CSAF 2.0(Common Security Advisory Framework)

개요

CSAF 2.0(Common Security Advisory Framework)은 보안 취약점에 대한 정보를 구조화된 방식으로 전달하기 위한 국제 표준 포맷입니다. OASIS(Open Standards for the Information Society)에서 정의한 이 포맷은 JSON 기반이며, 자동화된 보안 대응과 취약점 공유를 위해 설계되었습니다. 소프트웨어 공급망, 제품 보안 팀, 보안 솔루션 벤더 등 다양한 보안 이해관계자 간의 원활한 협력을 지원합니다.

---

1. 개념 및 정의

항목	내용	비고
정의	취약점 관련 정보를 기계 판독 가능하게 제공하는 JSON 기반 보안 권고문 표준	OASIS 표준 (2022년 승인)
목적	보안 취약점 정보를 일관되고 자동화된 방식으로 배포	CVE, VEX와 연계 가능
필요성	복잡해진 공급망 환경에서의 신속하고 정확한 취약점 대응	SBOM과 연계 필수화 추세

---

2. 특징

항목	설명	비고
JSON 기반 구조	표준화된 스키마로 자동 수집·분석 가능	보안 도구와 연계 용이
공급망 보안 강화	VEX(취약점 제외 정보), 제품 트리 구조 등 포함	SBOM 연동 지원
자동화 친화	취약점 정보의 파싱 및 대응 자동화 가능	DevSecOps 통합 가능

→ 보안 권고문을 단순 문서에서 ‘자동화 가능한 데이터’로 전환함

---

3. 구성 요소

구성 요소	설명	예시
Document	문서 버전, ID, 생성일 등 메타데이터	CSAF-2.0 형식 명시
Product Tree	영향을 받는 제품/버전의 계층적 구조 표현	공급망 연결 구조화
Vulnerabilities	CVE ID, 영향도, 설명, 패치 정보 등	CVSS 정보 포함 가능
Remediations	수정 조치 정보 (업데이트, 패치 등)	적용 조건 명시
Threats	취약점의 위협 시나리오 및 악용 가능성 정보	공격 코드 존재 여부 등
References	외부 문서, URL, 보안 권고문 등 링크	NVD, CERT 연동 가능
Acknowledgments	취약점 제보자 및 협력자 정보	보안 연구자 인정

→ 각 구성요소는 공급망 대응과 보안 자동화를 위해 기계 판독형으로 설계됨

---

4. 기술 요소

기술 요소	설명	관련 기술
JSON Schema	CSAF 문서 구조 정의를 위한 스키마	JSON Schema Draft 7 기반
CVE 연계	취약점 식별자를 표준적으로 활용	CVE.org, CVE JSON 5.0
VEX (Vulnerability Exploitability eXchange)	제품이 취약점에 영향 받는지 여부를 명시	CISA 주도, CSAF 확장 필드
SBOM 연계	소프트웨어 구성 요소 리스트와 자동 연동	SPDX, CycloneDX 호환

→ CSAF는 SBOM → VEX → 패치 조치의 흐름을 구조화하여 대응 자동화 기반 제공

---

5. 장점 및 이점

항목	설명	기대 효과
대응 속도 향상	자동화된 취약점 분석·조치 가능	보안 이벤트 처리 효율화
공급망 가시성 확보	어떤 제품/버전이 영향을 받는지 명확히 식별	위협 관리 및 우선순위 조정
DevSecOps 통합	CI/CD 파이프라인에서 취약점 검출·조치 자동화	보안 shift-left 실현
글로벌 표준화 지원	국제 표준 기반으로 조직 간 협업 가능	정부 및 기업 대응 일관성 확보

→ 조직 내 보안 대응 프로세스의 성숙도 향상에 직접적인 기여

---

6. 주요 활용 사례 및 고려사항

사례	설명	고려사항
보안 벤더	패치 노트 및 권고문을 CSAF 형식으로 배포	고객 자동 처리 시스템 연동 필요
소프트웨어 개발사	제품별 영향 여부(VEX)와 패치 정보 포함 권고 배포	SBOM 관리 시스템과 연계 필요
보안 오케스트레이션	CSAF 기반 위협 분석 자동화 도입	JSON 검증 도구 필수
공공기관	보안 권고문 표준화를 통한 민간 협력 강화	국제 표준 준수 여부 확인 필요

→ JSON 생성 및 서명, 보안 유통 채널 관리에 대한 체계적인 운영 필요

---

7. 결론

CSAF 2.0은 보안 권고문을 정형화하고, 공급망 전반의 취약점 관리를 자동화할 수 있는 강력한 수단입니다. 특히 VEX 및 SBOM과의 연계를 통해 전체 소프트웨어 생태계의 가시성과 신속 대응력을 높이며, DevSecOps의 핵심 축으로 자리잡고 있습니다. 향후 모든 보안 정보 전달은 CSAF 기반의 구조적 방식으로 전환될 가능성이 높습니다.