같은 주에 취약점 3개의 수정이 공개되었다. 운영 담당자는 하루에 하나씩만 수정을 적용할 수 있다. 가장 먼저 수정을 적용해야 할 것과 그 이유의 조합으로 가장 적절한 것은?

정답: C. 인터넷에 공개한 VPN 장비의 취약점(CVSS 기본 점수 8.1, 실제 악용이 확인됨). 외부에서 도달할 수 있고 이미 공격에 사용되고 있기 때문에

CVSS 기본 점수는 취약점 자체의 심각도를 나타내는 값으로, 자기 조직의 환경에서 공격이 얼마나 일어나기 쉬운지까지는 나타내지 않습니다. 인터넷에서 직접 도달하는 기기이고 실제 공격에서 악용되고 있음이 확인된 취약점은 곧바로 노려질 가능성이 높으므로, 기본 점수가 8.1로 9.8보다 낮더라도 우선합니다. 악용 상황은 미국 CISA가 2021년 11월부터 공개하고 있는, 악용이 확인된 취약점 카탈로그(KEV: Known Exploited Vulnerabilities)나 개발사, JPCERT/CC의 주의 환기 등으로 확인할 수 있습니다. 사내에서만 사용하는 서버의 취약점도 심각하므로 VPN 장비 다음에 대응하고, 그 사이에는 통신 제한 등으로 위험을 낮춥니다.