식별자와 적용 대상을 연결합니다

CVE는 개별 취약점을, CWE는 그 원인 약점의 유형을 가리킵니다. 제조사 공지와 실제 제품, 버전과 설정 및 사용하는 기능을 대조해야 자산의 영향을 판단할 수 있습니다.

이름이 비슷한 제품이나 설치 흔적만으로 영향을 확정하지 않습니다. 실제 실행 구성 요소와 의존 관계 및 지원 종료 여부도 확인합니다.

서로 다른 지표를 섞지 않습니다

CVSS는 특성과 심각도, KEV는 실제 악용 확인, EPSS는 가까운 기간의 악용 가능성 예측에 초점을 둡니다. 조직의 자산 중요도와 외부 노출 및 업무 영향은 별도로 평가합니다.

CVSS 3.1과 4.0은 지표 및 계산 방식이 다르고 EPSS의 확률과 백분위도 같은 값이 아닙니다. 사용한 판과 벡터 및 조회 시각을 함께 기록합니다.

실제 악용과 외부 노출 및 중요한 데이터의 영향을 함께 고려해 조치 순서를 정합니다. 패치가 바로 불가능하다면 경로 제한과 기능 중단 등 가능한 완화의 효과와 남는 위험을 평가합니다.

자동 검사나 침투 테스트에는 승인된 대상과 허용 행위 및 중단 조건이 필요합니다. 경고를 검증하지 않은 상태와 실제 취약점을 확인한 상태를 구분해 기록합니다.

수정본의 지원 조건과 시험 결과를 확인한 뒤 적용합니다. 재부팅과 서비스 재실행이 필요한지 및 실행 중인 실제 버전을 확인하고 필요한 범위에서 재검사합니다.

설치 성공과 전체 업무의 정상 동작은 같은 결과가 아닙니다. 정상 기능과 잔여 취약 상태 및 예외 장비를 확인하고 책임자와 재검토 시점을 남깁니다.