소프트웨어 취약점 정보를 빠르게 입수하기 - CVE·CISA KEV·JPCERT/CC·OSV | npaka

무슨 내용인가요?

해커가 악용할 수 있는 프로그램 오류를 취약점이라고 부릅니다. 이 글은 취약점 소식이 세계적으로 어떻게 퍼지는지 설명합니다. 그리고 새 취약점을 확인할 수 있는 무료 출처 네 곳과 사용법을 소개합니다. 또 취약점이 얼마나 심각한지 점수로 매기는 CVSS라는 방식도 다룹니다.

취약점 소식은 어떻게 퍼질까요?

먼저 보안 연구자가 결함을 찾아냅니다. 연구자는 그 소프트웨어를 만든 회사에 알립니다. 회사는 문제를 분석하고 고칠 방법을 준비합니다. 그다음 회사가 소식과 수정 프로그램(또는 임시 해결책)을 공개합니다. 이후 보안 단체와 데이터베이스가 이 소식을 널리 알립니다. 때로는 고칠 방법이 아직 없을 때 소식이 먼저 나오기도 하고, 공격이 이미 일어난 뒤에야 결함이 발견되기도 합니다. 각 결함에는 CVE라는 세계 공통 번호가 붙습니다.

네 가지 출처

• CVE: 전 세계 취약점 번호 목록입니다. 약 7분마다 데이터가 갱신됩니다.
• CISA KEV: 공격자가 실제로 사용한 결함 목록입니다. 미국 사이버 보안 기관 CISA가 운영합니다.
• JPCERT/CC: 일본의 단체로, 일본어로 경고와 수정 정보를 올립니다. RSS 피드를 제공합니다.
• OSV: 오픈소스 소프트웨어의 결함을 모아 둔 데이터베이스입니다. npm, PyPI, Maven, crates.io 같은 라이브러리를 다룹니다.

왜 중요한가요?

고쳐지지 않은 알려진 보안 구멍은 누군가 시스템에 침입하거나 자료를 빼내 가게 만들 수 있습니다. 이런 출처를 일찍 확인하면 가장 시급한 문제부터 고칠 수 있습니다. 글쓴이는 심각도 점수만으로는 부족하다고 말합니다. 공격이 실제로 일어나고 있는지, 내 시스템이 영향을 받는지도 함께 확인해야 합니다.

무엇을 지켜봐야 할까요?

• CVE, CISA KEV, JPCERT/CC, OSV를 전 세계 범위로 살펴보세요.
• 내가 쓰는 제품(운영체제, 서버, 클라우드, 네트워크 장비 등)의 공식 보안 공지 페이지를 따라가세요.
• 직접 확인하는 대신 API, RSS, JSON으로 업데이트를 자동으로 받으세요.
• 새 결함을 내가 쓰는 소프트웨어 버전과 비교하고, 일치하면 경고를 보내도록 하세요.
• CVSS 점수(0.0~10.0)와 CISA KEV를 함께 보고 무엇을 먼저 고칠지 정하세요.