CVSS v4.0 (Common Vulnerability Scoring System)

개요

CVSS(Common Vulnerability Scoring System)는 IT 시스템에서 발생하는 보안 취약점의 심각도를 수치로 정량화하는 국제 표준입니다. CVSS v4.0은 2023년 발표된 최신 버전으로, 기존 v3.1의 한계를 보완하고 더 정교하고 현실적인 취약점 점수 산정을 가능하게 하는 체계입니다. 기업, 공공기관, 보안 솔루션에서 위험 우선순위 결정에 핵심적으로 사용됩니다.

---

1. 개념 및 정의

CVSS v4.0은 다음의 주요 측정 벡터로 구성됩니다:

• Base Metric Group: 취약점 자체의 기술적 특성
• Threat Metric Group (신설): 공격의 가능성과 실제 위협 정보 반영
• Environmental Metric Group: 조직별 자산 영향 반영
• Supplemental Metric Group (신설): 위험 요소 외 다양한 속성 기술 (자동화, 사회적 영향 등)

각 벡터는 세부 요소로 구성되어 가중치와 수식을 기반으로 최종 점수를 계산합니다 (0.0~10.0).

---

2. 특징

항목	설명	효과
위협 기반 평가 강화	실제 공격 존재 여부 반영 가능	현실적인 리스크 우선순위 판단 가능
보안 자동화 연계성 향상	CVSS-JSON 지원	보안 도구 통합 용이
세분화된 위험 해석	Base + Threat + Environmental + Supplemental 조합	유연한 점수 산정 가능
공격 가능성 측정 개선	User Interaction, Attack Complexity, Attack Requirements 개선	더 명확한 기술적 이해 제공

CVSS v4.0은 정책, 기술, 운영을 아우르는 취약점 평가를 지원합니다.

---

3. 구성 요소

그룹	설명	주요 벡터 예시
Base Metrics	취약점 자체의 특성 (고정)	Attack Vector, Privileges Required, Scope 등
Threat Metrics	실시간 공격 여부 (선택)	Active Exploitation, Social Urgency 등
Environmental Metrics	조직 환경 반영	Confidentiality Requirement, Safety Impact 등
Supplemental Metrics	특수 속성(정량 점수에는 미반영)	Safety, Automation, Recovery Time 등

각 Metric은 JSON 형태의 벡터 스트링으로 표현되어 API 및 리포팅에 활용됩니다.

---

4. 기술 요소

기술 요소	설명	활용
CVSS Vector String	점수 계산을 위한 문자열 표현	CVSS:4.0/AV:N/AC:L/PR:N/UI:N/... 등
NVD 연동	CVE 데이터베이스와 연계	CVSS 점수 자동 제공, 위협 탐지 자동화
API 통합	보안 플랫폼에서 CVSS 기반 위협 평가 자동화	SIEM, SOAR, Vulnerability Scanner 등
점수 계산기	공식 웹 기반 점수 시뮬레이션 도구	FIRST CVSS Calculator, Open Source 도구 등

CVSS는 자동화된 위협 탐지, 보안 정책 수립의 기초 데이터로 사용됩니다.

---

5. 장점 및 이점

장점	설명	기대 효과
정량적 위험 평가	숫자로 취약점 위험을 표현	이해관계자 간 객관적 소통 가능
현실 반영 강화	실제 공격 존재 여부 반영 가능	위협 우선순위 정확도 향상
보안 통합 용이	JSON 기반 API 연동 가능	보안 자동화 시스템 효율화
글로벌 표준 준수	FIRST/NVD 기반의 국제 통일 점수 체계	인증, 규제 보고에 적합

CVSS는 취약점 대응 프로세스의 투명성과 일관성을 강화합니다.

---

6. 주요 활용 사례 및 고려사항

사례	설명	고려사항
취약점 리스크 기반 대응	점수에 따라 조치 우선순위 설정	Threat Metric 반영 여부 결정 필요
정책 기반 자동 패치	CVSS 기준 자동 패치 룰 구성	환경 Metric 설정 정확성 필요
보안 보고서 작성	CVSS 점수 기반 리스크 리포트	설명 가능한 점수 해석 문서화 필요

도입 시 자체 환경 값 설계, 자동화 연계, 위협 벡터 주기적 갱신 전략이 중요합니다.

---

7. 결론

CVSS v4.0은 최신 보안 위협 환경에 대응하기 위한 정량적·정성적 취약점 평가 체계의 진화 버전입니다. 기술적 특성뿐 아니라 실제 위협 존재, 조직 환경, 추가 속성까지 고려하여 현실성 있는 보안 대응 전략 수립을 가능하게 합니다. 보안 자동화, 정책 설정, 감사 보고 등 다양한 목적에 활용 가능한 글로벌 표준으로 자리잡고 있습니다.