자바 개발자를 위한 데브옵스 툴

245

7

장

바이너리 보안

CVSS

버전

3

.

0

부터

스코프스코프

메트릭 메트릭

scope

metric

이 추가되었다. 이 메트릭은 다른 시스템의 컴포넌

트가 받는 영향을 고려한다. 예를 들어 가상화 환경의 구성 요소가 손상되면 부모 시스템까지

피해를 입을 가능성이 생긴다. 가상화 영역에 발생하는 공격은 전체 시스템에 대한 더 큰 위험

을 상징하므로 스코프 메트릭으로 평가한다. 이러한 예시는 메트릭을 상황에 맞게 해석할 필요

성을 강조한다. 다음은 시간, 환경 메트릭을 차례로 알아본다.

7.7.2 7.7.2

CVSSCVSS

시간 메트릭 시간 메트릭

시간 메트릭시간 메트릭

temporal

metric

은 시간적 기준에 의존하는 평가 항목으로 구성된다.

시간이 지남에 따라 변화하는 요소는 시간 메트릭 평가에 영향을 미친다. 가령 취약점을 악용

하는 툴은 시간이 지나면서 가용성이 변한다. 이러한 툴은 악성 코드 또는 단계별 지침의 형태

로 존재한다. 또한 이론적으로 존재하는 취약점과 제조사가 공식적으로 확인한 취약점은 반드

시 구분해야 한다. 이러한 조건들은 모두 시간 메트릭의 평가 결과를 결정짓는 요인이다.

시간 메트릭의 평가 항목들은 최대치에서 시작해 감소 단계를 측정하는 지표들이다. 초기 등급

이 최악의 시나리오를 가리키도록 의도적으로 설계되어 있다. 이러한 특성은 취약점을 평가하

는 관점에 이해관계가 엮었을 때 장단점을 드러낸다.

시간 메트릭의 초기 평가에 영향을 미치는 요인은 외부에 존재한다. 이들은 임의의 기간 동안

존재하며 기초 평가에 영향을 ...