CVSS 점수 산정과 취약점 우선순위 지정

Vulnerability 검사를 실행한 후 조직은 여러 System 전반에서 수백 또는 수천 개의 Vulnerabilities를 발견할 수 있습니다. 모든 항목에 IMMEDIATELY Patch를 적용하려는 것은 가능하지도 않고 전략적이지도 않습니다. 리소스는 제한되어 있으며 모든 Vulnerabilities가 동일한 위험을 초래하는 것은 아니기 때문입니다. Vulnerability 우선순위 지정은 조직에 미치는 실제 위험을 기준으로 Vulnerabilities의 순위를 정하여 가장 위험한 문제부터 해결하는 과정입니다. 효과적인 우선순위 지정은 치명적 원격 코드 실행 Vulnerability가 처리 대기열에서 기다리는 동안 사소한 외관상의 문제부터 Patch하는 흔한 실수를 방지합니다.

Common Vulnerability Scoring System (CVSS)은 보안 Vulnerability의 심각도를 나타내는 표준화된 수치 점수(0.0-10.0)를 제공하는 공개 Framework입니다. CVSS는 FIRST(Forum of Incident Response and Security Teams)가 관리하며 NVD(National Vulnerability Database)에서 사용하는 기본 Scoring System입니다. 현재 버전인 CVSS v3.1은 세 가지 지표 그룹을 기준으로 점수를 계산합니다. Base(Vulnerability의 본질적인 특성), Temporal(시간에 따라 변하는 요인), Environmental(조직별 조정 요인)입니다. Base Score만 필수이며 나머지는 선택적으로 정밀하게 조정할 수 있습니다.

Base Score는 두 가지 지표 그룹으로 계산됩니다. Exploitability 지표는 Vulnerability를 어떻게 공격할 수 있는지 설명합니다. Attack 벡터 (AV) — Network(원격), 인접, Local 또는 물리적; Attack Complexity (AC) — Low 또는 High; Privileges Required (PR) — 없음, Low 또는 High; User Interaction (UI) — 없음 또는 Required입니다. 인증이 필요하지 않고 User Interaction도 없이 Network를 통해 악용할 수 있는 Vulnerability는 Exploitability에서 가장 높은 점수를 받습니다(AV:N/AC:L/PR:N/UI:N). 이러한 요인은 Impact 지표와 결합되어 Base Score를 산출합니다.

Impact 지표는 Vulnerability가 Exploited될 경우 CIA 3요소의 세 가지 차원에 미치는 결과를 측정합니다. Confidentiality Impact (C) — 없음, Low 또는 High(공개될 수 있는 데이터의 양); Integrity Impact (I) — 없음, Low 또는 High(수정될 수 있는 데이터의 양); Availability Impact (A) — 없음, Low 또는 High(발생하는 서비스 중단의 정도)입니다. Scope (S) — Unchanged 또는 changed( Vulnerability의 Impact가 취약한 구성 요소를 넘어 다른 구성 요소나 System으로 확장되는지 여부)입니다. changed Scope는 Vulnerability가 성공적으로 Exploited되었을 때 최초 Scope를 벗어난 System에도 영향을 줄 수 있음을 의미하므로 점수가 크게 높아집니다.

Temporal 지표는 시간에 따라 변하는 요인을 기준으로 Base Score를 조정합니다. Exploit Code Maturity (E) — 작동하는 Exploit이 존재하는지 여부(Unproven, Proof-of-Concept, Functional, High)입니다. 공개적으로 이용 가능한 무기화된 Exploit이 있는 Vulnerability는 알려진 Exploit이 없는 Vulnerability보다 더 긴급합니다. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround 또는 Unavailable입니다. 공급업체의 공식 Patch가 있는 Vulnerability는 Fix가 없는 Vulnerability보다 긴급도가 낮습니다. Report Confidence (RC) — Unknown, Reasonable 또는 Confirmed입니다. Confirmed되어 널리 재현된 Vulnerability는 Confirmed되지 않은 보고보다 더 신뢰성 있게 평가됩니다.

Environmental 지표를 사용하면 조직이 특정 상황에 맞게 CVSS Score를 조정할 수 있습니다. Modified Base Metrics를 사용하면 조직이 환경을 반영하도록 모든 Base 지표를 변경할 수 있습니다(예: 특정 설정에서 해당 서비스가 Local에서만 접근 가능하다면 Network로 접근 가능한 Vulnerability의 AV가 AV:L이 될 수 있습니다). CIA Requirement 값(Low, Medium, High)은 각 CIA 차원이 조직에 얼마나 중요한지 나타냅니다. 예를 들어 병원은 환자 모니터링 System의 Availability를 High로 평가할 수 있고, 연구 기관은 Confidentiality를 가장 높게 평가할 수 있습니다. Environmental Scoring을 사용하면 CVSS가 상황을 반영할 수 있어 실제 우선순위 결정에 더욱 유용해집니다.

CVSS와 함께 작동하는 서로 관련된 세 가지 System이 있습니다. CVE (Common Vulnerabilities and Exposures)는 공개적으로 알려진 보안 Vulnerabilities의 목록이며, 각 항목에는 고유 식별자가 있습니다(CVE-2021-44228은 Log4Shell입니다). CWE (Common Weakness Enumeration)는 소프트웨어 약점의 유형을 분류합니다(CWE-79는 XSS, CWE-89는 SQL Injection입니다). 즉 특정 사례가 아니라 근본 원인을 분류합니다. NVD (National Vulnerability Database)는 CVE 항목에 CVSS 점수, 참조 자료, 영향을 받는 제품 범위 및 Remediation 링크를 추가합니다. 보안 팀은 소프트웨어 인벤토리와 관련된 새로운 CVE 알림을 받기 위해 NVD와 공급업체 권고를 Subscribe합니다.

CVSS Score는 조직의 상황을 고려하지 않고 기술적 심각도만 나타냅니다. Risk 기반 우선순위 지정은 다음을 기준으로 Remediation 긴급도를 조정합니다. Asset_Criticality(CRITICAL ERP System은 test 서버보다 우선순위가 높음), 현실 세계에서의 Exploit 가능성(CISA의 KEV — Known Exploited Vulnerabilities 카탈로그 — 는 현재 Exploited되고 있는 CVE를 나열함), Exposure(취약한 System이 Internet에 노출되어 있는가?), 보완 통제(공격 경로를 차단하는 WAF가 있는가?)입니다. Internet에 노출된 업무상 CRITICAL System에 있는 CVSS 7.5 Vulnerability가 공개 Exploit을 보유하고 있다면, 격리된 Internal test 서버의 CVSS 9.0보다 훨씬 긴급할 수 있습니다.

여러 Framework와 도구가 CVSS 기반 우선순위 지정을 강화합니다. EPSS (Exploit Prediction Scoring System)는 위협 인텔리전스 데이터에 머신 러닝을 적용하여 향후 30일 이내에 CVE가 현실 세계에서 Exploited될 확률을 추정합니다. High EPSS + High CVSS = 가장 높은 우선순위입니다. SSVC (Stakeholder-Specific Vulnerability Categorization)는 Exploitation 상태, 안전 및 CRITICAL 인프라에 미치는 Impact, 그리고 해당 System이 mission-critical인지 여부를 고려하는 CISA/Carnegie Mellon 의사 결정 트리입니다. 이러한 Framework를 사용하면 단순히 CVSS Score순으로 정렬하는 것을 넘어 실제 Risk를 반영한 Remediation 결정을 내릴 수 있습니다.

보안 전문가는 Management의 의사 결정을 위해 기술적인 CVSS Score를 비즈니스 언어로 바꾸어 설명해야 합니다. '공개 웹 서버에 CVSS 9.8의 인증되지 않은 RCE가 있습니다'라고 말하는 대신, 'Internet의 공격자가 어떠한 자격 증명도 없이 고객용 웹사이트를 완전히 장악할 수 있으며, 잠재적으로 500,000명의 고객 레코드와 결제 처리 System에 접근할 수 있습니다. 공급업체 Patch를 적용하거나 24시간 이내에 서버를 오프라인으로 전환해야 합니다'라고 말해야 합니다. 데이터 Risk, 재정적 손실, 규제상 결과와 같은 비즈니스 Impact를 중심으로 설명하는 것이 단순한 수치만 제시하는 것보다 경영진의 신속한 의사 결정을 이끌어 냅니다.

Vulnerability 우선순위 지정은 효과적인 Patch Management 프로세스와 연결될 때만 가치를 발휘합니다. Vulnerability Management 수명 주기는 다음을 포함합니다. Identify(검사), Analyze(CVSS + 상황), Prioritize(Risk 순위 지정 + SLA), Remediate(SCCM/Intune/Ansible을 통한 Patch 배포), Verify(Patch 적용을 확인하기 위한 재검사), Report(Management에 추세 보고)입니다. Patch Management 도구는 대규모 배포를 자동화하는 동시에 어떤 System에 Patch가 적용되었고 어떤 System이 여전히 노출되어 있는지 추적합니다. Remediation SLA의 시간 측정은 Vulnerability가 발견되는 순간 시작되므로, 검사 빈도는 Remediation까지의 평균 시간과 직접적인 관련이 있습니다.

이 Lesson에서 배운 CompTIA Security+ (SY0-701) 개념을 얼마나 이해했는지 확인해 보십시오.

이 Lesson에서는 다음을 배웠습니다. CVSS는 Base(Exploitability + Impact), Temporal(Exploit 성숙도 + Fix 가용성), Environmental(조직 상황) 지표를 사용하여 0.0-10.0 척도로 Vulnerabilities를 평가합니다. CISA의 KEV 카탈로그와 EPSS Score는 현실 세계에서 현재 Exploited되고 있는 Vulnerabilities를 식별하여 CVSS 기반 우선순위 지정을 강화합니다. 또한 효과적인 Vulnerability Management는 검사 결과를 심각도별 SLA가 정의된 Patch Management 작업 흐름과 연결합니다. 이것으로 Vulnerability Management 모듈을 마칩니다. 다음으로 애플리케이션 보안과 OWASP Top 10을 살펴보겠습니다.