작업 완료 · 2022
다차원 취약점 패치 우선순위 시스템
CVSS와 공개 위협 신호를 함께 표시해 실제 제품의 취약점 대응 순서를 판단하도록 했습니다.
기간2022
소속래브라도랩스(LabradorLabs)
역할데이터 엔지니어 · 모델 설계
Python취약점 스코어링CVSS·CWE
작업 요약
당시 CVE 약 20만 건의 점수 산출 · 회고 기준
CVSS 외에 실제 탐지 정보도 반영했습니다
CVSS가 높다고 항상 우리 제품에서 먼저 패치해야 하는 것은 아닙니다. 실제 분석 결과에 파일이 존재하는지, 어떤 위협 신호가 있는지까지 함께 확인해야 패치 순서를 정할 수 있습니다.
Patch Priority에서는 이 정보를 점수에 반영해 사용자가 패치 순서를 판단할 수 있도록 했습니다.
문제
수많은 취약점 중 무엇을 먼저 처리할지 명확한 기준이 없어 제한된 리소스로 대응해야 하는 사용자들이 어려움을 겪었습니다. CVSS 점수 단일 지표만으로는 실제 위험의 우선순위를 충분히 표현하지 못했습니다.
한 일
분석·탐지 과정에서 취약점에 점수를 부가하고 CVSS 단일 지표를 넘어 기타 위협 요소를 반영해 위험도를 다시 산정하는 평가 모델을 설계했습니다. 우선순위 신호에는 실제 제품 분석에서 탐지된 파일이 취약한지(실탐지 기반 신호)까지 수집·반영했습니다. 이를 정량화하는 스코어링 알고리즘과 결과를 저장·조회하는 데이터 모델까지 구성했습니다.
스코어링 흐름
결과
위협 신호 반영CVSS 중심 평가의 한계를 보완하는 취약점 패치 우선순위 시스템 구축
대응 순서 판단사용자가 제한된 리소스로 가장 시급한 취약점에 집중하도록 지원
우선순위 제공스캔 결과에 패치 순서를 판단할 수 있는 점수를 표시
역할
데이터 엔지니어로서 평가 모델 구상·메타데이터 수집 크롤러 개발·스코어링 알고리즘 설계까지 단독으로 수행했습니다.
취약점 수집(OS 패키지) 정확도 개선과 함께 2022년 VDB의 취약점 대응 기능을 구성했습니다.