제조업 CWE·SANS Top 25·CVSS·EPSS·KEV 취약점 관리 실무 완벽 가이드 — CVE 폭증에서 운영 가능한 우선순위까지 5단계 로드맵

1. 왜 취약점 관리 체계화가 필요한가 — CVE 폭증의 현실

NVD CVE 등록 추이: 2017년 14,700건 → 2023년 28,961건 → 2024년 40,000건 돌파(CVE 사상 최대). 하루 평균 110+. 보통 중견 제조사 자체 IT/OT 환경에서 매월 발견되는 CVE 1,000+. 모두 패치 불가. 우선순위 없는 취약점 관리는 사실상 무관리.

오해 1 — “CVSS 9.0 이상 모두 즉시 패치.” CVSS는 이론적 심각도, 실제 악용·노출 미반영. 오해 2 — “CVE만 보면 충분.” CVE는 결과(개별 취약점), CWE는 원인(약점 패턴). 같은 CWE-79(XSS) 재발 방지 = 코드 패턴 개선 필요. 오해 3 — “스캐너가 알아서 해준다.” 스캐너는 발견만. 우선순위·계획·검증·VEX 발행은 사람·프로세스.

새 표준화 흐름:

CVSS v4.0(2023.11) — Threat·Environmental·Supplemental Metrics 강화
EPSS v3(2023) — 30일 내 악용 확률 0~1
CISA KEV Catalog — 실제 악용 확인 CVE (2024년 1,200+)
SSVC(CISA·CMU/SEI) — Act / Track / Track* / Attend 4단계 의사결정
VEX(CSAF 2.0·CycloneDX VEX·OpenVEX) — “이 CVE는 우리 제품에 영향 X” 공식 발표

2. CWE·CVE·CVSS·EPSS·KEV·VEX 관계도

약어	풀이	역할
CWE	Common Weakness Enumeration	취약점 원인·패턴 분류(900+ types)
CVE	Common Vulnerabilities & Exposures	개별 취약점 ID (CVE-2024-XXXXX)
CPE	Common Platform Enumeration	영향받는 제품·버전 식별
CVSS	Common Vulnerability Scoring System	이론적 심각도 0~10
EPSS	Exploit Prediction Scoring System	악용 확률 0~1 (FIRST)
KEV	Known Exploited Vulnerabilities	실제 악용 확인 (CISA Catalog)
SSVC	Stakeholder-Specific Vulnerability Categorization	의사결정 트리 (Act/Track/Track*/Attend)
VEX	Vulnerability Exploitability eXchange	”영향 없음” 공식 발표 문서
CSAF	Common Security Advisory Framework	표준 보안 권고문 포맷

흐름: CWE(원인) → CVE(개별 취약점) → CPE(영향 제품) → CVSS(심각도) + EPSS(악용 확률) + KEV(악용 실제) → SSVC(의사결정) → VEX(소통).

3. CWE Top 25 2024 — 가장 위험한 SW 약점

CWE Top 25 (MITRE, 매년 갱신) — 2021~2023 CVE·CVSS·EPSS 가중치 분석.

2024 Top 10 (요약):

순위	CWE ID	약점
1	CWE-79	Cross-site Scripting(XSS)
2	CWE-787	Out-of-bounds Write
3	CWE-89	SQL Injection
4	CWE-352	Cross-Site Request Forgery(CSRF)
5	CWE-22	Path Traversal
6	CWE-125	Out-of-bounds Read
7	CWE-78	OS Command Injection
8	CWE-416	Use After Free
9	CWE-862	Missing Authorization
10	CWE-434	Unrestricted Upload of File

SANS Top 25: SANS/CWE/MITRE 공동 발표, 본질적으로 CWE Top 25와 동일.

CWE 4 View (View Hierarchy):

Software Development: 개발자 관점(SAST 룰 기반)
Hardware Design: H/W 약점(CWE-1300번대)
Research Concepts: 학문적 분류
Architectural Concepts: 아키텍처 약점

4. CVSS v3.1 vs v4.0 비교

CVSS v3.1(2019.6) 구조:

Base: 변하지 않는 본질적 심각도(0~10)
Temporal: 시간에 따라 변화(Exploit Maturity·Remediation Level·Report Confidence)
Environmental: 환경별 조정(자산 가치·Modified Base)

CVSS v4.0(2023.11) 신규:

Base + Threat + Environmental + Supplemental 4 그룹
Threat Metrics: Exploit Maturity(공식 PoC·악성코드 보유 여부)
Supplemental Metrics(0~10 점수에 미반영, 의사결정 보조):
- Safety (안전 영향)
- Automatable (자동 악용 가능)
- Recovery (복구 난이도)
- Value Density (가치 밀도)
- Vulnerability Response Effort
- Provider Urgency

점수 표기:

v3.1: 단일 점수 (예: 9.8)
v4.0: 벡터별 4개 점수 (Base / Base+Threat / Base+Env / Base+Threat+Env), 핵심은 마지막

도입 권장: 신규 평가는 v4.0, 기존 자산은 v3.1 유지 가능.

5. EPSS·KEV·SSVC — 우선순위 의사결정

EPSS(Exploit Prediction Scoring System) — FIRST 운영, 30일 내 악용 확률(0.0~1.0). 기계학습 모델, 매일 갱신. EPSS API 무료 제공.

EPSS 활용:

95퍼센타일 이상(약 0.36+) — 매우 높은 우선순위
75퍼센타일 이상(약 0.07+) — 높음
일반 CVE 80%+는 EPSS 0.01 이하 — 후순위

CISA KEV(Known Exploited Vulnerabilities Catalog) — 2021.11 시작, 실제 악용 확인 CVE 모음. 2024년 1,200+ 건. 미 연방기관 BOD 22-01에 따라 일정 기한 내 패치 의무. 한국 제조사도 KEV는 즉시 패치 후보.

KEV API: https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv 무료 다운로드.

SSVC(Stakeholder-Specific Vulnerability Categorization, CMU/SEI·CISA):

Exploitation (none·PoC·active) × Exposure (small·controlled·open) × Utility (laborious·efficient·super effective) × Human Impact (low·medium·high·very high)
의사결정 트리 → Act / Attend / Track* / Track 4단계
CISA SSVC Calculator 공개

SSVC vs CVSS:

CVSS는 점수, SSVC는 의사결정
함께 사용 — CVSS로 정렬 + EPSS·KEV·SSVC로 결정

6. Stage 1 — 자산 인벤토리·스캐너 도입 (1~2개월)

자산 인벤토리:

모든 시스템 CMDB 등록(서버·NW·SaaS·SW)
비즈니스 영향도 분류(Tier 1/2/3)
소유자(Owner)·운영자(Operator) 지정
노출 범위(인터넷·내부·격리)

SBOM 통합:

Syft·Trivy·Anchore Grype로 SBOM 생성
CycloneDX·SPDX 표준
의존성 인벤토리 자동 갱신

스캐너 선정:

NW·VM: Tenable Nessus·Qualys·Rapid7 InsightVM
컨테이너·클라우드: Wiz·Orca·Prisma Cloud·Snyk·Trivy
웹앱: Burp·ZAP·Acunetix·Veracode DAST
코드: SonarQube·CodeQL·Semgrep·Checkmarx
공급망: Snyk·Dependabot·Renovate·Mend

스캔 주기:

인터넷 노출 자산 — 주 1회+
내부 — 월 1회+
컨테이너 이미지 — 빌드마다 + 매일 재스캔
코드 — PR 단위

7. Stage 2 — 우선순위 엔진 (2~3개월)

통합 점수 공식 (예시):

Priority = 0.3 × CVSS + 0.4 × EPSS × 10 + 0.2 × KEV + 0.1 × AssetTier
- KEV 포함 → 자동 P1
- EPSS 75퍼센타일+ → P1~P2
- 자산 Tier 1 + CVSS 9.0+ → P1

SSVC 의사결정 (예시):

Act: 즉시 조치 — KEV·EPSS 95퍼센타일·Tier 1
Attend: 며칠 내 — High CVSS·민감 자산
Track*: 정기 패치 사이클(월·분기) — Medium
Track: 모니터링만 — 낮은 위험

도구:

무료: 자체 Python·R 스크립트 + EPSS API + KEV CSV
상용: Vulcan Cyber·Nucleus·Brinqa·ServiceNow VR·Rapid7 InsightVM Risk·Tenable Lumin

대시보드:

신규 P1 7일 SLA 잔여
P1 미해결 추세
KEV 미패치
자산 Tier별 미해결 수

8. Stage 3 — SLA·패치 운영 (지속)

SLA 권장 (자산 Tier × 우선순위):

Tier	P1 (Act/KEV)	P2 (Attend)	P3 (Track*)	P4 (Track)
1 (필수)	7일	30일	90일	180일
2 (중요)	14일	60일	180일	365일
3 (일반)	30일	90일	365일	모니터

패치 우회 통제:

패치 불가 시 보상 통제(WAF 룰·격리·MFA 강화)
라이브 시스템 패치 불가 — Virtual Patching(WAF·IPS 룰)

제로데이 대응:

IOC 모니터링·EDR 룰 즉시 적용
위협 인텔(Recorded Future·Mandiant·Crowdstrike) 활용

EOL/EOS 관리:

종료 6개월 전 교체 계획
미교체 시 격리·보상 통제·문서화

9. Stage 4 — VEX·소통·자동화 (3~6개월)

VEX(Vulnerability Exploitability eXchange) — 제품 공급자가 “이 CVE는 우리 제품에 영향 없음/있음” 공식 발표.

3가지 VEX 표준:

CSAF 2.0(OASIS): 가장 포괄적 보안 권고문 포맷
CycloneDX VEX: SBOM 통합 자연스러움
OpenVEX(2023, Chainguard): 경량·인기 상승

VEX 4가지 상태:

not_affected: 영향 없음 (justification 필수)
affected: 영향 있음
fixed: 패치 적용됨
under_investigation: 조사 중

Justification 9가지(CSAF):

component_not_present
vulnerable_code_not_present
vulnerable_code_cannot_be_controlled_by_adversary
vulnerable_code_not_in_execute_path
inline_mitigations_already_exist 등

한국 KNVD·KISA:

KNVD(Korea National Vulnerability Database) — KISA 운영
한국 취약점 신고포상제 — 신고 시 최대 1,000만원
정보통신 침해사고 신고 의무(24시간)

자동화:

패치 자동화(Ansible·Tanium·Ivanti·Microsoft Intune)
컨테이너 자동 재빌드(Renovate + Dependabot)
CI/CD에 KEV·EPSS 정책 통합 — 빌드 차단

10. Stage 5 — 효과 검증·고도화 (지속)

KPI:

평균 패치 시간(MTTR) — Critical 7일·High 30일 목표
KEV 적용률 — 100% 목표
발견·해결 비율(Open vs Closed) — 안정 상태 유지
신규 자산 스캔 도입 시간 — 24시간 이내
VEX 발행 수(공급자 측)

고도화:

AI 우선순위 예측(EPSS+자산 가치+위협 인텔)
위협 사냥(Threat Hunting) 팀
Red Team·Pentest 분기
Bug Bounty 운영(HackerOne·Bugcrowd)
Purple Team 훈련 — Red+Blue 합동

거버넌스:

분기 취약점 위원회 — CISO·CIO·CTO·운영
인시던트별 RCA — CWE 패턴 분석
보안 개발 가이드 업데이트(CWE Top 25 차단)
SAST 룰셋 추가(반복 CWE 제거)

11. 비용·ROI

항목	비용 (연간)
NW·VM 스캐너(Nessus·Qualys 등)	1~10억
컨테이너·클라우드(Wiz·Snyk)	3~30억
우선순위 플랫폼(Vulcan·Brinqa)	1~10억
외부 펜테스트(연 1~2회)	5천~5억
Bug Bounty	1~10억
인력(취약점 관리 팀 2~10명)	4~20억
합계 (중견 제조사)	10~85억

ROI:

침해사고 1건 평균 한국 손실 38억(IBM 2024) → 1건 예방 = 1년치 비용
KEV 패치 지연 시 PCI DSS·HIPAA·ISMS-P 위반 가능
사이버보험 — 취약점 관리 성숙도 따라 보험료 20~40% 차이
SSVC·VEX 도입 → 고객 신뢰·차별화

12. 자가 점검

13. 마무리 — 우선순위가 곧 보안

CVE 폭증 시대의 핵심은 운영 가능한 우선순위. ① 자산 인벤토리·스캐너, ② CVSS+EPSS+KEV+자산 통합 점수, ③ SLA·SSVC 의사결정, ④ VEX·자동화, ⑤ KPI·고도화 — 이 5단계를 5년 운영체로 운영하면 1,000건 CVE 중 진짜 P1 50건에 집중·SOC 효율 5배, 침해 차단·과징금 0건 달성 가능.