CVE 분류

스캐너는 400개의 CVE ID와 대부분을 심각하다고 부르는 심각도 열을 건넵니다. 이 데스크는 실제로 악용되고 있는 것을 기준으로 목록의 순위를 매깁니다. 알려진 악용에는 CISA KEV 카탈로그, 악용 확률에는 FIRST EPSS 점수, 영향에는 CVSS를 사용하고, 모든 입력을 그것이 만든 우선순위 옆에 인쇄하므로 순서는 감사할 수 있고 마법의 숫자가 아닙니다.

입력에서 아직 CVE ID를 찾지 못했습니다.

매주 패치 대기열을 처리하고 계신가요? myeventwatch로 사이트를 무료로 모니터링하세요 — 만료와 중단 알림, 카드가 필요 없습니다.

순위 매김 방식

각 ID는 세 가지 출처에서 조회되고 처음 일치하는 규칙에 따라 우선순위 구간이 주어집니다. P1은 CISA 알려진 악용 취약점(KEV) 카탈로그에 포함된 것입니다. 이것은 예측이 아닙니다. CISA는 적극적인 악용 증거가 있을 때만 CVE를 등재하므로 KEV 항목은 다른 모든 것보다 우선하고, 표에는 그 수정 기한과 CISA가 알려진 랜섬웨어 사용을 표시하는지가 나타납니다. P2는 EPSS 점수 0.10 이상입니다. FIRST가 유지하는 EPSS는 CVE가 향후 30일 이내에 악용될 확률을 모델링하며, 0.10은 높은 수치입니다. 점수가 있는 CVE의 대다수는 0.01 아래에 있으므로 원점수를 정직하게 유지하기 위해 백분위 열도 함께 표시됩니다. P3은 악용 신호가 없는 CVSS 기본 점수 7.0 이상(높음 또는 심각)입니다. 사용되면 심각하지만 사용된다고 알려지지는 않았습니다. P4는 데이터가 있는 그 밖의 모든 것입니다. 구간 안에서는 행이 EPSS, 그다음 CVSS 순으로 정렬되고, 모든 열 머리글을 클릭하면 표를 다시 정렬할 수 있습니다. 사용자의 대기열이 기본 순서와 정당하게 다를 수 있기 때문입니다. 구간이 절대 하지 않는 것은 입력을 숨기는 것입니다. 어떤 행의 우선순위에 동의하지 않는다면, 그것을 만든 숫자가 같은 줄에 있습니다.

데이터의 출처와 신선도

KEV 카탈로그와 EPSS 점수는 sysosx 서버에 매일 캐시됩니다. 두 발행자 모두 하루에 하나의 대량 파일을 배포하므로, 이 데스크는 그 파일들을 하루에 한 번 다운로드하고 사용자의 조회는 로컬 사본을 읽습니다. 결과 머리글에는 각 피드 자체의 날짜(카탈로그 배포일, EPSS 점수일)와 가져온 시각이 표시되므로, 어느 날의 데이터가 목록의 순위를 매겼는지 항상 알 수 있습니다. CVSS는 예외입니다. KEV도 EPSS도 그것을 싣지 않으므로 점수는 NVD에서 옵니다. CVE가 처음 조회될 때 한 번 가져와 서버에 영구적으로 캐시됩니다. 게시된 CVSS 점수는 변하지 않기 때문입니다. 그래서 아주 새로운 붙여넣기는 몇몇 점수를 보류 중으로 표시할 수 있습니다. 그것은 캐시가 아직 그 ID에 도달하지 않았다는 뜻이지 점수가 없다는 뜻이 아닙니다. 잠시 후 목록을 다시 실행하면 채워집니다. 새 조회는 다른 서버 측 검사와 마찬가지로 방문자별로 제한되고, 같은 붙여넣기를 반복하면 짧은 캐시에서 제공됩니다. 내부적으로 이 페이지는 추출된 ID로 sysosx 서버의 GET /api/check/cve-triage를 호출합니다.

이 데스크가 알려줄 수 없는 것

정직한 세 가지 한계. 첫째, “오늘의 캐시 데이터에 없음”은 세 데이터셋에 없다는 것이지 판결이 아닙니다. 알려진 악용이 아니고, EPSS 점수가 없으며, NVD에 기록이 없습니다. 그래도 새것이거나, 논란 중이거나, 다른 ID로 점수가 매겨졌을 수 있으며, 어깨를 으쓱할 일이 아니라 직접 살펴볼 가치가 있습니다. 둘째, 악용 데이터는 세상 속의 CVE에 대한 것이지 사용자의 자산에 대한 것이 아닙니다. 인터넷에 노출된 서버의 P4가 격리된 테스트 상자의 P1보다 우선할 수 있으며, 어느 것이 어느 것인지는 사용자만 압니다. 인터넷에 노출된 배치를 먼저 분류하세요. 이것이 이 데스크가 한 번에 200개의 ID를 받는 이유이기도 합니다. 하나의 순위가 전체 자산에 맞는 척하지 않습니다. 셋째, KEV 등재는 악용보다 늦고 EPSS는 신탁이 아니라 모델입니다. 둘 다 심각도만보다 훨씬 좋은 증거이지만, 어느 것도 P1에 대한 공급업체 권고를 읽는 것을 대신하지는 않습니다. 순위 매김 뒤의 논리와 실제 예는 심각도만이 아니라 악용 현황으로 CVE를 분류하기에 있습니다.

관련 도구: 호스트가 실제로 노출하는 서비스를 확인하는 포트 스캐너(모든 CVE 결정의 자산 쪽 절반), 같은 호스트의 인증서·만료·기록을 확인하는 웹사이트 상태 검사, 그리고 발견 사항이 CVE가 아니라 TLS 구성일 때의 SSL 등급기.

자주 묻는 질문

데이터는 어디에서 오며 얼마나 신선한가요?

세 가지 공개 출처이며, 각각 결과에 날짜가 표시됩니다. CISA 알려진 악용 취약점 카탈로그와 FIRST EPSS 일일 점수는 하루에 한 번 sysosx 서버로 다운로드되어 거기에 캐시됩니다. 사용자의 조회는 로컬 사본을 읽으며 CISA나 FIRST에 실시간으로 질의하지 않습니다. CVSS 점수는 NVD에서 옵니다. CVE의 첫 조회에서 한 번 가져와 영구적으로 캐시됩니다. 게시된 CVSS 점수는 변하지 않기 때문입니다. 점수가 “보류 중”이라고 표시되면 캐시가 아직 그 CVE에 도달하지 않은 것입니다. 1분 후 목록을 다시 실행하면 채워집니다.

스캐너의 CVE가 없거나 “오늘의 캐시 데이터에 없음”으로 표시됩니다. 안전한가요?

그런 결론은 내릴 수 없으며, 이 페이지는 그렇지 않은 척하지 않습니다. “찾을 수 없음”은 그 ID가 오늘 캐시된 출처 중 어느 곳에도 나타나지 않는다는 뜻일 뿐입니다. KEV 카탈로그에 없고, 현재 파일에 EPSS 점수가 없으며, NVD에 그 CVSS 기록이 없습니다. 새 CVE는 매일 나타나고, EPSS는 모델링한 CVE만 점수를 매기며, CVE는 실재하고 심각하면서 세 가지 모두에 단순히 너무 새로울 수 있습니다. 없는 행은 “무시”가 아니라 “직접 분류”로 취급하세요.

왜 CVSS 9.8이 CVSS 7.5 아래에 순위가 매겨지나요?

순위가 영향이 아니라 악용을 기준으로 하기 때문입니다. 7.5는 KEV 카탈로그에 있습니다. 공격자가 사용하고 있는 것으로 알려져 있으므로 P1입니다. 9.8은 EPSS 점수가 높거나 없습니다. 악용되면 심각하지만 누군가 이미 악용하고 있다는 증거는 없습니다. 심각도는 침해가 얼마나 나쁠지를 알려주고, KEV와 EPSS는 시도가 얼마나 일어날 것 같은지를 알려줍니다. 패치 순서는 먼저 가능성을 따르고 심각도를 동점 해소 기준으로 사용해야 하며, 그것이 P1–P4 구간이 인코딩하는 것입니다. 아래에 링크된 글이 그 논리를 완전히 풀어 설명합니다.

우선순위 구간은 정확히 무엇을 뜻하나요?

P1: 그 CVE가 CISA KEV 카탈로그에 있습니다. 알려진 악용이므로 지금 패치하고 KEV 기한 열을 확인하세요. P2: KEV에는 없지만 EPSS 점수가 0.10 이상입니다. 향후 30일 이내 악용 확률이 모델상 10% 이상으로, 매우 드문 영역입니다(점수가 있는 CVE의 1%에 훨씬 못 미칩니다). P3: 둘 다 아니지만 CVSS 기본 점수가 7.0 이상입니다(높음 또는 심각). P4: 데이터는 있지만 어떤 임계값도 충족하지 않습니다. 정상적으로 일정을 잡으세요. 구간 뒤의 모든 입력은 자체 열에 인쇄됩니다. 구간은 정렬 순서이지 믿음으로 받아들여야 하는 점수가 아닙니다.

200개가 넘는 CVE를 분류할 수 있나요?

이 데스크는 조회당 200개의 ID를 받습니다. 목록을 두 배치로 나눠 붙여넣으세요. 이 상한은 하나의 요청이 검사기를 독점하는 것을 막고, 실제로도 스캐너 내보내기는 자산 그룹별로 나누는 편이 더 유용합니다. 인터넷에 노출된 배치를 먼저 분류하세요. 같은 CVE라도 공개 서버와 격리된 워크스테이션에서는 긴급도가 다르기 때문입니다.