기술 노트 | MDS 인텔리전스

이번 포스팅에서는 알려진 컴퓨터 보안 결함 목록인 CVE 설명과 IBM의 보안 취약점 대응 정책에 대해 설명해 드리도록 하겠습니다.

CVE(Common Vulnerabilities and Exposures)?

CVE(Common Vulnerabilities and Exposures)는 공개적으로 알려진 컴퓨터 보안 결함 목록입니다. CVE는 보통 CVE ID 번호가 할당된 보안 결함을 뜻 합니다.

CVE 체계를 사용하기 이전에는 각 기관이나 업체마다 각자의 보안취약점을 가리키는 이름을 붙여 사용했으나 서로 체계가 다르다 보니 일관성이 없어 혼란스럽고 비효율적이었습니다.

CVE는 IT 전문가들이 이러한 취약점에 우선 순위를 지정하고 해결하기 위해 기존의 협력함으로써 컴퓨터 시스템을 더욱 안전하게 관리하기 미국 국립표준기술연구소(NIST)가 국가 취약성 데이터베이스(NVD)를 만들어 협력체계를 구축하면서 체계화되기 시작했습니다.

글로벌 기업들의 대응 방안

IBM과 같은 글로벌 제품 개발사들은 제품 보안 사고대응팀(Product Security Incident Response Team, #PSIRT)을 자체적으로 운영하고 있습니다.

기업 보안의 컴퓨터 보안 사고 대응팀(Computer Security Incident Response Team, #CSIRT) 또는 #CERT(Computer Emergency Response Team)에 해당하는 팀입니다.

PSIRT 체계에서 무엇보다도 중요한 것은 인지한 보안 취약점에 대해 신속하게 보안 패치를 하는 것이다. 개발 프로세스가 잘 되어 있는 회사에서는 보안 취약점이 정확하게 확인되면 대체적인 개발 일정과 패치 일정이 수립된다.

따라서 상호 인증과 암호화, 무결성 검증, 다운그레이드 방지 등 안전하고 안정적인 온라인 업데이트 체계를 갖추는 것이 보안 패치의 관건이 됩니다.

하드웨어 이슈가 포함되면 고객서비스 센터와의 연계도 필요할 수 있습니다.

글로벌 기업 예시, IBM

IBM PSIRT 보안 취약 처리 프로세스 및 검색 기능을 통한 CVE 정보 확인

그림 1. IBM PSIRT 보안 취약 처리 프로세스

IBM PSIRT 프로세스를 통해 IBM 보안 취약점 관한 업데이트들을 내부 데이터이스를 구축하고 있어 IBM Product Security Central 사이트에서 제품명 또는 CVE번호로 검색하여 해당 정보를 빠르게 확인하실 수 있습니다.

그림 2. IBM 제품 보안 취약점 업데이트

그림 3. IBM 보안 업데이트 메일링

구축된 IBM 제품군들에 관한 보안 업데이트 내용들에 대해 메일링 서비스를 통해 빠르고 신속하게 보안 취약에 대해 대응책을 모색할 수 있습니다.

출처 :

https://www.redhat.com/

https://www.ibm.com/support/

https://cve.mitre.org/

여기까지, 공개적으로 알려진 컴퓨터 보안 결함 목록인 CVE와 이에 따른 IBM의 보안 취약점 대응 정책에 대해 설명해 드렸습니다.

이와 더불어 MDS인텔리전스는 엔지니어링 서비스를 통해 IBM에서 보안 취약 대응책을 고객 솔루션에 빠르게 대응할 수 있도록 최선을 다해 지원하고 있으니 구축하시고자 하는 제품군의 보안 취약에 대해 문의 사항이 있으면 언제든지 연락주시기 바랍니다.

MDS 인텔리전스

요구 사항 변경 이력을 쉽게 추적, 분석 관리 솔루션, IBM DOORS

Proven by Intelligence