CVE와 CVSS 비교 설명: 취약성, 심각도 및 점수 매기기

주요 내용

• CVE는 취약점에 대한 고유 식별자를 제공하여 여러 플랫폼에서 추적 및 커뮤니케이션을 용이하게 합니다.
• CVSS는 취약점에 수치화된 점수를 부여하여 심각도에 따라 우선순위를 정할 수 있도록 도와줍니다.
• CVE와 CVSS를 함께 사용하면 Linux 관리자는 위험을 효과적으로 식별, 평가 및 완화할 수 있습니다.

개인 사용자부터 대규모 조직에 이르기까지 사이버 공격의 위험은 항상 존재합니다. 이러한 위험을 효과적으로 완화하려면 CVE와 CVSS의 기본 개념을 이해하는 것이 중요합니다.

CVE는 ‘Common Vulnerabilities and Exposures’의 약자입니다. 간단히 말해, 특정 소프트웨어에서 공개된 보안 취약점을 의미합니다. 반면, CVSS(Common Vulnerability Scoring System)는 취약점의 심각도를 평가하기 위한 표준화된 체계입니다.

이 문서에서는 CVE와 CVSS의 정의와 취약성 관리에 어떤 도움이 되는지 설명합니다.

CVE란 무엇인가요?

CVE(공통 취약점 및 노출)는 공개적으로 알려진 소프트웨어 취약점에 할당된 고유 식별자입니다. 이 명명 시스템은 보안 연구자, 공급업체 및 시스템 관리자가 특정 취약점을 쉽게 참조하고 추적할 수 있도록 도와줍니다. CVE 시스템은 1999년 MITRE에서 321개의 레코드가 포함된 CVE 목록을 시작하면서 시작되었습니다.

2024년으로 넘어가면 한 해 동안 40,000개 이상의 새로운 취약점이 공개될 것으로 예상되는데, 이는 취약점 관리에서 CVE의 중요한 역할을 강조하는 놀라운 성장 궤적입니다.

표준화된 식별 시스템이 없으면 취약점을 효과적으로 구분하고 추적하는 것이 거의 불가능합니다. 그러나 모든 취약점에 CVE가 할당되는 것은 아니라는 점에 유의해야 합니다.

CVE는 누가 어떻게 할당하나요?

CVE는 공개적으로 알려진 취약점에 대한 고유 식별자 할당을 조정하는 그룹인 CNA(CVE 번호 지정 기관)에서 할당합니다. CNA는 보안 연구원, 공급업체 및 기타 이해관계자와 긴밀히 협력하여 취약점을 식별하고 문서화합니다.

CVE 식별자는 다음과 같은 형식의 고유한 텍스트 문자열입니다. CVE-Year-Number. 예를 들어, CVE-2014-0160은 악명 높은 하트블리드 취약점을 나타냅니다. "2014"는 CVE가 공개된 연도를 나타내며, "0160"은 해당 취약점에 할당된 고유 번호입니다. 이 번호는 매년 재설정됩니다.

CVE 항목은 지정될 수 있지만 즉시 공개되지는 않습니다. 이러한 지연은 의도적인 경우가 많으며, 원래 공급업체나 소프트웨어 개발자가 수정 사항을 릴리스할 시간을 주기 위한 것입니다. CVE 정보가 공개될 즈음에는 일반적으로 패치 또는 완화 조치를 배포할 준비가 되어 있어 최종 사용자의 위험을 줄일 수 있습니다.

CVSS란 무엇인가요?

CVSS(공통 취약점 점수 시스템)는 취약점의 심각도를 평가하기 위한 표준화된 프레임워크입니다. 사고 대응 및 보안 팀 포럼(FIRST)에서 관리하는 CVSS는 취약점에 수치 점수를 부여하여 그 심각성을 나타냅니다.

이를 통해 조직은 CVSS 점수를 기반으로 취약점의 우선 순위를 정하고 가장 중요한 위협을 우선적으로 해결하는 데 집중할 수 있습니다.

CVSS 점수 시스템

CVSS 점수는 0.0에서 10.0까지이며, 점수가 높을수록 취약성이 더 심각함을 나타냅니다.

이러한 점수는 종종 NVD와 같은 데이터베이스에 CVE 항목과 함께 표시되어 위험 수준을 빠르게 파악할 수 있습니다.

국가 취약점 데이터베이스(NVD) 는 미국 정부가 후원하는 저장소로, 공개적으로 알려진 취약점에 대한 자세한 정보를 제공합니다. 여기에는 CVE, 관련 취약점 및 잠재적 익스플로잇에 대한 설명이 포함되어 있습니다.

CVSS는 세 가지 주요 지표 그룹을 사용하여 최종 점수를 계산합니다:

기본 점수

이 점수는 시간이 지나고 여러 환경에 걸쳐 일관되게 나타나는 취약점의 고유한 속성을 나타냅니다. 여기에는 공격 복잡성, 필요한 권한, 사용자 상호 작용 및 잠재적 영향과 같은 요소가 포함됩니다.

시간 점수

이 점수는 패치 가용성, 익스플로잇 코드 성숙도, 보고서 신뢰도 지표와 같이 시간이 지남에 따라 변경될 수 있는 요소를 고려합니다.

환경 점수

이 점수는 보안 제어의 존재 여부, 영향을 받는 자산의 가치, 조직 목표에 미치는 잠재적 영향 등 대상 환경의 특정 특성을 반영합니다.

CVE 대 CVSS 대 NVD: 차이점은 무엇인가요?

지금쯤이면 CVE, CVSS 및 NVD가 무엇을 의미하는지 이미 알고 계실 것입니다. 다음은 이들 간의 관계, 관리 주체, 취약성 관리에서 이들이 함께 작동하는 방식을 보여주기 위해 나란히 비교한 것입니다.

CVSS 버전의 중요성

CVSS(공통 취약점 점수 시스템)는 여러 버전이 있으며, 최신 버전은 CVSS 4.0입니다. CVSS v2.0 및 CVSS v3.x와 달리 4가지 메트릭 그룹으로 구성되어 있습니다: 기본, 위협, 환경 및 보충의 네 가지 메트릭 그룹으로 구성됩니다.

이러한 버전은 취약점 점수의 정확성과 일관성을 향상시키기 위해 시간이 지남에 따라 발전해 왔습니다. 따라서 취약점을 평가하는 데 사용되는 CVSS 버전은 취약점에 할당된 점수에 상당한 영향을 미칠 수 있습니다.

예를 들어, 취약점이 CVSS 3.0에서는 '높음' 심각도 등급을 받지만 CVSS 2.0에서는 '보통' 등급만 받을 수 있습니다. 따라서 점수가 언급될 때마다 CVSS 버전을 지정하는 것이 중요하며, 그렇지 않으면 점수를 올바르게 해석할 수 없습니다.

최신 버전의 CVSS는 계산 방법론을 개선하고 보다 명확한 가이드라인을 도입하여 채점의 주관성을 줄이는 것을 목표로 합니다. 그러나 여전히 CVSS 점수에는 어느 정도의 주관성이 개입될 수 있습니다. 보안 분석가는 CVSS 점수에 기여하는 요소에 다양한 가중치를 부여할 수 있으며, 이로 인해 CVE 레지스트리 간에 최종 점수에 차이가 발생할 수 있습니다.

패치를 위한 CVE 우선순위 지정 방법

모든 CVE가 즉각적인 패치가 필요한 것은 아니지만, 일부는 패치가 필요하며 이를 놓치면 많은 비용이 발생할 수 있습니다.

CVSS 점수와 자산 중요도를 혼합하여 패치 긴급성 순위를 매기세요.

영향이 큰 시스템의 중요한 취약점은 24시간 이내에 패치해야 합니다. 반대로 영향이 적은 시스템의 심각도가 낮은 문제는 일상적인 패치 주기 동안 해결할 수 있습니다.

Linux 관리자에게 CVE 및 CVSS가 중요한 이유

Linux 운영 체제는 엔터프라이즈 Linux 환경에서 널리 사용되므로 공격자에게 매력적인 표적이 됩니다.

Linux 관리자와 보안 팀에게 CVE와 CVSS는 취약성을 식별하고 평가하는 데 중요한 역할을 합니다.

CVE ID와 CVSS 점수를 결합하여 가장 중요한 취약점의 우선순위를 효과적으로 지정하고 해결할 수 있습니다.

이는 효율적인 취약성 관리를 간소화할 뿐만 아니라 규제 및 보안 표준 준수를 간소화합니다.

그러나 CVE 추적 및 CVSS 우선순위 지정에도 불구하고 Linux 관리자의 가장 큰 과제 중 하나는 운영 중단 없이 신속하게 패치를 적용하는 것입니다.

기존의 패치 방식은 시스템을 재부팅해야 하는 경우가 많아 다운타임과 서비스 중단으로 이어집니다. 라이브 패치는 시스템을 재부팅하지 않고 커널 패치를 배포할 수 있어 이러한 문제를 해결합니다.

TuxCare의 KernelCare Enterprise는 Linux 배포를 위한 자동화된 라이브 패치를 제공하므로 재부팅할 필요 없이 즉시 보안 업데이트를 적용할 수 있습니다.

다운타임을 제거하여 취약성 노출 기간을 크게 줄이고 주요 운영 문제를 해결하는 동시에 보안 및 규정 준수를 강화하는 KernelCare.

CVSS와 CVE에 대한 최종 생각 및 보안을 유지하는 방법

CVE는 보안 위험을 식별하고 추적하는 표준화된 방법을 제공하며, CVSS는 이러한 취약점의 심각성을 평가할 수 있는 명확한 수치 등급을 제공합니다. CVE 및 CVSS 점수에서 도출된 투명성과 실행 가능한 인사이트는 매우 귀중하며, Linux 관리자는 시스템 보안 및 규정 준수를 유지하는 데 필요한 정보를 신속하고 자신감 있게 조치할 수 있습니다.

가동 중단 없이 중요한 보안 취약점을 해결하고 싶으신가요? KernelCare의 재부팅 없이 적용되는 패치 기능으로 시스템을 보호하세요.

요약

기사 이름

CVE와 CVSS 비교 설명: 취약성, 심각도 및 점수 매기기

설명

CVE, CVSS, NVD의 차이점에 대해 알아보세요. 취약성을 점수화하는 방법, 패치 우선순위를 정하는 방법, Linux 관리자가 CVE 데이터를 사용하여 위험을 줄이는 방법을 이해하세요.

작성자

로한 티말시나

게시자 이름

TuxCare

게시자 로고