CVSS(Common Vulnerability Scoring System)는 컴퓨터 시스템 보안 취약성의 심각도를 평가하기 위한 표준화된 개방형 프레임워크입니다. 이를 통해 IT 전문가와 조직은 일관되고 정보에 입각한 방식으로 보안 위험에 대한 대응의 우선순위를 정할 수 있습니다. CVSS는 취약성의 주요 특성을 포착하고 기본, 시간 및 환경 측정 기준을 고려하여 심각도를 반영하는 수치 점수를 생성하는 방법을 제공합니다.
CVSS의 창세기
CVSS는 미국 국립 인프라 자문위원회(NIAC)의 이니셔티브로 시작되었습니다. 2000년대 초반 NIAC는 인프라에 대한 잠재적인 위협을 더 잘 관리하고 완화하기 위해 IT 취약성을 평가하는 표준 시스템의 필요성을 인식했습니다.
CVSS의 첫 번째 버전(CVSS v1)은 사고 대응 및 보안 팀 포럼(FIRST)에서 2005년에 출시되었습니다. 이 도구는 통합된 취약성 등급을 제공하여 보안 대응 팀의 의사 결정 프로세스를 지원하도록 설계되었습니다. 이후 업데이트와 개선을 거쳐 2019년 세 번째이자 최신 버전(CVSS v3.1)이 출시됐다.
CVSS에 대한 심층 조사
CVSS는 주로 취약점의 심각도를 공정하게 측정하도록 설계되었습니다. 점수 시스템을 통해 조직은 시스템이 직면할 수 있는 가장 중요한 문제에 집중할 수 있습니다. 이는 단순히 분류를 위한 도구가 아니라 위협에 대응하여 적절한 조치를 취하기 위한 지침이기도 합니다.
CVSS 점수 범위는 0에서 10까지이며, 0은 위험이 없음을 나타내고 10은 심각도가 가장 높은 수준을 나타냅니다. 이 점수는 세 가지 측정항목 그룹을 기반으로 계산됩니다.
-
기본 측정항목: 이는 공격 벡터, 복잡성, 필요한 권한, 사용자 상호 작용, 범위, 기밀성, 무결성 및 가용성에 대한 영향과 같이 시간과 사용자 환경에 따라 일정하게 나타나는 취약점의 특성입니다.
-
시간적 측정항목: 이러한 지표는 시간이 지남에 따라 변경되며 취약점의 현재 상태를 처리합니다. 여기에는 악용 가능성, 교정 수준 및 보고 신뢰도가 포함됩니다.
-
환경 지표: 이러한 지표는 부수적 피해 가능성, 대상 분포, 보안 요구 사항 등 사용자 환경에 따라 다릅니다.
CVSS 프레임워크 풀기
CVSS 프레임워크는 일관되고 이해하기 쉬운 형식으로 취약점에 대한 정보를 캡처하고 전달하도록 설계되었습니다. 그 구조는 벡터 문자열과 채점 메커니즘을 기반으로 합니다.
-
벡터 문자열: 점수를 계산하는 데 사용되는 측정항목을 간단한 텍스트로 표현한 것입니다. 각 지표에는 잠재적인 영향을 나타내는 값이 지정됩니다. 예를 들어 CVSS v3.1에서 벡터 문자열은 다음과 같습니다. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A :시간.
-
채점 메커니즘: 벡터 문자열의 지표에 값을 할당한 후 공식이 적용되어 기본 점수를 생성합니다. 그런 다음 시간적 및 환경적 점수는 다양한 공식을 사용하여 기본 점수에서 파생됩니다.
CVSS의 주요 특징
CVSS 프레임워크의 주요 기능 중 일부는 다음과 같습니다.
- 일관된 취약성 평가를 위한 표준화된 채점 시스템
- 다양한 유형의 시스템 및 취약점에 대한 광범위한 적용 가능성
- 시간적, 환경적 특정 조정이 가능합니다.
- 누구나 사용할 수 있도록 투명하고 개방적입니다.
- 상세한 지표를 통해 취약점에 대한 심층적인 통찰력을 얻을 수 있습니다.
- 문제 해결 노력의 우선순위를 정하는 데 도움이 되도록 설계됨
CVSS의 유형
지금까지 공개된 CVSS 버전은 세 가지입니다.
- CVSS v1 (2005): IT 취약성을 평가하기 위한 표준화된 방법을 제공하는 초기 버전입니다.
- CVSS v2 (2007): 첫 번째 버전에서 더욱 정제된 측정항목으로 개선되었으며 시간 및 환경 점수가 도입되었습니다.
- CVSS v3.1 (2019): 기본, 시간 및 환경 측정항목의 정의에 대한 추가 개선 및 명확성을 제공하는 최신 버전입니다.
CVSS 활용: 문제 및 해결 방법
CVSS의 주요 응용 분야는 취약성 관리 및 사고 대응 프로세스입니다. 조직에서는 CVSS 점수를 사용하여 취약점의 심각도에 따라 해결 노력의 우선순위를 정합니다. 그러나 채점 시스템은 조직의 비즈니스 상황을 고려하지 않으므로 단독으로 사용할 경우 리소스 할당이 비효율적으로 발생할 수 있습니다.
해결책은 특정 비즈니스 영향과 보안 요구 사항을 고려하는 더 큰 위험 관리 프레임워크 내에 CVSS 점수를 통합하는 것입니다. 이러한 방식으로 기업은 취약성 관리에 대한 균형 잡힌 접근 방식을 만들 수 있습니다.
CVSS를 다른 표준과 비교
IT 취약성을 평가하기 위한 다른 시스템이 있지만 CVSS는 포괄적인 특성, 개방성 및 광범위한 채택으로 인해 두각을 나타냅니다. 간략한 비교는 다음과 같습니다.
| CVSS | OWASP 위험 평가 방법론 | 공포 | |
|---|---|---|---|
| 개방형 표준 | 예 | 아니요 | 아니요 |
| 점수 범위 | 0-10 | 위험 수준(낮음~중요) | 0-10 |
| 요인 | 기밀성, 무결성, 가용성, 악용 가능성, 교정, 보고 신뢰도 | 위협원, 취약점, 영향 | 손상, 재현성, 악용 가능성, 영향을 받는 사용자, 검색 가능성 |
| 시간적, 환경적 지표의 사용 | 예 | 아니요 | 아니요 |
CVSS의 미래
사이버 위협이 계속 진화함에 따라 CVSS도 진화할 것입니다. 커뮤니티에서는 취약점의 심각도를 더 잘 반영하기 위해 점수 시스템을 개선하기 위해 적극적으로 노력하고 있습니다. AI와 기계 학습 기술을 통합하여 CVSS 채점 프로세스를 자동화하고 더욱 정확하게 만들 수 있습니다.
또한 CVSS의 향후 버전에는 IoT 장치, 산업 제어 시스템 등을 포함하여 끊임없이 변화하는 사이버 위협 환경을 수용하기 위해 보다 다양한 측정항목이 통합될 수 있습니다.
프록시 서버 및 CVSS
OneProxy에서 제공하는 것과 같은 프록시 서버는 취약점을 관리하고 CVSS 점수를 활용하는 데 중요한 역할을 할 수 있습니다. 클라이언트의 요청에 대한 중개자 역할을 함으로써 프록시 서버는 악성 트래픽을 필터링하여 공격 표면과 잠재적인 취약점을 줄일 수 있습니다.
또한 강력한 취약성 관리 프로세스(CVSS 포함)를 갖춘 프록시 서버를 사용하면 향상된 보호 기능을 제공할 수 있습니다. 프록시 서버는 트래픽을 기록하므로 보안 감사를 위한 귀중한 데이터를 제공하고 잠재적인 취약점을 식별하는 데 도움을 줄 수 있습니다.
관련된 링크들
CVSS에 대한 자세한 내용은 다음 리소스를 참조하세요.
CVSS를 이해하고 적용하는 것은 취약성 관리 및 전반적인 사이버 보안 태세를 개선하려는 모든 조직에 필수적입니다. CVSS를 위험 평가 프레임워크에 통합함으로써 기업은 취약점의 우선순위를 지정하고 효과적으로 대응할 수 있습니다.
