실제로 악용되고 있는 것부터 패치하십시오: CVSS를 우선순위 대기열로 바꾸기

요약: 매년 수만 건의 CVE가 발표되지만, 실제로 악용되는 것은 극히 일부입니다. 원시 심각도가 아니라 실제 악용을 기준으로 우선순위를 정하는 것이 잡무와 리스크 감소를 가르는 차이입니다.

심각도는 긴급성과 같지 않습니다

운영하지 않는 서비스의 CVSS 9.8은 잡음입니다. 노출된 소프트웨어를 대상으로 실제로 무기화되고 있는 CVSS 7.5는 비상 상황입니다. 엄격하게 심각도 점수에 따라 패치하는 팀은 결국 어떤 공격자도 건드리지 않는 발견 사항에 귀중한 복구 시간을 쓰게 됩니다.

중요한 신호는 실제 악용의 증거와 당신 자신의 노출이 결합된 것입니다.

백로그가 아니라 우선순위 대기열을 구축하십시오

• 순위를 매기기 전에 발견 사항을 알려진 악용 취약점 카탈로그와 교차 대조하십시오.
• 노출에 따라 가중치를 부여하십시오: 인터넷에 노출되거나 인증 우회가 가능한 문제가 순서를 앞당깁니다.
• 악용 성숙도를 고려하십시오. 공개된 개념 증명은 계산을 바꿉니다.
• 지속적으로 재순위화하십시오. 휴면 상태의 CVE도 악용 코드가 공개되는 날 긴급해질 수 있습니다.

증거가 루프를 닫습니다

우선순위 지정은 수정이 실제로 적용되었음을 증명할 수 있을 때만 효과가 있습니다. 복구 워크플로는 발견 사항, 노출, 패치, 그리고 이를 확인하는 재스캔이라는 증거를 담아야 하며, 그래야 대기열이 낙관적인 티켓 종결이 아니라 검증 가능한 결과에 따라 줄어듭니다.

KENSAI는 각 발견 사항을 증거 흔적에 연결하여 '해결됨'이 단순히 완료로 표시된 것이 아니라 재검증되었음을 의미하도록 합니다.

실무에서 좋은 모습이란

성숙한 프로그램은 악용 취약점 카탈로그를 분기별 체크리스트가 아니라 실시간 입력으로 취급합니다. CVE가 '스캔에서 관찰됨'에서 '공격에서 관찰됨'으로 이동하면, 노출된 자산의 복구 기간은 사람이 대기열을 재분류하지 않아도 자동으로 몇 주에서 몇 시간으로 줄어들어야 합니다.

공개 공표와 확인된 복구 사이의 격차를 특히 악용된 CVE에 대해 측정하십시오. 그 숫자가 원시 패치율이 아니라 우선순위 지정이 작동하고 있는지에 대한 정직한 지표입니다. 이를 지속적인 외부 검증과 짝지어, 수정이 닫힌 티켓에서 가정되는 것이 아니라 실제 공격 표면에 대해 검증되도록 하십시오.

핵심 요약

취약점 관리의 목표는 발견 사항 0건이 아니라 악용 가능한 노출 0건입니다. 실제 악용과 노출을 기준으로 순위를 매기고, 재스캔으로 복구를 증명하십시오.