CSAF(공통 보안 자문 프레임워크) 사용 가능

2025년 6월 9일 3분

이 블로그 글의 AI 요약으로 바로 가기

TuxCare는 이제 OS에 대한 무한 수명 주기 지원 및 PHP에 대한 무한 수명 주기 지원에 대한 보안 조치의 일환으로 CSAF(공통 보안 자문 프레임워크) 데이터를 제공합니다.

CSAF는 기계 판독이 가능한 포맷으로 OASIS에서 표준화했습니다. 보안 권고 정보를 일관되고 자동화된 방식으로 공유할 수 있도록 설계되었습니다. 게시된 CSAF 파일은 취약점 익스플로잇 가능성 교환(VEX) 프로필을 따르며 지원되는 제품 및 구성 요소에 대한 취약점별 상태 정보를 제공합니다.

CSAF가 중요한 이유

CSAF는 보안 정보를 도구 및 자동화 워크플로에 쉽게 통합할 수 있는 구조화되고 기계 판독이 가능한 형식입니다. 이를 통해 조직은 취약성에 더 빠르고 안정적으로 대응하고, 수작업을 줄이며, 전반적인 보안 관리를 개선할 수 있습니다.

통합하는 방법

TuxCare는 다른 도구와 쉽게 구문 분석하고 통합할 수 있는 JSON 형식의 다음 CSAF 파일을 security.tuxcare.com에 게시합니다:

CSAF VEX 파일 - CVE VEX 문서로 인덱싱된 파일은 과거 CVE를 포함하여 CSAF 2.0 형식으로 제공됩니다.
- - https://security.tuxcare.com/csaf/v2/
CSAF 보안 권고 파일 - 보안 권고가 CSAF 2.0 형식으로 게시되고 보안 권고별로 색인이 생성됩니다:
- - https://security.tuxcare.com/csaf/v2/
provider-matadata.json - 이 파일에는 도구와 사용자를 위한 정보로 TuxCare에서 게시한 CSAF 권고문을 어디서 어떻게 검색할 수 있는지에 대한 정보가 포함되어 있습니다. OASIS 요구 사항에 따라 두 개의 URL(둘 다 동일한 파일을 제공)에서 사용할 수 있습니다:
- - https://csaf.data.security.tuxcare.com/
  - https://tuxcare.com/.well-known/csaf/provider-metadata.json

OASIS는 CSAF를 지원하는 참조 도구 목록을 제공합니다.

기술 개요

TuxCare는 CSAF 데이터를 두 가지 문서 유형으로 제공합니다: 보안 권고와 VEX(취약점 익스플로잇 가능성 교환) 프로필입니다.

CSAF 보안 주의보에서는 특정 업데이트에서 수정된 내용을 요약하여 제공합니다.
VEX 프로파일은 개별 CVE에 초점을 맞추고 있으며 특정 취약점의 영향을 받는 제품 및 구성 요소에 대한 자세한 정보를 제공합니다. CSAF VEX 문서는 OVAL 파일의 대안으로도 사용할 수 있습니다.

CSAF 보안 권고와 CSAF VEX 문서는 모두 CVE가 수정되고 해당 패키지가 릴리스되면 게시됩니다.

문의 방법

보안 관련 질문이 있거나 문제가 발생한 경우 https://tuxcare.com/support-portal/ 으로 문의하시기 바랍니다.

최종 생각

TuxCare는 이제 다른 보안 조치와 함께 CSAF 데이터를 제공함으로써 고객을 최선을 다해 돌본다는 사명을 이어가고 있습니다. CSAF는 특정 제품에 영향을 미치는 알려진 취약점에 대한 중요한 세부 정보를 추가하여 SBOM과 함께 작동합니다. 특정 시스템의 취약점을 확인하는 데 사용되는 OVAL과는 다르지만, VEX 프로파일이 포함된 CSAF는 추적 도구 및 자동화에 사용할 수 있는 취약점 정보를 공유합니다. 많은 경우, VEX 프로파일이 포함된 CSAF는 OVAL의 대안으로 사용할 수 있습니다.

요약