[º¸¾È´º½º ¹®°¡¿ë ±âÀÚ] Ãë¾àÁ¡ÀÌ ¹ß°ßµÆ´Ù¸é, ±× ´ÙÀ½ºÎÅÍ°¡ ´õ ¹®Á¦´Ù. ±× Ãë¾àÁ¡ÀÇ ¿µÇâÀ» ¹Þ´Â ¼ÒÇÁÆ®¿þ¾î ±¸¼º ¿ä¼Ò³ª Á¦Ç°À», Ãë¾àÁ¡ °ü¸® ÁÖüÀÎ NVD(±¹°¡ Ãë¾àÁ¡ µ¥ÀÌÅͺ£À̽º)°¡ ¾î¶² À̸§À¸·Î ºÎ¸£´À³Ä¸¦ ¾Ë¾Æ³»¾ß Çϱ⠶§¹®ÀÌ´Ù. NVD´Â(±×·¯¹Ç·Î NVDÀÇ ¿î¿µ ÁÖüÀÎ NIST´Â) ¼ÒÇÁÆ®¿þ¾î Á¦Ç°µé¸¶´Ù °íÀ¯ÀÇ CPE À̸§À» º°µµ·Î ºÙÀ̴µ¥, ÀÌ À̸§À» ã¾Æ³½´Ù´Â °Ô ¿©°£ ¾î·Á¿î ÀÏÀÌ ¾Æ´Ï´Ù.
[À̹ÌÁö = utoimage]
NVD´Â °¢ ±¸¼º ¿ä¼ÒµéÀ» ¸íÈ®È÷ ±¸ºÐÇϱâ À§ÇØ º¥´õ»çÀÇ À̸§°ú Á¦Ç°ÀÇ À̸§, ¹öÀü ¹øÈ£ µîÀ» Âü°íÇÏ¿© °íÀ¯ÀÇ CPE À̸§À» ºÎ¿©Çϵµ·Ï ÇÑ´Ù. °íÀ¯ÇØ¾ß Çϱ⠶§¹®¿¡ CPE À̸§Àº º¹ÀâÇÏ°í, ÇÑ ±ÛÀÚ¶óµµ Æ²¸®¸é °Ë»öÀÌ µÇÁö ¾Ê´Â´Ù. ½ÇÁ¦ ÇöÀå¿¡¼ ƯÁ¤ ¿ä¼ÒÀÇ CPE À̸§À» ã´Â °ÍÀÌ ¿©°£ °íµÈ ÀÏÀÌ ¾Æ´Ï¶ó´Â °É Ãë¾àÁ¡ Àü¹®°¡µéÀ̶ó¸é ´Ù ¾Ë°í ÀÖ´Ù. ¿ÀǼҽº ¿ä¼Òµç À¯·á ¼ÒÇÁÆ®¿þ¾î ±¸¼º ¿ä¼Òµç ¸¶Âù°¡Áö´Ù. ÀÌ ¾î·Á¿ò ¶§¹®¿¡ Ãë¾àÁ¡ °ü¸®¸¦ ÀÚµ¿È ±â¼ú·Î ó¸®ÇÏ´Â °Ô µÇÁö ¾Ê°í ÀÖÀ¸¸ç, ÀÌ´Â ¼ÒÇÁÆ®¿þ¾î ±¸¼ºÇ¥(SBOM) Á¦µµ¸¦ Á¤Âø½ÃÅ°´Â µ¥¿¡µµ Å« Àå¾Ö·Î ÀÛ¿ëÇÑ´Ù.
NVD¿¡¼ Ãë¾àÁ¡ Á¤º¸¸¦ ã´Â °Ç ³Ê¹«³ª ¾î·Á¿î ÀÏ
ÀÌ ¹®Á¦¸¦ º¸´Ù ¸íÈ®È÷ ¼³¸íÇÏ·Á¸é Ãë¾àÁ¡ µî·Ï °úÁ¤¿¡¼ ÈçÈ÷ ³ªÅ¸³ª´Â ¹®Á¦µéÀ» ½Ã³ª¸®¿À·Î ¹¾î ¿¹·Î µå´Â °ÍÀÌ ÁÁÀ» °ÍÀÌ´Ù. ¸î °¡Áö »ç·ÊµéÀº ´ÙÀ½°ú °°À¸¸ç, ÀÌ·± ¹®Á¦µé¿¡ ºÀÂøÇßÀ» ¶§¿¡´Â ÇØ°áÃ¥À» ã´Â °Ô ºÒ°¡´É¿¡ °¡±õ´Ù.
1. NVD´Â Ãë¾àÁ¡µé¿¡ CVE ¹øÈ£¸¦ ºÎ¿©ÇÑ´Ù. CVE-2022-12345¿Í °°Àº Çü½ÄÀÇ ¹øÈ£´Â º¸¾È ¾÷°è¿¡ ÀÖ´Â »ç¶÷À̶ó¸é ´©±¸³ª ÇÑ ¹øÂë ºÃÀ» °ÍÀÌ´Ù. ±×¸®°í °¢ Ãë¾àÁ¡¿¡´Â CVSS¶ó´Â Á¡¼ö°¡ ºÎ¿©µÈ´Ù. ÀÌ Á¡¼ö¸¦ º¸°í »ç¶÷µéÀº Ãë¾àÁ¡ÀÌ ¾ó¸¶³ª À§ÇèÇÑÁö °¡´ÆÇÒ ¼ö ÀÖ´Ù. ±×·±µ¥ ¹®Á¦°¡ ¹ß°ßµÈ ¼ÒÇÁÆ®¿þ¾îÀÇ °³¹ß»ç³ª °ø±Þ»ç°¡ Ãë¾àÁ¡À» ÇÑ ¹øµµ µî·ÏÇÑ ÀûÀÌ ¾ø°í, ±×·¡¼ ±× ¼ÒÇÁÆ®¿þ¾î¿Í °ü·ÃµÈ CVE ¹øÈ£°¡ ÇÑ ¹øµµ ¹ßÇàµÈ ÀûÀÌ ¾ø´Ù¸é, ÇØ´ç ¼ÒÇÁÆ®¿þ¾îÀÇ CPE ¹øÈ£µµ NVD ¾È¿¡´Â Á¸ÀçÇÏÁö ¾Ê´Â´Ù.
°³¹ß»ç°¡ Ãë¾àÁ¡À» µî·ÏÇÏÁö ¾Ê¾Ò´Ù´Â °ÍÀº, ¼ÒÇÁÆ®¿þ¾î°¡ Á¤¸»·Î ¹«°áÇؼ ¾Æ¹«·± Ãë¾àÁ¡ÀÌ Á¸ÀçÇÏÁö ¾Ê¾Ò±â ¶§¹®ÀÏ ¼öµµ ÀÖ°í, Ãë¾àÁ¡Àº Àִµ¥ º¸°í ÀýÂ÷°¡ ±ÍÂú°Å³ª ±î´Ù·Î¿ö¼ ħ¹¬ÇÏ°í ÀÖ¾î¼ÀÏ ¼öµµ ÀÖ´Ù. ¾î´À ÂÊÀ̵ç NVD¿¡ ÇÑ ¹øµµ µî·ÏµÇÁö ¾ÊÀº ¼ÒÇÁÆ®¿þ¾î¶ó¸é CPE ¹øÈ£°¡ Á¸ÀçÇÏÁö ¾Ê°í, Ãë¾àÁ¡À» µî·ÏÇϱâ À§ÇØ CPE ¹øÈ£¸¦ ¾Æ¹«¸® ã¾Æµµ ¿À·ù ¸Þ½ÃÁö¸¸ ¶á´Ù. ±×·¯¸é À̸§À» »õ·Î µî·ÏÇØ¾ß ÇÑ´Ù.
2. CPE À̸§À» »õ·Î µî·ÏÇÏ´Â °úÁ¤¿¡ ¿À·ù È®ÀÎ ±â´ÉÀº Á¸ÀçÇÏÁö ¾Ê´Â´Ù. NVD¿¡ »õ·Î¿î CPE À̸§À» ÀÔ·ÂÇÒ ¶§ »ç½Ç»ó ¾Æ¹«·± À̸§À̳ª ³ÖÀ» ¼ö ÀÖ°Ô µÈ´Ù. ¸í¸í¹ýÀ̶ó´Â °Ô ÀÖ±ä ÀÖÀ¸³ª, ¸ðµç »ç¶÷ÀÌ ±× ±ÔÄ¢À» ¿Ïº®È÷ ÀÍÈ÷°í ÀÖ´Ù°í º¸±â´Â Èûµé´Ù. ±×·¯´Ï ´©±º°¡´Â ¸í¸í¹ýÀ» ÁöÅ°´õ¶óµµ Á¶±Ý¾¿ ½Ç¼ö¸¦ Çϱ⠸¶·ÃÀÌ´Ù. ±×·¯¸é CPE À̸§ÀÌ µî·ÏµÇ´õ¶óµµ ±ÔÄ¢À» µû¸£Áö ¾Ê¾Æ °Ë»öÇϱâ Èûµç À̸§ÀÌ µî·ÏµÈ´Ù.
³ªÁß¿¡ Ãë¾àÁ¡À» µî·ÏÇÏ°íÀÚ ÇÏ´Â ÇÑ »ç¿ëÀÚ°¡ ¸í¸í¹ý¿¡ µû¶ó CPE¸¦ °Ë»öÇÒ ¶§ ¾î¶² ÀÏÀÌ ÀϾ±î? À§ 1¹ø°ú °°ÀÌ Ã£°íÀÚ ÇÏ´Â CPE ¹øÈ£°¡ ¾ø´Ù´Â ¿À·ù¸¸ ¹Þ°Ô µÈ´Ù. ¿ø·¡ ¿À·ù°¡ ¾ø´Â ¼ÒÇÁÆ®¿þ¾î¿´°Å³ª, ¿À·ù°¡ À־ °³¹ß»ç°¡ µî·ÏÇÏÁö ¾ÊÀº °æ¿ì¶ó°í ¿ÀÇØÇϱ⠽ʻóÀÌ´Ù. ±×·³¿¡µµ ¡®³»°¡ ¿ÀŸ¸¦ ³Â´Ù¡¯°Å³ª ¡®¿ø CPE µî·ÏÀÚ°¡ À߸ø À̸§À» ºÙ¿´´Ù¡¯°í ÀǽÉÇÏ´Â °Ç ½±Áö ¾Ê´Ù. ¹éÀÌ¸é ¹é, ¡®ÀÌ Á¦Ç°°ú °ü·ÃµÈ Ãë¾àÁ¡Àº ÇÑ ¹øµµ µî·ÏµÈ ÀûÀÌ ¾ø´Ù¡¯°í »ý°¢ÇÒ °ÍÀÌ´Ù. Ãë¾àÁ¡À» ÃßÀûÇÏ°í ÇöȲÀ» ¾÷µ¥ÀÌÆ®ÇÏ´Â °Ô Ʋ¾îÁø´Ù.
3. ½Ã°£ÀÌ Áö³ª¸é¼ Á¦Ç°ÀÇ À̸§À̳ª °³¹ß»çÀÇ À̸§ÀÌ ¹Ù²ð ¼ö ÀÖ´Ù. M&A°¡ ÀϾٵçÁö, ȸ»ç°¡ ¸®ºê·£µùÀ» °¨ÇàÇß´Ù¸é ¾ó¸¶µçÁö °¡´ÉÇÑ ÀÏÀÌ´Ù. ±×·² ¶§ CPE À̸§ÀÌ ÀÚµ¿À¸·Î ¹Ù²î¸é ÁÁÀ¸·Ã¸¸ Àý´ë·Î ±×·¸Áö ¾Ê´Ù. CPE±îÁö ì°Ü°¡¸ç À̸§À» ¹Ù²ãÁִ ȸ»ç°¡ Àִ°¡ Çϸé, ±×·¸Áö ¾ÊÀº ȸ»çµéµµ ÀÖ´Ù. ±×·¯´Ï »ê¾÷ ³» »óȲÀÌ ¹Ù²ð ¶§¸¶´Ù CPEµéÀº ±¸¹öÀüÀÌ ±×´ë·Î »ç¿ëµÇ±âµµ ÇÏ°í ½Å¹öÀüÀÌ ¾Æ¹«µµ ¸ô·¡ µî·ÏµÇ´Â µî È¥¶õÀÌ °¡ÁߵȴÙ. ƯÁ¤ ¿ä¼Ò¿¡ ¾î¶² Ãë¾àÁ¡µéÀÌ ÀÖ´ÂÁö Á¶»çÇÏ·Á Çصµ Àß µÇÁö ¾Ê´Â´Ù.
4. ±â¾÷ À̸§ÀÌ ¹Ù²îÁö ¾Ê´Â´Ù°í ÇÏ´õ¶óµµ, ±â¾÷¿¡´Â ¿©·¯ °¡Áö À̸§ÀÌ ÀÖ´Ù. ¿¹¸¦ µé¾î ´©±º°¡´Â ±×³É ¡®¸¶ÀÌÅ©·Î¼ÒÇÁÆ®¡¯¶ó°í ºÎ¸£Áö¸¸, ¾î¶² »ç¶÷Àº ¡®¸¶ÀÌÅ©·Î¼ÒÇÁÆ® »ç¡¯¶ó°í Çϱ⵵ ÇÑ´Ù. Á¦Ç°ÀÇ À̸§µµ »çÁ¤Àº ºñ½ÁÇÏ´Ù. ¡®¸¶ÀÌÅ©·Î¼ÒÇÁÆ® ¿öµå¡¯¶ó°í ÇÏ´Â »ç¶÷µµ ÀÖ°í, ¡®¿ÀÇǽº ¿öµå¡¯¶ó°í ÇÏ´Â »ç¶÷µµ ÀÖÀ¸¸ç, ¡®MS ¿öµåÇÁ·Î¼¼¼¡¯¶ó°í ÇÏ´Â »ç¶÷µµ ÀÖ´Ù. ÀÌ·± °æ¿ìµéµµ CPE À̸§À» Á¦°¢°¢À¸·Î ¸¸µé¸ç, µû¶ó¼ NVD¿¡¼ÀÇ Ãë¾àÁ¡ °Ë»öÀ» ÈξÀ ¾î·Æ°Ô ¸¸µç´Ù.
5. À§ 4¹ø°ú ºñ½ÁÇѵ¥, ¿ÀǼҽºÀÇ °æ¿ì Ãë¾àÁ¡ µî·ÏÀ̳ª ¿¶÷À» ÇÏ·Á´Â »ç¶÷ÀÌ ÈξÀ ¸¹°í, µû¶ó¼ CPE À̸§µµ ¸¹Àº »ç¶÷µéÀÌ Áß±¸³¹æÀ¸·Î µî·ÏÇÒ ¼ö ÀÖ´Ù. ÀÌ·± °æ¿ì ¡®ÀÌ ¸ðµç CPEµéÀÌ °á±¹ ÇÑ Á¦Ç°À» ¸»ÇÏ´Â °ÍÀÌ°í, µû¶ó¼ ÀÌ CVE ¹øÈ£µéÀº ÇÑ °¡Áö Ãë¾àÁ¡À» °¡¸£Å°´Â °Í¡¯À̶ó°í Á¾ÇÕÇÒ ¼ö ÀÖ´Â °üÁ¡À» °®´Â °Ô ºÒ°¡´É¿¡ °¡±õ°Ô µÈ´Ù. ¾öû³ ÇàÁ¤ ³¶ºñ¿Í Àη ³¶ºñ°¡ ¹ß»ýÇÏ°í, Ãë¾àÁ¡ °ü¸®´Â ´õ ¾î·Á¿öÁø´Ù.
6. ¸¹Àº °æ¿ì Ãë¾àÁ¡µéÀº ÇÑ °¡Áö ¶óÀ̺귯¸®ÀÇ ÇÑ °¡Áö ¸ðµâ¿¡¸¸ ¿µÇâÀ» ÁØ´Ù. ÇÏÁö¸¸ CPE´Â Á¦Ç° ÀüüÀÇ À̸§ÀÌ´Ù. ¸ðµâ¿¡ µû¶ó À̸§ÀÌ ºÙÁö ¾Ê´Â´Ù´Â °ÍÀÌ´Ù. ±×·¯¹Ç·Î Ãë¾àÁ¡ÀÇ Á¤È®ÇÑ ³»¿ëÀ» ÀÎÁöÇÏ·Á¸é CVE º¸°í¼ Àüü¸¦ Àоî¾ß ÇÑ´Ù. ÇÏÁö¸¸ º¸°í¼ Àüü¸¦ ²Ä²ÄÈ÷ Àд »ç¶÷Àº ±×¸® ¸¹Áö ¾Ê´Ù. ´ëºÎºÐ Á¦¸ñ¸¸ ÈÈ°í Áö³ª°£´Ù. ±×·¯¸é ºÒÇÊ¿äÇÑ ÆÐÄ¡¿¡ ½Ã°£À» ³¶ºñÇÏ°Ô µÉ ¼ö¹Û¿¡ ¾ø´Ù.
°ø±Þ¸Á ¹®Á¦¿Í Ãë¾àÁ¡ °ü¸®ÀÇ È¿À²À» ³ôÀÌ·Á¸é ÇöÀç NVD°¡ °í¼öÇÏ°í ÀÖ´Â ¸í¸í ü°èºÎÅÍ ¼ÕÀ» ºÁ¾ß ÇÑ´Ù. ÀÌ¹Ì OWASP, ¸®´ª½ºÀç´Ü, ¿À¶óŬ µî ¿©·¯ ´Üü¿Í Á¶Á÷µé¿¡¼ ÀÌ ¹®Á¦¸¦ ÀÎÁöÇÏ°í ÀÛ¾÷À» ½ÃÀÛÇß´Ù. ÇÏÁö¸¸ ¾ÆÁ÷ ÀÌ·¸´Ù ÇÒ ÇØ°áÃ¥À̳ª Á¦¾ÈÀÌ ³ª¿Â °ÍÀº ¾Æ´Ï´Ù. Áö±ÝÀÇ ¹®Á¦µéÀ» ÇØ°áÇÒ ¼ö¸¸ ÀÖ´Ù¸é Ãë¾àÁ¡ °ü¸® üÁ¦¿¡´Â Å« º¯È°¡ ÀÖÀ» °ÍÀ¸·Î ±â´ëÇÑ´Ù.
±Û : ĿƼ½º ¾áÄÚ(Curtis Yanko), ¼ö¼® ¾ÆÅ°ÅØÆ®, GrammaTech
[±¹Á¦ºÎ ¹®°¡¿ë ±âÀÚ(globoan@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>