자바 개발자를 위한 데브옵스 툴

246

자바 개발자를 위한 데브옵스 툴

7.7.3 7.7.3

CVSSCVSS

환경 메트릭 환경 메트릭

환경 메트릭환경 메트릭

environmental

metric

은 시스템의 환경적 측면에서 보안 갭의 위험을 평가하는 지표다.

평가는 실제 상황을 기반으로 진행된다. 시간 메트릭과 달리 환경 메트릭의 기본 항목은 양방

향으로 측정할 수 있다. 따라서 환경 메트릭은 상위 분류와 연결되며 현재 상태의 변화를 지속

적으로 반영해야 한다.

제조사의 공식 패치가 있는 보안 허점을 예로 들어보자. 이 패치의 존재만으로 시간 메트릭의

총합은 감소한다. 그러나 패치가 시스템에서 활성화되지 않는 한 최종 평가 점수는 환경 메트

릭의 보정을 받아 크게 상향될 것이다. 패치는 해당 보안 허점을 더 잘 이해하는 수단으로 활용

될 수 있다. 공격자 또한 더 자세한 정보를 바탕으로 취약점을 악용할 수 있기에 아직 취약점에

대비하지 못한 시스템의 저항력은 감소한다.

세 가지 메트릭의 항목별 평가를 배점에 대입해 합계 점수를 구한다. 항목별 점수는 다시 그룹

별로 묶어 계산 공식에 할당한다. 이때 놓치기 쉬운 주의 사항이 있다. 최종 점수를 계산할 때

환경 점수를 통한 항목별 조정을 거치지 않고 각 점수를 그대로 대입해버리는 경우가 많다. 이

렇게 산출된 최종 점수는 전체 시스템을 고려하지 못하는 부정확하고 위험한 평가가 되기 쉽다.

7.7.4 7.7.4

CVSSCVSS

실전 실전

CVSS

는 소프트웨어의 보안 갭을 평가하고 등급을 매기는 시스템이다. 대체재가 없는 사실상