정보 보안 기초
취약점 관리에 사용되는 CVE와 CVSS에 대한 설명의 조합으로 올바른 것은?
- ACVE는 개별 취약점에 붙는 공통 식별 번호이고, CVSS는 취약점의 심각도를 0.0~10.0의 수치로 평가하는 공통 방법이다
- BCVE는 취약점의 심각도를 평가하는 수치이고, CVSS는 취약점의 식별 번호이다
- CCVE도 CVSS도 백신 소프트웨어가 악성코드를 식별하기 위한 정의 파일의 이름이다
정답과 해설 보기
정답: A. CVE는 개별 취약점에 붙는 공통 식별 번호이고, CVSS는 취약점의 심각도를 0.0~10.0의 수치로 평가하는 공통 방법이다
CVE(Common Vulnerabilities and Exposures)는 공개된 취약점 하나하나에 붙는 'CVE-연도-번호' 형식의 식별 번호로, 제품이나 조직이 달라도 같은 취약점을 같은 번호로 부를 수 있게 합니다. CVSS(Common Vulnerability Scoring System)는 공격에 필요한 조건이나 기밀성·무결성·가용성에 대한 영향 등으로부터 취약점의 심각도를 0.0~10.0의 수치로 평가하는 공통 방법입니다. CVSS의 기본 점수는 취약점 자체의 성질을 나타내므로, 자사 환경에서 실제로 얼마나 위험한지(그 기기가 인터넷에서 도달 가능한지, 공격이 실제로 관측되고 있는지 등)도 함께 고려하여 수정을 적용할 순서를 정합니다. 취약점 관리에서는 사용 중인 소프트웨어와 버전의 목록(자산 대장)을 만들고, 새로운 취약점 정보를 수집하고, 영향을 평가하고, 패치를 적용하고, 적용되었는지 확인하는 흐름을 반복합니다.