점수는 중요한 자료지만 전부는 아닙니다

CVSS는 취약점의 특성과 심각도를 표현합니다. 중요한 업무 서버가 외부에 노출됐는지, 실제 사용하는 기능에 해당하는지와 이미 공격에 쓰이는지는 다른 확인 항목입니다.

숫자가 더 낮더라도 실제 악용 중이고 우리 핵심 자산이 영향을 받는다면 우선 검토가 필요할 수 있습니다.

세 가지 자료를 구분하면 도움이 됩니다

CVSS는 심각도, KEV는 실제 악용 확인, EPSS는 가까운 기간의 악용 가능성 예측에 활용됩니다. 어느 하나도 자산과 업무의 맥락을 자동으로 모두 반영하지는 않습니다.

같은 CVSS 숫자라도 3.1과 4.0의 판 및 지표 조건을 확인해야 합니다. 번호의 연도가 새롭다는 이유만으로 더 위험하다고 볼 수도 없습니다.

제품과 실행 버전, 필요한 공격 조건을 제조사 공지와 대조합니다. 설치 이력만 있고 실제 사용하지 않는 구성과 외부에서 바로 접근하는 핵심 서비스를 구분합니다.

패치 적용에는 정상 업무와 복구 조건도 고려해야 합니다. 바로 적용하지 못한 항목은 이유와 임시 보호 및 재검토 시점을 남깁니다.

패치 성공 표시만 보지 말고 실제 실행 버전과 필요한 재부팅 및 업무 기능을 확인합니다. 검사 도구 경고의 해소와 누락된 장비도 함께 봅니다.

관련 기술자료에서 조치 우선순위와 검증 기준을, 용어사전에서 각 지표의 의미를 이어서 확인할 수 있습니다.