🎙️ 어이, 4885 취약점.... 너지...?

해커의 TMI

12화: 취약점의 주민등록번호, CVE

여러분은 CVE에 대해 알고 계신가요? 보안과 관련된 소식, 특히 취약점에 대해 다루는 뉴스를 보다 보면 CVE로 시작하는 번호를 볼 수 있어요.

월요일마다 발송되는 Hackyboiz 블로그의 컨텐츠인 [하루한줄]도 대부분 CVE에 등록된 취약점의 기술적인 내용을 다루는데요, 대체 CVE가 뭐길래 취약점 옆에 꼭 붙어서 따라오는 걸까요? 🤔

여기저기에 CVE가 가득해.. 대체 CVE가 뭐길래?!

CVE가 뭐야?

⭐ CVE(Common Vulnerabilities and Exposures)는 공개적으로 알려진 보안 취약점 목록을 말합니다.

CVE 이전의 취약점 관리체계는 각 기관이나 소프트웨어 업체마다 제각각이었기 때문에 동일한 취약점을 각자의 기준에 맞게 다른 이름으로 불렀는데, 이러한 점 때문에 취약점에 대한 정보공유가 원활하게 이루어지지 않는다는 문제점이 있었어요. 😢

달고나와 뽑기처럼, 같은 취약점을 서로 다른 명칭으로 부른다면 혼란스럽겠죠. 😵‍💫

이에 1999년, 미국 국토안보부 산하 사이버 보안 및 인프라 보안국 CISA의 지원을 받는 비영리 연구개발 단체인 MITRE에서 취약점을 체계적으로 식별하고 관리할 목적으로 CVE를 고안했습니다. 그리고 이는 현재까지 전 세계 소프트웨어 취약점 식별의 기준이 되고 있답니다.

최근 리뉴얼된 CVE 웹사이트 https://cve.org

CVE는 단순한 취약점 식별을 넘어 미국 국립표준기술연구소 NIST의 국가 취약점 데이터베이스 NVD(National Vulnerability Database)에 자료를 제공하며 NVD는 제공받은 데이터를 기반으로 CVSS 점수를 책정하는 등의 협력을 통해 현재의 취약점 관리 체계가 완성되었어요.

⭐ CVSS(Common Vulnerability Scoring System)는 CVE에 등록된 취약점에 대해 심각도를 판단하는 점수 지표로 점수는 0~10까지 할당됩니다. 점수가 높을수록 심각한 위험도를 가지는 취약점으로 판단되며 위협에 따라 대응 및 리소스의 우선순위를 지정할 수 있도록 하는 기준으로 활용됩니다.

CVE는 어떻게 취약점을 식별하지?

악용될 가능성이 있는 취약점이 제보되면 보안 전문가들이 취약점을 분석 및 평가합니다. 승인이 되면 CVE 식별번호가 부여되어 리스트에 추가되는데, 식별 번호는 CVE ID라고 불리는 포맷을 기준으로 할당돼요.

CVE ID는 CVE-yyyy-nnnn 포맷으로 이루어져 있으며 yyyy는 취약점이 제보된 년도를 뜻하고 nnnn은 취약점의 고유 식별 번호를 뜻합니다.

그런데 취약점은 매년 최소 수천 개씩 제보가 됩니다. 이걸 한 기관에서 분석, 평가하고 CVE에 등록하려면 매일 야근을 해도 모자랄 거에요. 😭

이를 해결하기 위해 CVE 번호를 할당할 수 있는 CNA(CVE Numbering Authority)라는 권한을 만들어 MITRE가 선정한 기업에게 부여하기 시작했습니다! 마이크로소프트, 애플 등의 약 100개의 보안 기업과 주요 IT 벤더사가 이러한 권한을 부여받았으며 국내에서는 KISA와 네이버, 삼성모바일과 LG전자가 CNA에 등록되어 있답니다. 😲

이러한 CNA 권한을 부여받은 기업의 경우 자사의 제품에서 발생한 취약점에 대해 CVE 번호를 할당하고 관리할 수 있는 권한이 생기게 되어 좀 더 효율적으로 취약점을 관리할 수 있는 것이죠!

CNA에 등록된 국내 기업을 제외한 국내 소프트웨어의 취약점은 KISA를 통해 CVE에 등록되고 관리됩니다.

CVE와 해커

CVE가 등장함에 따라 취약점의 정보에 일반 대중들이 더 쉽게 접근할 수 있게 되었습니다. 이는 다시 말해 공개된 취약점을 악용하려는 목적을 가진 사람들 또한 악용할 취약점의 정보를 쉽게 얻을 수 있다는 말이기도 해요. 실제로 공개된 CVE 원데이 취약점을 사용해 패치가 적용되지 않은 특정 기업이나 국가의 서비스를 공격하는 일도 발생한답니다. 😢

그러나 체계적인 취약점 관리로 인해 보안 담당자들이 취약점을 인식하고 대응할 수 있어 정보의 공유로 발생하는 피해보다는 이익이 더 크다는 점이 중요해요! 여러 보안 기업과 IT 벤더가 CNA에 참여하는 이유도 이러한 정보 공유에 앞장서 피해를 최소화하기 위해서라고 볼 수 있습니다.

또 한 가지 CVE의 순기능은 바로 해커들이 버그헌팅에 의욕을 가지고 참여할 수 있도록 한다는 점에 있습니다. 개인이 제보한 취약점 역시 심사를 거치며, CVE로 정식으로 등록이 되면 해당 취약점의 최초 발견자로 공식적으로 인정을 받게 됩니다. 때문에 취약점을 제보한 해커는 버그헌팅 보상뿐만 아니라 등록된 CVE를 자신의 커리어로도 활용할 수 있어요. 내가 찾은 취약점을 전 세계에서 보게 된다니, 상상만 해도 정말 멋지지 않나요? 😎