日本語에서 번역 • 원문 보기 
배경: 취약점의 급증과 CVSS의 한계
- 2024년 5월에는 월간 5,023 건의 취약점이 공개되어 하루 평균 약 170 건에 달했습니다.
- NIST의 예산 삭감으로 인해 CVSS 점수 분석을 기다리는 취약점 수가 급격히 증가했으며, CVSS 평가는 계속해서 따라가지 못하고 있습니다.
- CVSS는 취약점의 "심각도"를 평가하는 지표이며, "악용 가능성"을 나타내지 않습니다.
분류의 중요성
- 매년 보고되는 20,000건에서 30,000건의 취약점 중 실제로 악용되는 것은 2%에서 7%에 불과합니다.
- 조직 자원이 제한적이며 모든 취약점에 대응하는 것은 불가능합니다.
- 그래서 우선순위를 정하고 응급 치료에 대응 하는 것이 필수적입니다.
**EPSS란 무엇인가? **
EPSS(Exploit Prediction Scoring System)는 향후 30일 이내에 취약점 악용 확률을 예측하는 지표입니다.
- 개발자: FIRST (사고 대응 및 보안팀 포럼)
- 최신 버전: EPSS v2 (2022년 출시)
- 머신러닝(XGBoost)은 1,400개 이상의 입력 데이터로부터 점수를 계산하는 데 사용됩니다
EPSS 지표
지표 설명: EPSS 확률: 향후 30일 내에 악용될 확률 (0-1)| 백분위수 | 전체 내 상대적 위치(예: 상위 5% 등) |
EPSS의 영향과 활용
- EPSS는 악용될 가능성이 높은 취약점을 효율적으로 식별하는 데 활용될 수 있습니다.
- 시뮬레이션에 따르면, CVSS 단독으로는 상위 25.3%의 취약점이 필요하지만, EPSS는 상위 4.7%만 처리하면 됩니다.
EPSS를 조회하는 방법
웹에서 확인하는 방법
- FIRST 공식 웹사이트에서 다운로드: [https://www.first.org/epss/\]
- CVE 상세 정보: [https://www.cvedetails.com/\]에서 각 CVE를 검색하고 EPSS 값을 확인하세요
API로 얻는 방법 (예시)
'https://api.first.org/data/v1/epss?cve=CVE-2023-38408'
이상적으로는 CVSS와 EPSS를 함께 사용하는 것이 좋습니다
- CVSS는 "심각성"을, EPSS는 "착취 가능성"을 나타냅니다.
- 두 가지 데이터를 함께 사용하면 실제로 해결해야 할 취약점을 좁힐 수 있습니다.
- 예를 들어, CVSS가 높고 EPSS가 낮으면 응답 우선순위를 낮출 수 있습니다.
- 또한, 결정은 대상 자산의 중요성(예: 기밀 데이터 보존)에 기반합니다.
결론
- 취약점이 급증함에 따라 CVSS 혼자서는 따라잡을 수 없습니다.
- EPSS를 활용함으로써 제한된 자원을 효율적으로 활용하고 고위험 취약점을 우선순위로 지정할 수 있습니다.
- 분류 정확도를 높이기 위해 EPSS 도입을 고려해 보는 것은 어떨까요?