보안 기사에 나오는 말, 무슨 뜻인가요?

프로그램에 난 구멍. 공격자가 이 구멍으로 들어옵니다.

프로그램을 만들 때 생긴 실수나 설계상의 빈틈입니다. 문이 잠겼는지 확인하지 않는 자물쇠처럼, 원래 막아야 할 일을 막지 못하는 지점입니다. 모든 프로그램에는 아직 발견되지 않은 취약점이 있다고 봅니다.

흔한 오해 — 취약점이 있다고 바로 사고가 나는 것은 아닙니다. 공격자가 그 구멍을 찾아 실제로 써야 피해가 생깁니다.

VulnerabilityCVE 원장 보기 ›

취약점 하나하나에 붙는 세계 공통 일련번호입니다.

CVE-2021-44228 처럼 생겼습니다. 가운데는 번호가 발급된 연도이고 뒤는 일련번호입니다. 같은 취약점을 회사마다 다른 이름으로 부르면 이야기가 안 통하기 때문에, 세계가 하나의 번호를 씁니다.

흔한 오해 — 번호가 빠르다고 더 위험한 것이 아닙니다. 그냥 발급 순서일 뿐입니다. 또 연도는 발견된 해가 아니라 번호를 받은 해입니다.

Common Vulnerabilities and ExposuresCVE 원장 보기 ›

제조사가 구멍을 막아 내놓는 수정판입니다.

취약점이 발견되면 제조사가 고쳐서 새 버전을 내놓습니다. 그 수정판을 설치하는 것이 패치입니다. 대부분의 침해 사고는 새로운 공격이 아니라 이미 나와 있는 패치를 안 깐 곳에서 일어납니다.

흔한 오해 — "업데이트하면 느려진다" 는 이야기가 많지만, 보안 업데이트는 기능 추가와 다릅니다.

Patch내 프로그램 확인하기 ›

제조사가 더 이상 고쳐 주지 않는 상태입니다.

프로그램에도 수명이 있습니다. 지원이 끝나면 새 취약점이 발견돼도 패치가 나오지 않습니다. 인터넷 익스플로러(2022년 종료)와 플래시 플레이어(2020년 종료)가 대표적입니다.

흔한 오해 — "지금 잘 돌아가니 괜찮다" 가 가장 위험합니다. 구멍이 나도 영원히 열려 있게 됩니다.

End of Life인터넷 익스플로러 보기 ›

"실제로 공격에 쓰인 것이 확인됐다" 는 목록입니다.

미국 정부 기관(CISA)이 실제 악용 정황을 확인한 취약점만 모아 공개합니다. 이 사이트가 점수보다 먼저 보여 주는 기준입니다 — 점수가 높아도 아무도 쓰지 않는 취약점이 훨씬 많기 때문입니다.

흔한 오해 — 여기 없다고 안전한 것이 아닙니다. 미국 연방기관 자산 기준이라 국산 제품은 거의 올라오지 않습니다.

Known Exploited Vulnerabilities악용 확인 목록 ›

"뚫리면 얼마나 나쁜가" 를 0~10 으로 나타낸 점수입니다.

9.0 이상이면 심각, 7.0 이상이면 높음으로 분류합니다. 공격이 얼마나 쉬운지, 뚫리면 무엇까지 할 수 있는지를 정해진 기준으로 계산합니다. 우리가 매기는 점수가 아니라 발행 기관이 발표한 값을 그대로 옮깁니다.

흔한 오해 — 점수가 높다고 반드시 공격받는 것은 아닙니다. 그건 다음 항목(EPSS)이 답합니다.

Common Vulnerability Scoring System

"앞으로 30일 안에 실제로 공격에 쓰일 확률" 입니다.

CVSS 가 "뚫리면 얼마나 나쁜가" 라면 EPSS 는 "실제로 시도될까" 입니다. 매일 다시 계산해 발표되고, 대부분의 취약점은 1% 미만입니다.

흔한 오해 — 두 점수는 자주 어긋납니다 — CVSS 9.8 인데 악용 확률은 하위인 취약점이 아주 많습니다. 그래서 이 사이트는 둘을 합치지 않고 따로 보여 줍니다.

Exploit Prediction Scoring System악용 확률 보기 ›

"무엇을 잘못했는가" 를 분류한 번호입니다.

CVE 가 "어느 제품의 몇 번째 구멍" 이라면, CWE 는 "어떤 종류의 실수인가" 입니다. 예를 들어 CWE-79 는 웹페이지에 남의 코드가 끼어들 수 있게 둔 실수입니다. 같은 실수가 제품을 가리지 않고 해마다 반복됩니다.

Common Weakness Enumeration