CVSS v4.0 마스터하기 사이버 보안 전문가를 위한 필수 가이드

이 블로그 글의 AI 요약으로 바로 가기

사고 대응 및 보안 팀 포럼(FIRST)이 공식 출시 공통 취약점 점수 시스템(CVSS) 버전 4.0을 공식 출시했습니다. 이 새 버전은 CVSS v3.1 출시 이후 4년 만에 나온 것으로, 사이버 보안 취약성의 심각성을 평가하는 표준이 크게 발전했음을 의미합니다. 이 블로그 게시물에서는 CVSS v4.0과 이전 버전 간의 주요 차이점을 살펴보고 이러한 변화가 취약성 평가 및 관리에 어떤 영향을 미치는지 중점적으로 살펴봅니다.

CVSS 이해

공통 취약점 점수 시스템은 소프트웨어의 보안 취약점의 심각도를 평가하는 표준화된 방법을 제공하는 필수 프레임워크입니다. 이 시스템의 주요 역할은 취약점의 영향을 평가하는 일관되고 객관적인 방법을 확립하는 것입니다. CVSS는 취약점의 악용 가능성, 시스템 무결성, 가용성 및 기밀성에 미치는 영향, 악용에 필요한 권한 수준 등 취약점의 주요 속성을 평가하여 이를 수행합니다. 이러한 요소를 결합하여 취약점의 심각성을 반영하는 수치 점수를 생성합니다. 그런 다음 이 점수를 사용하여 우선순위를 대응 및 완화 노력을 안내하고 우선순위를 정하는 데 사용할 수 있습니다.

CVSS v3.1의 제한 사항

CVSS v3.1 은 2019년 6월에 출시되었으며 채점 시스템 자체에 큰 변화를 도입하기보다는 버전 3.0의 지침을 명확히 하고 개선하는 데 중점을 두었습니다. 주요 과제 중 하나는 채점 시스템의 복잡성으로 인해 사이버 보안 전문가들이 오해를 하는 경우가 많다는 것이었습니다. 이러한 복잡성으로 인해 개인이나 조직마다 동일한 보안 문제에 대해 일관성 없는 등급을 부여하는 경우가 발생했습니다.

또 다른 중요한 문제는 시스템이 조직의 특정 상황을 충분히 고려하지 못하는 조직의 특정 컨텍스트. 고유한 환경, 인프라 또는 취약점의 특정 영향과 같은 요인이 점수 산정에서 항상 적절하게 고려되지 않아 특정 시나리오에서 실제 위험과 항상 일치하지 않는 점수로 이어졌습니다. 또한 CVSS v3.1은 특정 유형의 취약성, 특히 운영 기술(OT)과 관련된 취약성 및 사물 인터넷(IoT) 장치와 관련된 취약점을 효과적으로 점수화하는 데 어려움을 겪었습니다.

이러한 도전 과제는 보다 적응력이 뛰어나고 상황에 맞는 채점 시스템의 필요성을 강조했습니다. 취약점을 식별하고 점수를 매기는 방법에 대해 더 깊이 이해하고자 하는 조직에서는 CVE와 CVSS의 차이점을 살펴보는 것도 도움이 됩니다. 이러한 단점을 극복하고 취약성에 대한 보다 포괄적이고 관련성 있는 평가를 제공하기 위해 CVSS v4.0이 개발되었습니다.

그림 1 CVSS v3.1과 CVSS v4.0 비교. 크레딧 제공 패트릭 개리티

CVSS v4.0의 새로운 기능

CVSS v4.0 은 단순한 점진적 업데이트가 아닙니다. CVSS v3.1의 문제점과 한계를 해결하기 위해 설계된 포괄적인 개편입니다. 주요 업데이트는 다음과 같습니다:

CVSS v4.0은 이전 버전에서는 평가자마다 취약점의 영향을 다르게 해석하여 점수가 달라지는 등 취약점 평가의 불일치를 줄이기 위해 노력했습니다. 새 버전은 보다 명확한 가이드라인을 제공함으로써 이러한 모호성을 제거하여 다양한 평가자 간에 보다 균일하고 일관된 채점 방식을 보장하는 것을 목표로 합니다.
CVSS v4.0은 기본 지표의 세부 사항을 강화하여 취약점을 보다 정밀하게 평가할 수 있게 합니다. 예를 들어, CVSS v3.1에서는 취약점의 악용 가능성이 단순히 ‘낮음’으로 분류될 수 있었던 것과 달리, CVSS v4.0은 보다 심층적인 분석을 제공합니다. 이 버전은 취약점을 악용의 복잡성이나 필요한 사용자 상호작용 수준과 같은 보다 구체적인 하위 범주로 세분화합니다. 이러한 접근 방식을 통해 각 취약점에 대한 보다 미묘한 차이의 차이를 반영한 정확한 평가가 가능해집니다.
이전 CVSS 버전에서는 시간적 지표가 복잡하고 익스플로잇 코드의 신뢰성 및 취약점 보고서의 신뢰도와 관련하여 주관적인 판단이 필요한 경우가 많았습니다. CVSS v4.0에서는 시간이 지남에 따라 진화하는 취약점의 측면을 반영하는 이러한 지표를 간소화했습니다. 이제 이러한 지표는 익스플로잇 성숙도 지표에 중점을 두고 위협 카테고리 아래에 그룹화됩니다. 이러한 개편을 통해 취약성 평가 프로세스가 간소화되고 주관적인 평가에 대한 의존도가 줄어듭니다.
CVSS v4.0은 기본(CVSS-B) 점수, 기본 + 위협(CVSS-BT) 점수, 기본 + 환경(CVSS-BE) 점수, 기본 + 위협 + 환경(CVSS-BTE) 점수의 조합을 포함하는 명확하고 명확한 점수 명명법을 채택합니다. 이 새로운 시스템은 위험 평가 시 CVSS 기본 점수에만 의존하는 문제를 해결합니다. 이 시스템은 다양한 환경의 특정 보안 요구 사항과 보완 제어의 존재 여부를 고려하여 위험 평가의 효율성을 높이는 데 도움이 됩니다.
새 버전에서 CVSS는 운영 기술(OT) 환경, 산업 제어 시스템 및 사물 인터넷(IoT) 장치를 보다 효과적으로 포함하도록 범위를 넓혔습니다. 이러한 적용 범위의 확대는 새로운 안전 메트릭이 도입되었기 때문입니다. 이 지표는 취약점이 악용될 경우 사람의 신체적 안전에 미칠 수 있는 잠재적 영향을 구체적으로 평가하여 이러한 환경에서 보안 침해가 실제로 초래할 수 있는 결과를 강조합니다.
CVSS v4.0은 새로운 보충 지표 그룹을 도입하여 취약점의 다양한 추가 특성에 대한 심층적인 통찰력을 제공합니다. 이러한 특성은 최종 CVSS-BTE 점수를 변경하지는 않지만 완전한 평가를 위해 여전히 중요합니다. 포함된 추가 지표는 다음과 같습니다:

안전: 이 메트릭은 취약점이 악용될 경우 사람의 신체적 안전에 미칠 수 있는 잠재적 위험을 평가합니다.
자동화 가능: 여러 대상에서 취약점 익스플로잇 프로세스를 자동화할 수 있는 가능성을 평가합니다.
복구: 이 메트릭은 시스템의 복원력과 악용 후 복구 능력을 평가하는 데 중점을 둡니다.
가치 밀도: 취약점의 영향을 받는 리소스의 중요도 또는 가치를 측정합니다.
취약점 대응 노력: 이 메트릭은 취약점을 해결하고 수정하는 데 필요한 리소스와 노력의 양을 추정합니다.
공급자 긴급성: 여기에는 취약점 해결의 시급성에 중점을 두고 공급업체가 제공하는 추가 평가가 포함됩니다.

최신 버전의 CVSS 프레임워크는 기본 지표를 넘어서는 포괄적인 평가의 중요성을 강조합니다. 이는 취약점이 악용될 가능성을 정확하게 평가하고 특정 환경에 미치는 잠재적 영향의 정도를 이해하는 데 필수적인 위협 및 상황 지표를 모두 통합해야 할 필요성을 강조합니다. 각각의 고유한 시나리오에서 취약점의 심각도를 정확하게 판단하려면 모든 관련 지표를 고려하는 것이 좋습니다.

업계에 주는 시사점

CVSS v.4.0은 현재 버전 3.1에서 발견된 주요 문제와 한계를 해결하여 사이버 보안 전문가에게 큰 영향을 미칠 것으로 예상됩니다. 향상된 명확성, 유연성, 실제 위험에 대한 보다 정확한 묘사를 통해 CVSS v.4.0은 조직이 취약성의 우선순위를 정하고 완화 리소스를 보다 효과적으로 할당할 수 있도록 설계되었습니다. 그러나 이 새로운 표준에 적응하려면 시스템을 조정하고 직원을 교육하는 데 시간과 리소스가 필요할 수 있다는 점에 유의해야 합니다.

공통 취약점 점수 시스템(CVSS)에 대해 자세히 알아보는 리눅스 토크 위드 턱스케어 유튜브 시리즈 3편에서 자세히 알아보세요 .

요약