구조화된 접근 방식을 통해 CVSS는 조직이 취약점을 보다 효율적으로 처리할 수 있도록 지원하며, 각 결함이 초래할 수 있는 예상 영향에 따라 패치 또는 완화 전략의 우선순위를 정하는 것을 가능하게 합니다.
취약점 관리에 CVSS가 중요한 이유는?
CVSS는 취약점 관리에서 중요한 역할을 하며, 조직이 체계적으로 취약점을 평가하고 우선순위를 정하는 데 도움을 줍니다. 따라서 CVSS를 효과적으로 활용하면 자원을 필요에 따라 사용함으로써 조직의 전반적인 보안을 보장할 수 있습니다. 다음은 취약점 관리에 있어 CVSS의 중요성을 반영하는 몇 가지 요소입니다:
- 크로스 플랫폼 표준화: 대규모 IT 환경을 운영하는 조직은 플랫폼과 시스템을 초월하여 취약점을 평가하기 위해 CVSS가 제공하는 통일된 점수 체계가 필요합니다. 표준화된 점수 체계는 모든 취약점을 동일한 기준으로 판단할 수 있게 하여 의사 결정의 견고한 기반을 마련합니다.
- 초기 취약점 집중 대응: CVSS는 보안 팀이 통합된 심각도 지표를 기반으로 취약점 우선순위를 정할 수 있게 합니다. 이는 주관적 편향을 제거하고 IT 팀이 가장 중요한 취약점에 먼저 집중할 수 있도록 합니다. 한 보고서에 따르면, 71%의 조직이 취약점을 자체적으로 관리했지만, 그 프로그램이 매우 효과적이라고 평가한 조직은 30%에 불과했습니다. 고무적인 점은 44%가 보안 노력을 강화하기 위해 취약점 관리 솔루션에 대한 투자를 늘릴 계획이라는 것입니다.
- 보안 프로세스 자동화: CVSS 점수는 일반적으로 취약점 관리에 사용되는 자동화 도구에서 제공됩니다. 이러한 자동화 도구는 패치 또는 완화 우선순위를 자동으로 결정하여 패치 소요 시간과 잠재적 인적 오류를 최소화합니다. CVSS는 수동 위험 평가를 최소화하는 수준의 자동화를 가능하게 하여 대응 속도를 가속화합니다.
- 관계자와의 원활한 소통: CVSS는 취약점 논의에 공통 언어를 제공하여 IT 및 개발 팀이 비기술적 이해관계자와 업무를 적절히 소통할 수 있게 합니다. 공통된 이해를 바탕으로 취약점 관리에 관여하는 모든 구성원이 동일한 문제를 인지하므로 자원을 적절히 배분할 수 있으며, 이는 보안 이니셔티브의 정당성을 입증하는 데 도움이 됩니다.
- 규제 요건 준수: CVSS를 사용하면 조직이 취약점을 선제적으로 관리하고 있음을 입증할 수 있어 GDPR, PCI-DSS 또는 CCPA와 같은 규제 표준 준수를 용이하게 합니다. 대부분의 규제 환경에서는 선제적인 취약점 관리가 필요하며, CVSS는 보안 모범 사례가 준수되고 있음을 증명하는 데 필요한 투명성을 제공합니다. CVSS와 같이 공통적으로 인정받는 시스템을 사용하여 취약점을 분석하고 우선순위를 지정하면 규정 준수 감사가 간소화될 수 있습니다.
- 정보에 기반한 패치 관리 결정: 점수가 높은 취약점을 우선적으로 해결하여 가장 큰 위험 완화에 자원을 투입해야 합니다. 한 설문조사에 따르면, 62%의 조직이 데이터 침해 사고를 경험하기 전까지 자사의 취약점을 인지하지 못했으며, 이는 효과적이고 정보에 기반한 패치 관리의 중요성을 다시 한번 강조합니다. 취약점을 선제적으로 해결함으로써 조직은 침해 위험을 크게 줄이고 전반적인 보안 태세를 강화할 수 있습니다.
CVSS와 다른 취약점 평가 시스템 비교
특정 산업이나 사용 사례에 맞춰 설계된 다양한 취약점 평가 시스템이 존재함에 따라 조직이 결정을 내리고 하나를 선택하는 것은 매우 어려워졌습니다. 따라서 다음 섹션에서는 일반적인 취약점 평가 시스템과 다른 인기 있는 평가 시스템 간의 차이점을 비교하여 각 시스템의 고유한 특징과 적용 사례를 살펴보겠습니다.
| 측면 | 공통 취약점 평가 시스템(CVSS) | OWASP 위험 등급 방법론 | Microsoft 독점 점수 |
|---|---|---|---|
| 점수 범위& | 0부터 10까지, "없음"부터 "심각"까지 더 세분화된 심각도 표현 가능 | 낮음, 중간, 높음, 심각 점수 수준 | 낮음에서 높음까지 심각도 1-5 |
| 평가 지표 | 기본(내재적), 시간적(시간 민감), 환경적(상황 특정) | 애플리케이션 및 사용자에 대한 잠재적 영향에 중점 | Windows 특정 위험 내 악용 가능성 및 영향 측정 |
| 표준화 수준 | 높음, 국제적으로 인정되며 업계에서 광범위하게 적용됨 | 중간 수준, 재량적이며 표준화 정도 낮음 | 낮음, 독점적이며 Microsoft 환경에만 적용 가능 |
| 적용 범위 | 광범위, 기존 IT 및 클라우드 환경에 적용 가능 | 주로 웹 애플리케이션, 웹 기반 위험 요소에 중점 | Microsoft 생태계로 제한, 주로 Windows 취약점 해결 |
| 사용 편의성 | 직관적으로 사용 가능, 일반 및 전문 사이버 보안 팀 모두를 위해 설계됨 | 상황에 따라 다름, 위험 분석에 대한 전문 지식 필요 | 범위 제한적, Microsoft 생태계에 대한 친숙함 권장& |
| 개방형 아키텍처 | 예, 오픈소스 프레임워크로 다양한 도구 및 통합을 위해 수정 가능 | 예, 웹 애플리케이션 평가에 개방적이고 적용 가능 | 아니요, 폐쇄형 소스로 Microsoft 시스템 내에서만 적용 가능 |
이러한 비교를 통해 CVSS는 여러 산업에 걸쳐 적용되는 표준으로 분명히 부상합니다. 광범위한 적용을 위해 설계된 CVSS는 기존 IT 시스템과 현대적인 클라우드 기반 환경 모두에서 비교할 수 없는 적응성으로 취약점을 평가할 수 있습니다. 반면 OWASP 위험 등급 방법론은 주로 웹 애플리케이션에 초점을 맞추며, 잠재적 위험과 영향에 기반한 주관적 판단에 더 많이 의존합니다.
Windows 환경 내에서 효과적이긴 하지만, Microsoft의 독점적 취약점 점수 체계는 CVSS가 제공하는 보편적 적용성을 갖추지 못합니다. 이질적인 IT 인프라를 보유한 조직의 경우, CVSS는 플랫폼 전반에 걸쳐 취약점을 일관되게 평가할 수 있는 유연성을 제공합니다. 포괄적인 측정 기준은 매우 세분화된 평가를 가능하게 하여, 조직이 각 취약점과 관련된 전반적인 위험을 보다 완벽하게 이해할 수 있도록 합니다.
CVSS 대 CVE 이제 다른 취약점 점수 체계와의 차이점을 알았으니, CVSS와 공통 취약점 및 노출(Common Vulnerabilities and Exposures, CVE)을 비교해 보겠습니다. CVSS와 CVE의 핵심 차이점은 취약점 관리 내에서의 목적에 있습니다. CVE는 고유 식별자를 가진 공개적으로 알려진 취약점 목록을 제공하는 반면, CVSS는 이러한 취약점의 심각도를 평가하기 위한 점수 시스템을 제공합니다. 표를 통해 자세히 살펴보겠습니다:
| 측정 항목 | CVSS | CVE |
|---|---|---|
| 목적 | 취약점 심각도를 평가하는 방법을 제공합니다. | 공개적으로 알려진 취약점을 고유 식별자와 함께 나열합니다. |
| 요소 | 취약점 평가의 핵심 요소로 대응 우선순위 설정에 도움. | 보안 취약점 목록화 및 추적에 필수적. |
| 표준 소유자 | FIRST에서 유지 관리하며, 점수 부여 지침을 제공합니다. | MITRE Corporation에서 관리하며, 고유 식별자를 할당합니다. |
| 위험 평가에서의 활용 | 취약점 영향도 점수를 통해 위험 평가를 지원합니다. | 참조 카탈로그로 사용되나 위험 평가를 위한 점수화가 필요합니다. |
| 점수 체계 | 위험 점수에 기본, 시간적, 환경적 지표를 사용합니다. | 점수를 매기거나 목록화하지 않고 취약점만 설명합니다. |
| 실용성 | 심각도 점수에 기반하여 대응 우선순위를 정하는 데 도움이 됩니다. | 추적에는 실용적이지만 우선순위 지정에는 점수가 필요함. |
| 구조 | 중대성 지표를 포함한 점수 프레임워크로 구성됨. | 위험 지표 없이 카탈로그 형태로 구성됨. |
| 우선순위 지정 | 점수를 통해 영향도에 따른 취약점 우선순위 지정 가능. | 우선순위 결정 시 CVSS 또는 기타 도구 필요. |
| 고유 식별자 | 고유 ID 없음, 위험 점수만 제공. | 각 취약점에 고유 ID(예: CVE-YYYY-XXXX) 제공.& |
| 복잡도 | 점수에 공격 복잡도 같은 지표를 포함합니다. | 복잡도 평가가 없으며 순수한 취약점 목록입니다. |
| 도구와의 통합 | 평가 및 대응을 위해 보안 플랫폼에 통합됨.& | 도구에서 주로 취약점 목록화 및 추적에 사용됨. |
위 표에서 알 수 있듯이, CVE는 취약점 저장소 역할을 하며 식별된 모든 취약점에 고유 식별자를 부여합니다. 이를 통해 플랫폼과 산업 간 추적 및 공유가 가능해집니다. CVSS는 CVE 정보를 기반으로 취약점의 심각도를 평가하는 추가적인 맥락을 제공합니다. 따라서 CVSS는 조직이 적절한 대응 조치를 결정할 수 있는 정보를 제공함으로써 CVE를 보완합니다.&
CVE가 "취약점이 무엇인가?"라는 질문에 답한다면 CVSS는 "취약성의 심각도는 어느 정도인가?"라는 질문에 답합니다. 둘 다 전체 주기적인 취약점 관리 프로세스. CVE와 같은 취약점 식별 프로세스가 초기 단계를 형성하는 반면, CVSS와 같은 대응 우선순위 결정의 맥락이 그 뒤를 잇습니다.
CVSS 점수 산정 방법론 이해하기
CVSS 점수 산정 방법론은 크게 세 가지 지표 그룹으로 나뉩니다. 기본 점수(Base), 시간적 점수(Temporal), 환경적 점수(Environmental)입니다. 각 지표는 전체 취약점을 반영하는 종합 점수 계산에 기여합니다. 이러한 지표를 통해 조직은 특정 취약점이 어떻게 악용될 수 있는지, 악용될 가능성, 그리고 이를 통해 조직 환경에 미칠 수 있는 영향에 대해 인지하게 됩니다.&
CVSS의 다양한 메트릭: 기본 점수, 시간적 점수, 환경적 점수
CVSS 점수 모델은 세 가지 유형의 지표를 기반으로 하며, 이들이 함께 취약점의 심각도를 정량화합니다. 각 지표 유형은 특정 목적을 수행하며 취약점이 초래하는 위험을 평가할 수 있는 서로 다른 관점을 제공합니다. 이 지표들을 자세히 살펴보겠습니다:
- 기본 메트릭스: 기본 메트릭스는 시간이 지나도 변하지 않는 취약점의 구성 요소입니다. 여기에는 공격 벡터 자체의 특성(네트워크 기반, 인접 네트워크 기반, 로컬 등)이 포함되나 이에 국한되지 않습니다. 영향 지표에는 기밀성, 무결성, 가용성이 포함됩니다. 이들이 모든 CVSS 점수의 기본 지표를 구성합니다.
- 시간 기반 지표: 시간 기반 지표는 시간이 지남에 따라 변할 수 있는 요소를 고려합니다. 예를 들어, 악용 코드의 가용성이나 해결책의 존재 여부 등이 있습니다. 패치가 배포되면 시간 기반 지표는 위험 감소 반영을 위해 업데이트됩니다. 이러한 지표는 동적 정보를 제공하므로 CVSS는 실시간 점수가 되어 취약점에 대한 추가 정보가 확보됨에 따라 변경될 수 있습니다.
- 환경적 메트릭스: 환경적 메트릭스는 영향을 받는 시스템에 적용될 수 있는 특성에 따라 CVSS 점수를 조정할 수 있게 합니다. 이러한 메트릭스는 취약점의 영향이 조직의 특정 환경에 반영되도록 기본 점수와 시간적 점수를 조정하는 데 도움이 됩니다. 따라서 조직이 해당 취약점이 자신들에게 미치는 실제 위험을 파악할 수 있도록 맞춤화가 중요합니다.
CVSS 점수 심각도 등급: 낮음, 중간, 높음, 심각
CVSS 점수는 취약점이 초래할 수 있는 위험 범위를 나타내는 서로 다른 심각도 등급을 가집니다. 낮음, 중간, 높음, 심각으로 분류되며, 조직이 시정 조치에 필요한 자원을 파악할 수 있도록 긴급성과 영향력을 가늠하게 합니다. 각 점수 범위의 의미는 다음과 같습니다:
- 낮음 (0.1 ~ 3.9): 낮은 점수의 취약점은 시스템에 최소한의 위험만을 초래합니다. 이러한 취약점은 악용하기 어렵거나, 악용되더라도 영향이 매우 미미합니다. 악용 가능성이나 핵심 기능에 미치는 영향이 거의 무시할 수 있을 정도로 작으므로, 조직은 추후에 처리하기로 결정할 수 있습니다.
- 중간 (4.0 ~ 6.9): 이 범주의 취약점은 악용에 중간 정도의 노력이 필요하거나, 악용이 성공할 경우 중간 정도의 영향을 미칠 수 있습니다. 이러한 취약점은 어느 정도 주의가 필요할 수 있지만 일반적으로 상황을 위험에 빠뜨리지는 않습니다. 따라서 팀은 가용성과 현재 작업 부하에 따라 우선순위를 정해야 합니다.
- 높음 (7.0 ~ 8.9): 높은 점수의 취약점은 악용하기가 더 쉬우며, 악용될 경우 시스템의 기밀성, 무결성 또는 가용성에 영향을 미칩니다. 실제로 이러한 취약점은 오랫동안 해결되지 않은 상태로 방치될 경우 조직 내에서 중대한 보안 사고 발생 위험이 높아지므로, 해결을 위해 상당한 수준의 시정 조치가 필요합니다.
- Critical (9.0 – 10.0): 가장 위협적이며 우선적으로 해결해야 할 취약점이 바로 중요 취약점입니다. 이 목록에는 쉽게 악용될 수 있는 취약점이나 성공적으로 악용될 경우 심각한 피해를 초래하는 취약점이 포함됩니다. 대부분의 조직은 중요 취약점이 발견되면 긴급 패치 적용과 같은 절차를 시행합니다.
CVSS 점수는 어떻게 계산되나요?
CVSS 점수 산출은 다양한 측정값이 계산에 반영되기 때문에 기업에게 복잡한 작업일 수 있습니다. 이 체계적인 접근 방식에서는 취약점 영향도부터 모든 요소가 매우 신중하게 가중치 부여됩니다. 본 섹션에서는 이 점수 산정 과정을 네 단계로 나누어 설명하겠습니다:
- 기본 메트릭 그룹 평가: 첫 번째 단계는 취약점 자체의 본질적 특성을 대표하는 기본 메트릭에 값을 할당하는 것입니다. 여기에는 공격 벡터, 공격 난이도, 필요한 권한, 사용자 상호작용, 기밀성·무결성·가용성에 미치는 영향 등이 포함됩니다. 기본 지표는 특정 취약점의 본질적 특성을 고려하여 1차 위험 기준선을 설정하는 역할을 합니다.
- 시간적 지표 그룹 테스트: 다음 단계에서는 시간적 지표 집합을 평가합니다. 이는 해결책이나 악용 코드의 가용성, 보고 신뢰도 등 취약점의 현재 상태를 확인하는 것을 포함합니다. 시간적 점수는 악용 가능성이나 해결책의 변화에 따라 시간이 지남에 따라 변경될 수 있습니다. 이는 상황이 진전됨에 따라 조직이 위험 수준을 적절히 재평가할 것을 요구합니다.
- 환경 지표 그룹의 맞춤 설정: 세 번째 단계에서는 환경 지표를 고려합니다. 이를 통해 조직은 취약점이 자체 환경에 미치는 영향을 반영하여 기본 점수와 시간적 점수를 변경할 수 있습니다. 환경 지표는 조직마다 다른 보안 요구사항을 도입하여 CVSS 점수를 기업의 보안 우선순위 및 운영 요구사항에 좀 더 실용적으로 맞출 수 있게 합니다.
- CVSS 계산기를 이용한 점수 산출: 모든 지표 그룹에 점수를 부여한 후, 국가 취약점 데이터베이스(NVD)에서 제공하는 CVSS 계산기를 통해 최종 점수를 산출합니다. 이 점수는 취약점의 심각도를 설명하므로 조직은 대응 활동을 보다 정밀하게 수행할 수 있습니다.
조직이 CVSS를 활용해 취약점 우선순위를 정하는 방법?
취약점 우선순위 지정은 효과적인 사이버 보안 전략의 핵심 요소입니다. 따라서 CVSS 점수는 조직이 즉각적인 조치가 필요한 취약점과 추후 처리 가능한 취약점을 식별하는 데 도움을 줍니다. 취약점 관리에 CVSS를 활용하는 조직은 체계적으로 위험을 완화할 수 있습니다. 조직이 CVSS를 활용할 수 있는 몇 가지 방법은 다음과 같습니다:
- 점수 강도 순위 지정: 7.0 이상으로 평가된 고위험 및 중요 취약점은 대규모 보안 침해 위험을 줄이기 위해 즉시 해결해야 합니다. 이러한 우선순위 지정은 조직이 가장 위험한 위협에 자원과 시간을 집중함으로써 해결 노력을 관리할 수 있게 합니다. 따라서 이러한 심각한 취약점을 먼저 해결하는 것이 핵심 자산을 진정으로 보호하고 조직의 운영에 발생할 수 있는 잠재적 중단을 줄일 수 있습니다.’s operations.
- 비즈니스 목표와 전략적 연계된 대응: 조직은 환경 지표를 활용하여 중요도에 따라 CVSS 점수를 조정해야 합니다. 이를 통해 핵심 자산이나 필수 기능에 영향을 미치는 취약점에 집중할 수 있습니다. 이는 수정 노력을 주요 전략적 비즈니스 목표 지원에 직접 연계시킵니다. 영향도에 따른 우선순위 지정은 조직이 성공과 보안에 가장 중요한 위험에 집중할 수 있게 하여 자원 활용을 극대화합니다.
- 취약점에 대한 자동 대응: 대부분의 취약점 관리 시스템은 자동화된 우선순위 지정 프로세스를 위해 CVSS 점수 산정 메커니즘과 통합되어 있습니다. 이러한 시스템은 CVSS를 통해 오류를 최소화하면서 중대한 취약점에 대한 자동 대응으로 워크플로를 트리거할 수 있습니다. 자동화를 통해 조직은 수동 작업을 줄여 보안 팀이 긴급한 취약점을 보다 효과적으로 처리하고 전반적인 보안 대응력을 향상시킬 수 있습니다.
- CVSS와 위협 인텔리전스 통합: 위협 인텔리전스 데이터( rel="noopener">위협 인텔리전스를 CVSS 점수에 적용함으로써, 조직은 각 취약점에 대한 실제 위험을 실시간으로 더 잘 이해할 수 있습니다. 위협 인텔리전스 데이터는 특정 취약점이 활발히 악용되고 있음을 보여줄 수 있으며, 따라서 우선순위를 조정하게 합니다. 이를 통해 조직은 진행 중인 공격보다 한 발 앞서 대응할 수 있으며, 새롭게 등장하는 위협에 대해 선제적으로 방어할 수 있습니다.
- CVSS 기반 우선순위 지정의 정기적 검토 및 업데이트: 조직 전체 차원에서 CVSS 기반 우선순위 지정 방식을 지속적으로 검토하고 개선하여 전략이 변화하는 보안 요구사항과 진화하는 위험 인식을 반영하도록 해야 합니다. 우선순위 재설정을 유발할 수 있는 사건으로는 새로운 위협 데이터, 인프라 변경, 비즈니스 목표 및 목적 변경 등이 있습니다. 이러한 정기적인 개선을 통해 CVSS의 정확성과 관련성을 활용한 취약점 관리 프로세스가 보안의 선제적 대응과 적응성을 확보할 수 있습니다.&
CVSS의 한계는 무엇인가?
CVSS는 취약점 심각도 평가에 효과적인 도구이지만, 고유한 단점도 존재합니다. 이러한 한계를 인지하면 기업이 이 기술을 적용하는 방식에 대해 보다 정보에 기반한 의사결정을 내리는 데 도움이 됩니다.
또한 이러한 한계를 이해하면 조직은 남겨진 공백을 메울 수 있는 보완 도구를 적용하는 데 더 유리한 위치에 설 수 있습니다.
- 상황별 정보 부족: CVSS 자체는 조직별 세부 사항을 본질적으로 고려하지 않습니다. 여기에는 비즈니스 가치나 조직의 특정 위협 환경이 포함됩니다. 사용자는 자신의 특정 환경과 사용 사례에 맞게 점수를 적절히 보정하기 위해 환경적 지표를 적용해야 합니다.
- 점수 부여의 주관성: 일부 항목은 주관적이며, 따라서 평가자의 경험에 따라 달라질 수 있습니다. 예를 들어, 공격 난이도나 필요한 권한은 매우 다를 수 있습니다. 따라서 취약점이 과대평가되거나 과소평가되어 궁극적으로 취약점 관리 프로세스의 효율성에 영향을 미칠 수 있습니다. 표준화된 점수 부여 지침은 이러한 위험을 최소화합니다.&
- 악용 가능성 추세 반영 미흡: 시간적 지표는 악용 가능성에 따라 달라지지만, CVSS는 공격 동향이 미래 위험에 미칠 수 있는 영향을 고려하지 않습니다. 취약점이 매우 낮은 점수를 받았더라도 시간이 지나면서 개발된 새로운 악용 기법으로 인해 더 위험해질 수 있습니다. 따라서 CVSS를 위협 인텔리전스 도구로 보완하는 것은 더 깊은 이해를 위해 필수적입니다.
- 취약점 간 상호작용에 대한 제한된 통찰력: CVSS만으로 점수를 매기는 것은 복합된 취약점의 시너지 효과를 고려하지 않습니다. 다수의 취약점을 악용하는 대규모 복잡한 공격 그래프는 점수 자체보다 훨씬 위험합니다. 이러한 복합적 위험을 식별하고 해결하기 위해서는 공격 경로 분석이나 침투 테스트 접근법으로 보완해야 합니다.
- 점수의 정적 특성: CVSS 점수의 문제점은 특정 시점의 스냅샷에 불과하다는 점입니다. 위협 환경의 변화나 조직이 속한 환경의 변화에 따라 점수가 자동으로 업데이트되지 않습니다. 이러한 '정적' 특성으로 인해 일부 평가는 특히 빠르게 변화하는 취약점 분야에서 상당히 구식이 될 수 있습니다.
- 점수의 정적 특성: CVSS 점수의 문제점은 특정 시점의 스냅샷에 불과하다는 점입니다. 위협 환경의 변화나 조직이 속한 환경의 변화에 따라 점수가 자동으로 업데이트되지 않습니다. 이러한 '정적' 특성으로 인해 일부 평가는 특히 빠르게 변화’ 특성 때문에 일부 평가는 상당히 구식이 되며, 특히 취약점이 매우 빠르게 변화하는 경우 더욱 그러합니다.
- 다양한 환경에서 우선순위화를 위한 최소한의 지침: CVSS만으로는 서로 다른 규제 또는 운영 요구사항을 가진 다양한 환경에 대한 적절한 우선순위화 지침을 제공할 수 없습니다. 예를 들어, 특정 금융 영역의 취약점은 규정 준수 문제를 위해 즉각적인 수정이 필요할 수 있지만, 다른 산업에서는 그 중요성이 덜할 수 있습니다. 조직은 규정 준수 및 운영 우선순위가 이러한 위험 요소와 계속 부합하도록 CVSS를 산업별 위험 요소와 함께 기반으로 삼아야 합니다.
공통 취약점 평가 시스템(CVSS) 모범 사례
조직이 CVSS를 모범 사례에 따라 사용하면 그 유용성을 극대화하면서 한계를 효과적으로 처리하는 데 도움이 됩니다. 이러한 관행은 일관된 적용을 통해 보안 팀이 가장 중요한 순간에 집중하고 적절히 완화할 수 있도록 보장합니다.
다음은 CVSS 모범 사례입니다:
- CVSS 점수와 위협 인텔리전스의 통합: 현재 위협 인텔리전스에 CVSS 점수를 포함하면 취약점에 대한 시각을 개선하고 실제 위험 평가를 설정합니다. 이는 추세나 더 활발한 위협과 같은 다른 측면을 고려할 여지를 제공합니다. 따라서 이러한 취약점 관리 접근 방식은 동적이고 대응력이 뛰어납니다.
- 환경 지표 활용: 환경 지표를 효과적으로 활용하면 조직의 특정 상황에 맞게 점수를 조정할 수 있습니다. 이러한 맞춤화는 일반적인 점수와 조직별 위험 관리 간의 격차를 해소하여 제한된 자원이 가장 큰 효과를 낼 수 있는 곳에 배치되도록 보장합니다.
- CVSS 점수는 자주 업데이트됩니다: 실제 문제는 사용되는 CVSS 점수가 취약점이 진화함에 따라 지속적으로 업데이트되어야 한다는 점입니다. 따라서 시간적 지표의 개발은 지속적인 취약점에 대한 점수가 현재의 악용 가능성과 패치 가용성을 반영하도록 보장합니다. 이를 통해 취약점 환경의 역동적인 변화에 대응하는 완화 전략을 수립할 수 있습니다.
- 자산 중요도에 기반한 우선순위 지정: CVSS 사용은 자산 중요도와 함께 적용하면 완화 전략 수립 시 이를 명확히 부각시킬 수 있습니다. CVSS 점수를 자산 가치나 중요도와 연계함으로써 보안 팀은 악용 시 높은 영향을 미치는 취약점에 집중할 수 있습니다. 이 접근법은 결과적으로 가장 위험한 자산이 우선적으로 고려되어 보호가 가장 필요한 곳에 방어 체계를 구축할 수 있도록 보장합니다.&
- 보안 기능 간 협업: 점수의 의미를 해석하는 과정에서 위험 관리 및 사고 대응과 같은 다양한 보안 기능의 참여를 통해 취약점 관리에 대한 공동의 추진력이 보장됩니다.-기능 팀은 즉각적인 위협 평가와 장기적 전략 계획 수립을 위해 각 사례에 CVSS 점수가 적용되도록 협력합니다. 이는 전반적인 보안 태세를 위해 팀 간 행동을 조율합니다.
- CVSS와 시정 조치 일정 결합: CVSS 점수를 기반으로 시정 일정을 수립하면 체계적인 대응이 가능해지고 지연을 방지할 수 있습니다. 조직은 CVSS 점수를 특정 대응 시간에 매핑하여 시기적절한 시정 정책을 시행함으로써 취약점을 예측 가능하고 효율적으로 처리합니다. 이러한 체계적인 접근 방식은 보안 팀 전반에 걸쳐 사전 자원 계획 수립과 책임 소재를 가능하게 합니다.
실제 적용 사례를 통한 CVSS 활용
실제 적용 사례를 통해 CVSS의 비즈니스 관련성을 입증하고 개념에 대한 실무 지식을 얻을 수 있습니다. 널리 알려진 취약점 몇 가지와 관련 CVSS 점수, 조직에 미칠 수 있는 영향을 아래에 제시합니다:
- 하트블리드(Heartbleed, CVE-2014-0160): 하트블리드 는 OpenSSL 암호화 소프트웨어 라이브러리의 취약점으로 CVSS 기본 점수가 7.5에 달했습니다. 이 취약점으로 인해 공격자는 하트비트 기능을 악용하여 해당 취약점이 있는 서버의 메모리에서 직접 민감한 데이터(개인 키 및 사용자 인증 정보 포함)를 읽을 수 있게 되었습니다. 이처럼 높은 점수는 기밀성에 대한 높은 영향을 나타내어 조직들이 즉각적인 패치 작업을 최우선으로 추진하도록 강요했습니다. 광범위한 취약점으로 인해 상당수의 웹사이트가 영향을 받았으며, 이는 업계 내에서 보안 관행 개선과 인식 제고를 위한 강력한 추진력을 이끌어냈습니다. 이는 또한 신원 도용과 결합된 대규모 데이터 유출로 이어질 수 있어 시정 조치가 필요했습니다.
- Windows SMB 원격 코드 실행 취약점 (CVE-2017-0144): 이 취약점에 대한 CVSS 점수는 8.8점(매우 높음)로 평가되었습니다. 이는 원격 코드 실행을 허용했기 때문입니다. 실제로 WannaCry 랜섬웨어는 마이크로소프트의 서버 메시지 블록(SMB) 구현 내 취약점을 악용한 이 공격 도구를 사용해 전 세계 수십만 대의 컴퓨터에 영향을 미쳤습니다. 이 취약점으로 공격자는 인증 없이 시스템에 접근하여 임의의 코드를 실행할 수 있었습니다. 이 점수는 즉각적인 패치 적용과 시스템 업데이트의 필요성을 분명히 보여주었으며, 이는 사이버 범죄자들이 소프트웨어나 시스템의 유사한 취약점을 얼마나 신속하게 악용하는지를 보여줍니다. 향후 이러한 악용이 발생하지 않도록 보다 강력한 보안 조치를 마련할 것을 촉구합니다.
- 셸쇼크(Shellshock, CVE-2014-6271): 셸쇼크는 CVSS 점수 9.8점을 기록하여 '심각' 등급으로 분류된 Bash 셸 취약점입니다. 환경 변수를 악용하여 해커들은 유닉스 기반 시스템에서 어떤 명령이라도 실행할 수 있었습니다. 이 취약점은 수많은 기기가 위험에 처해 있었기에 그 규모가 극히 중요했으며, 전 세계 시스템 관리자들은 즉각적인 조치를 서둘러야 했습니다. 원격 진입점은 인증되지 않았고 시스템은 많은 진입점에 대한 통제 수단이 거의 없었습니다. 무결성과 기밀성 측면에서 위협에 매우 취약했습니다. 조직들은 향후 재발 방지를 위한 광범위한 보안 조치와 함께 신속한 대응책을 시행해야 했습니다.
- Log4Shell (CVE-2021-44228): Log4Shell는 Log4j 로깅 라이브러리의 취약점을 기반으로 한 공격으로, CVSS 점수 10점의 심각한 수준을 기록했습니다. 공격자는 특수 제작된 로그 메시지를 수신할 때 해당 라이브러리를 구현한 서버에서 임의 코드 실행을 수행할 수 있습니다. 수천 개의 패키지에 걸쳐 수많은 애플리케이션에 적용된 이처럼 노출 위험이 높은 취약점은 해당 분야 내에서 광범위한 긴급 패치 작업을 필요로 했습니다. 조직들은 잠재적 악용으로부터 시스템을 보호하기 위해 극심한 압박 속에서 운영해야 했으며, 패치 실패는 매우 심각한 데이터 유출 및 운영 중단을 의미했습니다. 이 사건은 소프트웨어 라이브러리의 업데이트를 유지하고 항상 이러한 취약점을 경계할 필요성을 부각시켰습니다.
- Spectre 및 Meltdown (CVE-2017-5754): Spectre and Meltdown는 데이터 프라이버시와 시스템 무결성에 미치는 중대한 영향으로 인해 CVSS 척도에서 5.6점을 받은 마이크로프로세서 취약점입니다. CPU 아키텍처의 이러한 결함은 공격자가 다양한 애플리케이션 간 메모리 내 정보를 접근할 수 있게 합니다. 하드웨어 수준에서의 아키텍처 변경과 소프트웨어 패치의 조합이 필요했기 때문에 전 세계 조직에 문제를 야기했습니다. 이는 하드웨어 보안에 대한 추가 연구와 컴퓨팅 기술 내 신종 위협과 관련된 위험을 완화하기 위한 선제적 조치의 발전을 이끌었습니다.
결론
결론적으로, 우리는 CVSS가 다양한 시스템의 취약점 평가 및 관리에 있어 어떻게 표준이 되었는지 이해하게 되었습니다. 기본, 시간적, 환경적 메트릭의 적용은 조직이 취약점 관리에 동일한 방법론을 적용할 수 있게 합니다. 이러한 체계적인 접근 방식은 정보에 기반한 의사 결정뿐만 아니라 효과적인 우선순위 설정과 자원 배분을 가능하게 하여 정보에 기반한 의사결정뿐만 아니라 효과적인 관리를 가능케 합니다. CVSS의 한계점이 인정되지만, 위협 인텔리전스와 자산 중요도 평가를 통해 보안 태세 개선 및 규정 준수 확보를 위한 핵심 도구로 전환되며 최소한의 혼란으로 운영됩니다.
"FAQs
공통 취약점 평가 시스템(CVSS)은 소프트웨어 취약점의 심각성을 평가하고 전달하는 표준화된 프레임워크입니다. 조직에 0에서 10 사이의 수치 점수를 제공하여 시스템과 데이터에 대한 취약점의 잠재적 영향을 이해할 수 있게 합니다. 이 시스템은 사이버 보안 노력에서 취약점의 우선순위를 정하고 효과적인 위험 관리를 용이하게 하기 위해 널리 사용됩니다.
"CVSS 점수는 취약점의 심각도에 따라 등급을 매기는 데 사용되며, 이를 통해 조직은 적절한 대응을 위해 자원을 할당하여 대부분의 취약점이 잠재적 피해로부터 시정되고 전반적인 보안이 개선되도록 합니다.
"CVSS 위험 평가 도구는 여러 가지 다른 지표를 통해 취약점의 심각도를 계산합니다. 이를 통해 조직은 서로 다른 취약점과 관련된 위험을 비교할 수 있으며, 취약점 관리에 관한 올바른 결정을 내리는 데 도움이 됩니다. 따라서 전반적인 보안 개선을 위한 보다 체계적인 접근 방식을 형성합니다.
"CVSS 점수는 세 가지 범주로 구성된 지표들의 합계로 산출됩니다. 여기에는 취약점의 본질적 속성을 평가하는 기본(Base), 시간적(Temporal), 환경적(Environmental) 지표가 포함되며, 이 지표들은 시간에 따라 변하거나 사용자 환경의 특정 상황에 관련된 환경적 요인에 따라 달라집니다. 이 점수들의 합계가 최종 CVSS 점수가 됩니다.
"CVSS는 취약점 심각도를 측정하는 통일되고 표준화된 방식을 제공함으로써 기업이 취약점 관리 프로세스를 훨씬 쉽게 수행할 수 있도록 돕습니다. 이를 통해 기업은 대응 우선순위를 설정하고, 사이버 보안 태세를 개선하며, 규제 준수를 유지할 수 있습니다.
"