취약점이란 악용될 수 있는 약점을 말합니다. 소프트웨어 버그, 잘못된 구성, 설계 결함 또는 사용자의 습관 등이 원인이 될 수 있습니다. CVE(Common Vulnerabilities and Exposures, 공통 취약점 및 노출) 데이터베이스는 고유 식별자를 사용하여 알려진 소프트웨어 결함을 추적합니다. Log4Shell로 알려진 CVE-2021-44228은 널리 사용되는 로깅 라이브러리의 취약점이었습니다. 이 취약점은 수백만 대의 서버에서 원격 코드 실행을 허용했습니다. 공격자들은 이 취약점이 공개된 지 몇 시간 만에 악용했습니다. 패치는 빠르게 배포되었지만, 많은 시스템은 몇 달 동안 패치가 적용되지 않은 채로 남아 있었습니다.

모든 취약점이 소프트웨어 버그는 아닙니다. 기본 자격 증명을 사용하는 서버도 취약하고, 공개로 설정된 클라우드 스토리지 버킷도 취약하며, 비밀번호를 재사용하는 직원도 취약하고, 네트워크 분할이 되어 있지 않은 네트워크도 취약합니다. 공격 표면이 넓기 때문에 취약점의 정의도 광범위합니다. 취약점은 공통 취약점 점수 시스템(CVSS)을 사용하여 평가됩니다. CVSS는 악용 가능성과 영향력을 기준으로 심각도를 0에서 10까지 등급으로 매깁니다. 10은 심각한 취약점이고, 3은 낮은 취약점입니다. 이 점수는 패치 우선순위를 정하는 데 도움이 되지만, 점수만으로 모든 것을 판단할 수는 없습니다. 고립된 시스템의 심각한 취약점은 인터넷에 연결된 서버의 중간 수준 취약점보다 덜 중요합니다. 상황에 따라 우선순위가 결정됩니다. 취약점 자체는 문제의 절반일 뿐이며, 나머지 절반은 누가 그 취약점에 접근할 수 있는지 여부입니다.

취약점 발생 원인

• 소프트웨어 버그 — 악용을 허용하는 코딩 오류
• 설정 오류 — 보안을 약화시키는 설정
• 설계 결함 — 건축적 약점
• 인적 요인 — 취약한 비밀번호, 좋지 않은 습관
• 공급망 - 타사 부품의 취약점

취약점은 잠기지 않은 문과 같습니다. 위협은 누군가가 그 문손잡이를 잡아당기는 것입니다. 위험은 그들이 안으로 들어왔을 때 발생하는 일입니다.