공통취약점및노출(CVE) (Common Vulnerabilities and Exposures)
쉽게 풀면
공통취약점및노출은 전 세계에서 발견되는 소프트웨어 결함마다 고유한 이름표를 붙여주는 등록부와 같습니다. 같은 취약점을 두고 회사마다, 연구자마다 다른 이름을 붙이면 소통이 어려워지기 때문에, 하나의 취약점에는 하나의 고유 번호를 부여해 누구나 같은 대상을 가리키며 이야기할 수 있게 합니다. 이 번호는 뉴스, 보안 권고문, 연구 논문 등에서 특정 취약점을 지칭하는 표준 방식으로 널리 사용됩니다.
왜 중요한가
공통취약점및노출 식별번호는 서로 다른 보안 도구와 조직이 취약점 정보를 일관되게 공유하고 대응할 수 있게 해주는 기반이 되며, 정보보안학 연구에서는 취약점 발생 추세 분석이나 특정 소프트웨어군의 보안 이력을 다룰 때 기본 참조 단위로 활용됩니다. 여러 보안 스캐너와 취약점 관리 도구가 CVE 번호를 공통 참조 키로 사용하기 때문에, 조직 간 보안 정보 공유와 자동화된 대응 체계 구축의 토대가 됩니다.
논문에서는 이렇게 쓰입니다
취약점 등록 추세를 시간에 따라 분석한 연구 사례입니다.
취약점 데이터베이스를 활용한 탐지 도구 성능 평가 연구 사례입니다.
조금 더 깊게 보면
각 CVE 항목에는 식별번호와 함께 취약점에 대한 간략한 설명이 포함되며, 여러 보안 데이터베이스와 연동되어 심각도 점수나 패치 정보 등 추가 데이터를 함께 제공하는 경우가 많습니다. CVE 자체는 취약점의 존재를 식별하고 참조하는 역할을 하며, 심각도 평가는 별도의 체계를 통해 이루어집니다. CVE 식별번호는 등록 연도와 순번으로 구성되며, 등록 과정에서 취약점의 실재성과 고유성을 검토하는 채번기관(CNA)들이 분산되어 운영되는 구조로 다뤄집니다.
주의할 점
CVE 식별번호가 부여되었다고 해서 반드시 그 취약점이 실제로 악용되기 쉽다는 뜻은 아니며, 위험도는 별도의 평가 지표를 함께 확인해야 합니다. 동일한 근본 원인에서 비롯된 여러 소프트웨어의 취약점이라도 각각 별도의 CVE 번호가 부여될 수 있어, 번호 개수만으로 취약점 종류의 다양성을 단정해서는 안 됩니다. 취약점의 실제 위험도는 별도 지표로 평가해야 합니다.