KEV Catalog(CISA Known Exploited Vulnerabilities Catalog)

개요

KEV Catalog는 미국 사이버보안 및 기반시설 보안국(CISA, Cybersecurity and Infrastructure Security Agency)이 관리하는 이미 악용(Exploited)이 확인된 보안 취약점 리스트입니다. 이 카탈로그는 정부 기관뿐만 아니라 민간 부문 조직들이 적극적으로 대응해야 할 고위험 취약점을 식별하고, 신속히 패치하거나 완화 조치를 취할 수 있도록 가이드를 제공합니다. KEV는 단순 취약점 목록이 아닌, 실질적 공격 위험이 입증된 위협에 대한 우선 대응 지침입니다.

---

1. 개념 및 정의

항목	설명
정의	실제 공격에 사용된 것이 확인된 보안 취약점 목록을 관리하는 CISA 공식 카탈로그
목적	조직의 사이버 위협 노출을 최소화하고 신속한 취약점 대응 촉진
필요성	취약점의 '위험성'이 아니라 '악용 현실성'에 기반한 우선순위 대응 필요

KEV Catalog는 Executive Order 14028(연방 정부 소프트웨어 보안 강화 명령)에 따라 탄생했습니다.

---

2. 특징

특징	설명	비교
악용 입증 기반 수록	실제 공격 사례 확인된 취약점만 포함	CVE 목록 전체 대비 필터링된 고위험 취약점 모음
패치/완화 마감 기한 제시	각 취약점에 대해 조치 완료 기한 지정	단순 권고보다 강제성 강화
정기 업데이트 제공	새로운 악용 사례 발견 시 신속 추가	연 2회 갱신되는 일부 목록 대비 실시간성 우수

KEV는 단순한 취약점 관리가 아닌, 사이버 방어 '행동(Action)' 프레임워크입니다.

---

3. 구성 요소

구성 요소	설명	예시
취약점 식별자(CVE ID)	고유 취약점 번호 제공	CVE-2021-44228 (Log4Shell)
제품 정보	취약점이 영향을 미치는 제품명	Apache Log4j, Microsoft Exchange 등
취약점 상세 설명	악용 방법 및 위험성 요약	RCE(Remote Code Execution) 가능성 등
조치 기한(Due Date)	패치 또는 완화 완료 요구 날짜	예: 2023-07-15

KEV Catalog는 JSON 포맷으로 자동화 도구와 연동이 용이합니다.

---

4. 기술 요소 및 운용 방식

기술	설명	적용 사례
CVE 및 NVD 연동	CVE, NVD 데이터베이스와 연계하여 취약점 식별	취약점 메타데이터 자동 매칭
JSON API 제공	KEV 데이터셋 API로 활용 가능	SIEM, VM(Vulnerability Management) 플랫폼 자동 연동
자동화된 취약점 모니터링	KEV 업데이트를 주기적으로 수집 및 분석	탐지-대응 자동화(ADR, SOAR) 연동
리스크 기반 취약점 대응	취약점 위험성보다 실질 악용 여부 우선 반영	리소스 집중형 대응 체계 최적화

KEV는 Threat-Informed Defense 전략의 핵심 도구로 자리잡고 있습니다.

---

5. 장점 및 이점

장점	설명	효과
위협 대응 속도 향상	이미 악용된 취약점에 우선 대응 가능	사고 발생 전 조기 차단 가능성 증가
리소스 최적화	무분별한 패치 대신 고위험 위협에 집중	IT 및 보안팀 부담 완화
규제 준수 지원	연방기관, 공급망 기업 규정 대응 필수	EO 14028, BOD 22-01 등 준수 지원

민간 기업도 KEV를 **내부 보안 기준(Baseline)**으로 채택하는 사례가 증가하고 있습니다.

---

6. 주요 활용 사례 및 고려사항

사례	설명	고려사항
연방기관 보안 준수	KEV 기반 취약점 대응 관리 의무화	대응 완료 증빙 및 감사 대응 필요
민간기업 취약점 관리 최적화	KEV 우선 적용으로 위협 노출 최소화	기존 CVSS 기반 프로세스와 통합 필요
SaaS 서비스 공급망 보안 강화	KEV 취약점 기반 공급망 보안 점검	SBOM 연계 검토 및 자동화 필요

활용 시 패치 불가 시스템에 대한 보완 대책(Compensating Controls) 수립도 중요합니다.

---

7. 결론

KEV Catalog는 현대 사이버 방어 전략에서 효율성과 실질성을 모두 확보할 수 있는 핵심 도구입니다. 단순 취약점 수치에 의존하지 않고, 현실적 위협 기반 대응 체계를 구축하려는 모든 조직은 KEV를 적극 활용해야 합니다. 앞으로 공급망 보안, 규제 준수, 위협 헌팅 등 다양한 분야에서 KEV 기반 접근법은 더욱 확대될 전망입니다.