취약점 공지를 읽을 때 내가 먼저 보는 것들

취약점 공지가 뜨면 가장 먼저 CVSS 점수를 확인하는 습관이 있었다. 9.8 이면 긴장하고 6.5 면 넘겼다. 몇 번 크게 헛짚고 나서 순서를 바꿨다.

점수보다 먼저 보는 것

1. 공격 전제 조건

CVSS 벡터의 AV, PR, UI 를 본다. 점수가 높아도 인증된 관리자만 트리거할 수 있는 취약점이라면, 우리 환경에서의 실제 위험은 낮을 수 있다. 반대로 점수가 중간이어도 인증 없이 네트워크에서 닿는다면 우선순위가 올라간다.

2. 우리가 그 구성으로 쓰고 있는가

대부분의 공지에는 "영향받는 구성"이 적혀 있다. 특정 모듈이 활성화된 경우에만 해당하는 경우가 생각보다 많다. 자산 목록에 버전만 적어 두면 이 판단을 할 수 없다. 그래서 요즘은 주요 시스템의 활성 모듈까지 인벤토리에 남긴다.

3. 익스플로잇의 공개 여부

PoC 가 공개됐는지, 실제 악용이 관측됐는지가 대응 속도를 가른다. KISA 와 CISA 의 악용 목록을 함께 본다.

4. 완화 방안의 부작용

패치가 유일한 답이 아닐 때가 있다. 설정 변경으로 막을 수 있다면 그 변경이 서비스에 어떤 영향을 주는지까지 정리해야 고객사가 결정을 내릴 수 있다.

정리 표

공지를 읽고 나면 이런 표 한 줄로 남긴다.

이 표가 쌓이면 나중에 "그때 왜 이렇게 판단했나"를 설명할 수 있다. 사후에 설명할 수 있는 판단이 좋은 판단이라고 생각한다.