많은 조직이 위험 기반 취약성 관리를 사이버 보안 프로그램의 핵심 구성 요소로 채택하여 CVSS 전용 분류를 넘어 우선순위 프레임워크를 구축하고 사이버 위협 인텔리전스 피드, 스캐너 및 취약성 복구 워크플로에 투자했습니다. 그러나 복구 대기열은 종종 작동하지 않고, 위험 점수는 IT 운영에 대한 신뢰성을 얻는 데 어려움을 겪고 있으며, 팀은 여전히 리더십에 대한 측정 가능한 위험 감소를 입증하는 데 어려움을 겪고 있습니다.
이 문서에서는 적용 범위 인프라에서 채점 모델, 팀 간 조정 및 프로그램이 위험을 줄이고 있음을 입증하는 KPI에 이르기까지 각 격차를 해소하는 방법을 자세히 설명하므로 팀이 현재 조직이 직면한 위협에 보조를 맞출 수 있습니다.
대부분의 RBVM 프로그램이 확장되기 전에 정지하는 이유
레거시 취약성 관리 접근 방식에서 전환하는 조직은 종종 불완전한 자산 가시성, 검증되지 않은 스캐너 결과 및 보안과 IT 운영 간의 불분명한 핸드오프를 극복하기 위해 설계된 것과 동일한 약점을 전달합니다. 그러나 대부분의 팀은 위험 기반 우선순위 지정의 원칙을 이해하는 것이 더 쉽다는 것을 알고 있습니다. 기업 환경에 일관되게 적용하는 것은 추가적인 문제가 발생하는 경우입니다.
개념은 간단합니다. 실행은 프로그램이 분해되는 곳입니다.
세 가지 인프라 격차는 대부분의 RBVM 장애를 설명합니다.
- 불완전한 자산 가시성: 부분적인 취약성 데이터에 대해 계산된 위험 점수는 부분적인 보호를 제공합니다. 엔드포인트가 관리되지 않거나, 스캔되지 않거나, 오래된 데이터를 반환하는 경우 위험 대기열에는 우선순위 지정 모델이 수정할 수 없는 사각지대가 있습니다.
- 검증되지 않은 스캐너 결과: 스캐너 출력이 확인된 노출과 동일하지 않습니다. 오래된 스캔 데이터 또는 자산 위생이 불량한 환경에서는 IT 운영이 대기열에 대한 신뢰를 잃고 응답이 보드 전반에서 느려질 만큼 위양성률이 상당히 클 수 있습니다.
- 통제된 핸드오프 모델 없음: 보안이 식별하고 우선순위를 지정합니다. IT 운영이 개선됩니다. 명확한 소유권, 위험 계층 SLA 및 예외 관리가 없으면 조사 결과는 리무진에 쌓입니다.
[협박 및 취약성 관리의 작동 방식, CVSS 점수 이상의 우선순위 지정이 중요한 이유, 탐지와 복구를 연결하면 실제 위험이 감소하는 방법을 이해합니다.]
적용 범위 전제 조건
사이버 위험 점수는 자산 인벤토리 및 엔드포인트 상태 데이터만큼만 정확합니다. 커버리지는 자산 카운트만으로 측정되지 않습니다. 최신 구성, 패치 상태 및 노출이 지속적으로 알려져 있는지 여부에 따라 달라집니다. 그렇지 않으면 우선 순위 지정 모델은 불완전한 위험 표시로 작동합니다.
[자동 위험 점수가 수동 취약성 분류를 대체하는 이유와 위험 기반 우선순위 지정이 팀이 실제로 비즈니스를 위협하는 것에 집중하는 데 어떻게 도움이 되는지 알아보기]
적용 범위 격차가 나타나는 위치
엔터프라이즈 환경은 예측 가능한 위치에 커버리지 격차를 생성합니다. 비관리형 장치, 계약자 노트북, 모바일 장치, 컨테이너, OT 및 ICS 자산, IoT 장치, 섀도우 IT 및 오래된 또는 보고하지 않는 에이전트가 있는 엔드포인트는 모두 표준 스캔 범위를 벗어납니다.
OT 및 ICS 자산에는 다른 적용 범위 전략이 필요합니다. 많은 사람들이 기존 에이전트를 지원할 수 없고, 공격적인 스캔으로 운영 중단이 발생하며, 사용 가능한 패치가 없는 레거시 소프트웨어가 일반적입니다. 이러한 자산의 경우, 보상 통제는 개선이 아닌 주요 위험 감소 수단이 되며, 적용 범위 계획은 처음부터 이를 반영해야 합니다.
개발 환경은 유사한 사각 지대를 제공합니다. DevOps CI/CD 파이프라인을 통해 도입 된 취약성은 복구가 훨씬 더 파괴적인 프로덕션에 도달할 때까지 탐지되지 않는 경우가 많습니다.
200 개의 관리 엔드포인트에 나타나는 취약성은 위험 대기열에 들어가지 않는 50 개의 비관리 장치에도 존재할 수 있습니다. 그림이 완전해 보이지만 실제 노출이 보이는 것보다 큽니다.
스캔 지연이 채점을 저해하는 이유
주기적인 스캔은 현재 공격 표면이 아닌 과거 상태를 반영하는 채점 출력을 생성합니다. 패치 주기, 배포 및 구성 변경이 지속적으로 발생하는 동적 환경에서는 짧은 스캔 지연도 위험 점수가 더 이상 실제 노출을 반영하지 않는다는 것을 의미할 수 있습니다.
실시간 엔드포인트 가시성은 주기적인 스캔으로 인한 지연을 줄여 위험 점수에 보다 정확한 기반을 제공합니다. 지속적인 모니터링을 위해 설계된 플랫폼은 자주 업데이트되는 엔드포인트 원격 측정을 제공하므로 우선순위 결정은 일 전의 스냅샷이 아닌 실제 조건을 반영합니다.
자산 가시성은 일회성 프로젝트가 아닙니다. 이는 지속적인 규율입니다. 그렇지 않으면 가장 정교한 채점 모델도 실제 위험 조건을 놓치는 순위를 생성합니다.
실시간 가시성이 확보되면 다음 질문은 다음과 같습니다. 팀이 신뢰할 수 있는 위험 점수를 어떻게 구축합니까?
위험 점수가 실제로 구성되는 방법
아무도 신뢰하지 않는 위험 점수는 전혀 신뢰하지 않는 점수보다 나쁘다. 효과적인 위험 평가는 보안 및 IT 운영 팀 모두가 입력, 가중치 및 채점 로직을 이해하는 명확하고 투명한 방법론에서 시작됩니다. 신뢰를 구축하려면 이러한 입력과 가중치가 결합하여 점수를 생성하는 방법을 명확히 해야 합니다.
마찬가지로 중요한 것은 팀이 기본 데이터가 오래된 스냅샷이 아닌 라이브 시스템 상태를 반영한다는 확신이 필요하기 때문에 우선순위 결정이 실행 가능하다는 것입니다.
RBVM 위험 점수의 네 가지 주요 입력 요소는 무엇입니까?
RBVM 위험 점수는 CVSS 기본 심각도(기술 결함 심각도), EPSS 활용 확률(실제 활용 가능성), CISA KEV 상태(능동적 활용 확인) 및 자산 중요도(비즈니스 기능 및 데이터 민감도)를 결합하여 실제 위험을 우선시합니다.
| 입력 | 측정 항목 | 중요한 이유 |
|---|---|---|
| CVSS 기본 심각도 | 결함의 기술적 심각도 | 심각도 기준선을 제공하지만 기본 점수는 실제 상황 또는 악용성을 고려하지 않습니다* |
| EPSS 활용 확률 | 야생에서 착취 가능성 | 새로운 익스플로잇 활동이 관찰됨에 따라 현재의 공격자 행동과 이동을 반영하는 동적 신호 |
| CISA KEV 상태 | 취약성이 적극적으로 악용되는지 여부 | 실제 무기화의 이진 지표 |
| 자산 중요도 | 비즈니스 기능, 데이터 민감도, 노출 | 자산이 손상된 경우 블래스트 반경을 결정합니다. |
이러한 입력은 새로 공개된 익스플로잇, 새로운 공격자 기법 및 업데이트된 익스플로잇 확률 점수에 대한 데이터를 포함하여 현재 취약점 인텔리전스로 지속적으로 갱신될 때 가장 효과적입니다. 어떤 산업이 적극적으로 표적이 되고 어떤 익스플로잇 키트가 순환되고 있는지를 포함한 위협 컨텍스트는 특정 환경에 대한 점수 가중치를 더욱 개선할 수 있습니다.
영향을 받는 자산의 네트워크 위치 및 노출 경로를 의미하는 측면 이동 가능성도 추가 위험 수정 요인으로 작용합니다. 격리된 테스트 서버의 취약성은 민감한 고객 데이터에 대한 네트워크 경로에 있는 도메인 컨트롤러 또는 애플리케이션 서버의 동일한 취약성과는 다른 위험을 수반합니다.
[취약점 평가가 무엇인지, 침투 테스트와 어떻게 다른지, 그리고 지속적인 가시성이 주기적인 스캔보다 더 중요한 이유 알아보기]
위험 기반 접근 방식의 예는 무엇입니까?
다음 두 가지 취약점을 고려하십시오.
취약성 A: CISA KEV가 아닌 CVSS 9,8 (위험), EPSS 0,02 (낮은 활용 확률)는 측면 이동 경로가 없는 격리된 테스트 서버에 영향을 미칩니다.
취약성 B: CISA KEV에 나열된 CVSS 7,5 (높음), EPSS 0,85 (높은 활용 가능성)는 고객 데이터베이스에 대한 측면 액세스가 있는 생산 결제 처리 서버에 영향을 미칩니다.
CVSS만으로는 B보다 A의 우선순위를 정할 수 있습니다. 하지만 위험 기반 모델은 민감한 데이터에 대한 측면 이동 경로를 가진 프로덕션 결제 서버가 랜섬웨어 및 갈취 캠페인이 일상적으로 추구하는 것으로 알려진 고가치의 도달 가능한 표적을 나타내기 때문에 B를 올바르게 향상시킵니다.
이러한 반전은 위험 기반 프로그램에서 취약성 우선순위 지정의 전체 지점입니다.
그러나 우선순위 지정만으로는 완료 및 확인된 복구 작업으로 이어지지 않는 한 위험을 줄일 수 없습니다.
[위험 기반 패치 적용, 단계적 출시 및 지속적인 규정 준수 추적을 통해 기업이 취약성 공개와 악용 사이의 격차를 줄이는 방법 알아보기]
특정 가중치 비율은 조직 및 위험 허용 오차에 따라 다르지만, 일반적인 원칙은 동적 위협 신호 및 비즈니스 컨텍스트가 정적 심각도를 능가할 수 있고 능가해야 한다는 것입니다.
또한 채점은 우선순위 지정뿐만 아니라 복구 실행을 관리하는 역할도 합니다. 프로그램이 자동화를 향해 성숙함에 따라 신뢰도 점수는 인간의 검토 없이 대규모로 배포하기에 안전한 작업과 단계적 롤아웃 또는 수동 승인이 필요한 작업을 결정하는 데 도움이 될 수 있습니다.
위험 점수가 높지만 특정 OS 버전의 패치 안정성에 대한 불확실성이 있는 취약성은 즉각적인 푸시를 통한 단계별 배포가 필요할 수 있습니다. 신뢰도 임계값을 복구 워크플로우에 맞추는 것은 조직이 운영 위험을 증가시키지 않고 자동화를 성장시키는 방법입니다.
그러나 잘 구성된 점수조차도 기본 소견이 실제인 경우에만 유용합니다. 이것이 바로 검증이 필요한 이유입니다.
행동하기 전에 노출 확인
스캐너 소견은 확인된 노출과 동일하지 않습니다. 확인되지 않은 결과에 따라 조치를 취하면 복구 용량이 낭비되고 RBVM 프로그램이 의존하는 팀 간 신뢰가 약화됩니다. 검증은 팀이 이러한 격차를 해소하는 방법입니다.
[취약점 스캔 도구의 작동 방식, 엔터프라이즈 환경에 대한 평가 방법 및 확인된 위험 감소와 탐지를 구분하는 요소 알아보기]
검증의 의미
확인된 노출은 엔드포인트에 존재하는 것으로 확인되었고 현재 엔드포인트 상태 및 구성 데이터를 기반으로 컨트롤을 보완하여 아직 완화되지 않은 결과입니다. 검증은 세 가지 질문에 답합니다.
- 취약한 소프트웨어 버전이 실제로 존재하고 실행되고 있습니까?
- 보상 통제가 이미 위험을 완화합니까? 네트워크 세분화, WAF 규칙 및 구성 강화는 모두 악용성을 감소시킬 수 있습니다.
- 자산이 여전히 활성 상태이고 접근 가능합니까?
이러한 수준의 신뢰를 통해 조직은 프로세스에 새로운 위험을 도입하지 않고 복구 단계를 안전하게 자동화 할 수 있습니다.
오탐이 신뢰를 약화시키는 이유
기업 환경에서 오탐률은 스캐너 구성, 자산 위생 및 스캔 신선도에 따라 크게 달라집니다. 정확한 수치와 관계없이, 교정 대기열에 들어가기 전에 결과가 검증되지 않으면 규모에 따른 약간의 오탐률도 IT 운영 역량을 압도할 수 있습니다. 오래된 취약성 스캔, 설명되지 않은 보완 통제 및 이미 폐기된 자산이 모두 기여합니다.
IT 운영 부서에 도달하는 각 오탐은 위험을 해결하는 데 드는 시간을 소모합니다. 시간이 지남에 따라 IT 팀은 회의론으로 대기열을 처리하기 시작합니다. 응답이 느려지고 대기열의 신뢰도가 떨어집니다.
예외 관리는 깨끗한 대기열을 노이즈가 있는 대기열과 구분합니다. 수락된 위험, 보상된 노출 및 사용 중지된 자산에 대한 결과를 억제하는 공식 워크플로우는 활성 대기열이 해결되지 않은 실제 노출만 반영하도록 합니다. 이 메커니즘이 없으면 우선순위가 지정된 대기열도 시간이 지남에 따라 IT 운영의 신뢰를 약화시키는 노이즈를 축적합니다.
신뢰를 다시 구축하려면 조직은 더 나은 순위 모델 이상의 것이 필요합니다. 식별된 문제가 최신 조건을 반영하고 개선 노력이 효과적이라는 확신이 필요합니다.
즉, 복구 작업이 티켓 종료 또는 상태 업데이트뿐만 아니라 시스템 상태에 대한 확인된 변경을 초래하는지 여부를 추적합니다.
[정말로 지속적인 취약성 관리 프로그램을 자주 스캔하는 프로그램과 구분하는 요소를 찾아보십시오]
Tanium이 위험 기반 취약성 관리를 지원하는 방법
대부분의 조직은 어떤 취약점이 가장 중요한지 이미 알고 있습니다. 더 어려운 문제는 그러한 지식을 신속하고, 일관되며, 규모에 맞게 행동하는 것입니다. Tanium Exposure Management 는 단일 플랫폼에서 실시간 가시성, 우선순위 지정, 복구 및 검증을 연결하여 위험 기반 취약성 관리 프로그램이 중단되게 하는 실행 격차를 좁힙니다.
실시간 자산 가시성
Tanium은 엔드포인트, 관리되지 않는 장치, 컨테이너 레지스트리 및 쿠버네티스 워크로드의 취약성 및 규정 준수 격차를 지속적으로 모니터링합니다. Tanium Cloud 워크로드는 이미지 레지스트리 가시성 및 취약성 스캔, 런타임 컨테이너 분석 및 Kubernetes 정책 적용을 통해 이 범위를 컨테이너화된 환경으로 확장합니다. 플랫폼은 다른 도구가 놓치는 자산을 보기 때문에 적용 범위 격차가 줄어듭니다.
현재 상태에 기반한 위험 점수
엔드포인트 수준 및 조직 위험 점수는 취약성 심각도, 자산 중요도, 규정 준수 실패 및 내부 이동 위험, 정적 CVSS 점수가 캡처하지 못하는 요인, 업계 비교자에 대한 피어 벤치마킹을 결합합니다. 점수는 주기적인 시점 스냅샷이 아닌 현재 엔드포인트 상태를 반영합니다. Tanium 벤치마크 를 사용하면 보안 리더가 업계 동료와 위험 태세를 비교하여 취약성 데이터를 리더십 및 규정 준수 팀이 요구하는 결과 지향적 지표로 변환할 수 있습니다.
통합 복구
팀은 동일한 플랫폼에서 평가에서 작업으로 전환합니다. 패치, 구성 변경 및 기타 컨트롤은 도구 호핑 없이 대규모로 적용할 수 있습니다. Tanium Comply 는 매일 업데이트되는 Tanium의 자체 콘텐츠 라이브러리와 함께 SCAP 및 OVAL 콘텐츠를 사용하여 운영 체제, 애플리케이션, 소프트웨어 공급망 및 보안 구성에 대한 취약성 평가 및 준수 검사를 지원합니다.
통제된 자동화
Tanium Automate 를 통해 팀은 반복 가능한 복구 작업을 자동화하는 코드 없는 플레이북과 로우코드 플레이북을 구축할 수 있습니다. 플레이북을 실행하기 전에 운영자의 승인이 필요할 수 있으므로 대규모로 책임을 보존할 수 있습니다.
폐쇄 루프 검증
수정 사항이 적용된 후 Comply 평가를 실행하면 취약성이 해결되었는지 확인하고 그에 따라 위험 점수를 업데이트합니다. Tanium은 전체 예약된 스캔 주기가 필요하지 않고 필요에 따라 이 평가를 실행할 수 있습니다.
통합 IT 및 보안 업무 공간
두 팀 모두 단일 통합 플랫폼 내에서 동일한 위험 점수, 동일한 우선순위 데이터 및 동일한 복구 상태에서 작업합니다. 이 공유 운영 모델은 보안 및 IT 운영이 별도의 도구와 데이터 소스에 의존할 때 복구 속도를 늦추는 조정 오버헤드를 줄이는 데 도움이 됩니다.
Tanium Guardian
Tanium Guardian은 Tanium 취약성 비상 대응 팀(VERT)의 전문가 주도 지침을 통해 새로운 위협을 표면 화하여 팀이 제로데이 및 시간에 중요한 위험에 자신 있게 대응할 수 있도록 지원합니다. 팀은 Tanium Autonomous IT 플랫폼 내에서 직접 복구 작업을 실행할 수 있습니다.
이러한 기능은 함께 작동하여 검색에서 확인된 복구로 주기를 압축합니다. Ring Power Corp. 는 Tanium을 사용하여 약 30 분 내에 모든 엔드포인트에 Log4j 노출 범위를 지정했습니다. 팀은 이전 도구를 사용하여 몇 개월이 걸렸을 것으로 추정했습니다.
탐지, 우선순위 지정 및 복구가 단일 플랫폼을 공유할 때 위험 기반 취약성 관리 프로그램은 위협 환경이 요구하는 속도로 이동할 수 있습니다.
[지속적인 위협 노출 관리의 작동 방식, 검증이 패치보다 중요한 이유, 실제 보안 위험을 줄이는 데 도움이 되는 방법을 이해합니다]
위험 기반 취약성 관리에 대해 자주 묻는 질문
잘 이해된 프레임워크조차도 실질적인 구현 질문을 제기하며, RBVM도 예외가 아닙니다. 다음 답변은 RBVM을 운영할 때 팀이 직면하는 가장 일반적인 몇 가지 혼란 사항을 다룹니다.
RBVM은 기존의 취약성 관리와 어떻게 다릅니까?
기존의 취약성 관리는 CVSS 심각도 점수만으로 우선순위를 정하는 반면, RBVM은 악용 가능성과 자산 중요도를 평가하여 실제 비즈니스 위험을 제기하는 취약성에 초점을 맞춥니다. 예를 들어, 높은 활용성을 갖는 결제 서버의 CVSS 7,5 결함은 격리된 테스트 시스템에서 CVSS 9,8 결함보다 클 수 있다.
위험 기반 취약성 관리는 사이버 보안 방어를 어떻게 개선합니까?
RBVM은 공격자가 적극적으로 악용하거나 무기화할 가능성이 가장 높은 취약점에 대한 복구 리소스를 지시하여 방어를 개선합니다. 이를 통해 가장 중요한 노출에 대한 평균 복구 시간을 단축하고 IT 운영이 실제 위험을 수반하는 결과에 집중할 수 있습니다.
[IT 자동화의 작동 방식, 운영 위험을 줄이는 이유, IT 팀이 고부가가치 작업에 집중할 수 있는 방법을 알아보십시오]
위험 기반 취약성 관리를 구현하는 데 가장 적합한 도구는 무엇입니까?
효과적인 RBVM 프로그램에는 일반적으로 지속적인 자산 검색 및 인벤토리, 취약성 스캔 및 강화(EPSS 점수 및 CISA KEV 상태 포함), 문제 해결 할당을 위한 ITSM 도구와의 워크플로우 통합, 배포된 수정이 결과를 해결했는지 확인 등의 여러 범주에 걸친 기능이 필요합니다.
일부 조직에서는 여러 포인트 도구에서 이러한 기능을 조립합니다. 또한 자산 가시성, 위험 점수 및 복구를 단일 워크플로 플랫폼으로 통합합니다. 올바른 접근 방식은 기존 도구, 팀 구조 및 엔드포인트 가시성이 이미 해결된 문제인지 여부에 따라 달라집니다.
Tanium Autonomous IT 플랫폼은 실시간 엔드포인트 인텔리전스를 통합 워크플로 및 복구와 연결하여 보안 및 IT 팀이 공유되고 정확한 위험 그림에서 작업할 수 있도록 지원합니다.
팀은 수동 후속 조치 또는 오래된 데이터에 의존하지 않고 환경 전반에 걸쳐 더 빠르게 작업하고, 핸드오프 지연을 줄이고, 복구 결과를 확인할 수 있습니다.
어떤 취약점이 가장 중요한지 이해하는 것은 방정식의 절반에 불과합니다. 이 프로그램을 빠르고 일관성 있게 대규모로 종료하는 것이 대부분의 프로그램이 중단되는 방법입니다.지금 무료 맞춤형 데모를
예약하여 Tanium이 단일 플랫폼에서 실시간 가시성, 우선순위 지정 및 복구를 연결하는 방법을 알아보십시오.
