모든 보안 취약점이 지금 당장 업데이트해야 한다는 의미는 아닙니다 — 어떤 것을 업데이트해야 하는지 알 수 있는 방법은 다음과 같습니다
취약점은 종종 매우 긴급하게 나타나지만, 때로는 실제로 그만큼의 긴급성을 요구하지 않는 경우도 있습니다. 실제로 VulnCheck에 따르면 2024년에 공개된 40,000개 이상의 취약점 중 실제로 악용된 것으로 확인된 것은 단 1%뿐입니다.
그럼에도 불구하고, 우리가 취약점에 대해 듣는 순간, 우리는 즉시 업데이트해야 한다는 필요성을 느낍니다. 이것이 상식적인 접근 방식인 것처럼 보입니다. 그러나 항상 이 과정을 맹목적으로 따르는 것은 실제로 업데이트가 필요한 취약점을 판별할 신뢰할 수 있는 방법이 없음을 보여줍니다. 결정할 수 있는 방법들이 있습니다.
업데이트 시점을 실제로 알려주는 두 가지 신호
하나는 누구나 30초 만에 검색할 수 있는 정부 목록이고, 다른 하나는 판매자의 자체 문구입니다
- 위 이미지의 첫 번째 데이터는 EPSS 점수와 최고 등급 CVE를 보여줍니다.
업데이트할 충분한 이유가 되는지 결정하기 위해서는 도구나 점수 체계가 필요 없고, 단지 두 가지 신호만 있으면 됩니다.
이 중 첫 번째는 사이버 보안 및 인프라 보안국(CISA)의 KEV(알려진 악용 취약점) 카탈로그입니다. 이는 실제 공격에서 적극적으로 사용되는 확인된 취약점에 대한 상세한 공개 카탈로그입니다. 따라서 이론적이거나 점수가 높은 취약점이 아니라 확인된 익스플로잇을 보여줍니다. 따라서 이 목록에서 사용 중인 도구에 영향을 미치는 항목을 발견하면 즉시 업데이트해야 합니다.
목록을 검색하는 방법에는 여러 가지가 있습니다. 저는 공급업체 이름으로 검색하는 것이 매우 효과적이라고 생각합니다. 결과를 얻으면 사용 중인 소프트웨어와 일치시킬 수 있습니다.
공급업체 권고 언어는 두 번째 신호입니다. 소프트웨어를 만든 사람들이 보안 권고에서 '적극적으로 악용됨' 또는 '실제로 악용됨'과 같은 언어를 사용함으로써 직접적인 신호를 줄 수 있습니다. 이는 종종 '치명적(Critical)' 또는 '중요(Important)'와 같은 심각도 레이블과 함께 사용되며, 실제로 즉각적인 조치가 필요함을 직접적으로 신호합니다.
당신의 업데이트 긴급성은 이 규칙을 따라야 합니다:
신호 있음 | 그것이 의미하는 것 |
행동 |
|---|---|---|
CISA KEV 카탈로그에서 | 실제 세계에서의 악용 확인 | 즉시 업데이트 |
공급업체는 '활발히 악용됨'이라고 말합니다 | 개발자가 확인한 공격 | 즉시 업데이트 |
심각도 점수 높음, 악용 사례 없음 | 이론상 최악의 위험 | 다음 정기 프롬프트에서 업데이트하세요 |
일반적으로 브라우저와 운영 체제는 대부분의 악용되는 취약점을 차지하는 두 가지 범주의 소비자 소프트웨어입니다. 자동 업데이트를 켜는 것은 안전합니다. 하지만 그 외의 모든 경우에는 업데이트 알림을 볼 때 먼저 이 검사를 실행하고 실제 위협이 있는 경우 업데이트를 진행할 수 있습니다.
모든 헤드라인에서 심각도 점수가 잘못된 이유
CVSS는 최악의 영향을 측정합니다 — 실제로 누군가가 당신을 공격하고 있는지는 측정하지 않습니다
CVSS는 당신이 보는 모든 "즉시 패치" 헤드라인에 대해 0에서 10까지의 척도로 표시되는 점수 시스템입니다. 9.0에서 10.0은 치명적, 7.0에서 8.9는 높음, 4.0에서 6.9는 중간, 0.1에서 3.9는 낮음입니다. 이 점수는 취약점의 가상 최악 상황 심각도를 측정합니다; 방어가 전혀 없을 경우 공격자의 최대 능력입니다. 서로의 취약점을 비교해야 할 때 유용한 점수 기법이지만, 업데이트가 필요한지 여부를 알려주지는 않습니다. 이는 다음과 같은 중요한 공백을 남깁니다:
- 누군가 그것을 적극적으로 이용하고 있는지
- 영향을 받은 소프트웨어가 설치되어 있는지 여부
- 취약성이 원격으로 접근 가능한지 여부
마지막 항목은 공격 벡터 필드(CVE 항목에서)를 정의합니다. 이것이 CVSS 점수 평가에서 가장 큰 격차입니다.
공격 벡터 | 가정 사용자를 위한 의미 |
|---|---|
네트워크 | 인터넷상의 누구에게나 이용될 수 있음(최고 관련성) |
인접한 | 공격자는 로컬 네트워크, 같은 Wi‑Fi 네트워크에 있어야 합니다 |
지역 | 공격자가 이미 귀하의 장치에 접근할 수 있습니다(주로 공유 기기에서 관련됨) |
물리적인 | 직접 하드웨어 접근이 필요함(대부분의 가정 사용자에게는 위험이 최소임) |
종종 생략되는 실제적인 구분이 있습니다. 네트워크 벡터를 가진 중간 등급 취약점이 로컬 또는 물리적 접근이 필요한 치명적 등급 취약점보다 더 위험할 수 있습니다.
모든 것을 관점에서 보면, 실제로 악용된 것으로 확인된 40,000개의 취약점 중 1%에 해당하는 몇몇은 CVE가 발행되기 전에 이미 악용되었습니다. 이는 이들이 드물지만 빠른 취약점임을 의미하며, 바로 두 신호가 포착하려는 대상입니다.
선택적으로 신호 보안 전문가가 그림에 추가하는 것
EPSS는 각 취약점에 확률 점수를 부여하지만 중요한 맹점이 하나 있습니다
EPSS(Exploit Prediction Scoring System)는 한 단계 더 깊이 들어가고 싶다면 세 번째 신호입니다. 이는 취약점이 30일 이내에 악용될 확률을 추정합니다. 이 계산은 관찰된 공격자 행동에 기반하며 매일 업데이트됩니다. 취약점의 CVSS 등급이 9.8이지만 EPSS 점수가 0.3%라면 공격자들이 이를 무시하고 있다는 것을 보여줍니다. 그러나 CVSS 등급이 5.5이지만 EPSS 점수가 80%라면, 그 취약점이 실제로 주목받고 있음을 나타냅니다.
nvd.nist.gov은 CVSS와 EPSS를 나란히 보여줍니다. 네트워크 공격 벡터를 가진 취약점이 EPSS 50%를 가진다면 긴급 상황으로 처리하십시오; KEV를 확인하기 전에도 업데이트하십시오. 그러나 문제는 제로데이 취약점은 단순히 모델이 업데이트할 수 있는 공격 증거가 없기 때문에 EPSS 점수가 낮을 수 있다는 것입니다. 이런 이유로 EPSS를 주요 신호보다는 보조 신호로 사용하는 것이 더 나은 선택입니다.
일반적인 지침은 KEV가 확인되었거나 공급업체가 이를 ‘활발히 악용됨(actively exploited)’으로 표시한 경우 즉시 업데이트하는 것입니다. EPSS가 50% 이상이고 네트워크 공격 벡터가 있지만 취약성이 아직 KEV에 포함되지 않은 경우에는 24~48시간 동안 업데이트를 미룰 수 있습니다. 유일한 신호가 높은 CVSS 점수일 때는 다음 정기 업데이트 주기까지 업데이트를 연기할 수 있습니다.
어떤 것들은 '즉시 업데이트' 상태를 얻습니다 — 신호는 필요 없습니다
대부분의 업데이트에서는 두 신호 시스템만 필요합니다. 그러나 특정 도구 카테고리를 업데이트할 때는 신호를 기다릴 필요가 없습니다. 아래 표는 제 가이드입니다:
소프트웨어 카테고리 | 권장 접근 방법 |
|---|---|
브라우저 (크롬, 엣지, 파이어폭스, 사파리) | 항상 즉시 업데이트하고; 자동 업데이트를 켜두세요 |
사용자 상호작용 없이 네트워크에서 악용 가능한 것으로 설명된 OS 패치 | 항상 즉시 업데이트하십시오 |
외부 첨부 파일을 정기적으로 열 경우, 오피스 앱과 PDF 도구 | 항상 즉시 업데이트하십시오 |
모든 기타 소프트웨어 | 두 신호 테스트를 적용하십시오: KEV 또는 벤더 권고에서 '활발히 악용됨' |
실제로 필요한 업데이트를 건너뛰지 마세요. 그러나 왜 업데이트를 하는지 아는 것도 중요합니다. 대부분의 보안 관련 헤드라인은 의도적으로 놀라운 것처럼 보이도록 작성되며, 이것이 출판이 일반적으로 작동하는 방식입니다. 하지만 이제 무엇을 주의해야 하는지 알게 되었으니, 업데이트가 필요한지 아닌지를 판단할 수 있습니다.