계층적 가중 기반의 취약점 영향성 평가 스코어링 시스템에 대한 연구

A Study on Layered Weight Based Vulnerability Impact Assessment Scoring System

Abstract

대표적인 취약점 스코어링 시스템은 CVSS다. 하지만 CVSS는 취약점이 자산에 미치는 영향성 관점을 평가 하지 않아 사용되지 않거나 중요도가 낮은 자산에 대해서도 동일한 우선순위로 처리해야하기 때문에 대규모 시스템의 위험도가 높은 취약점의 경우 효과적이고 신속한 대응을 할 수 없다. 시스템 구성을 계층화 하고, 계층 간의 그리고 계층내의 중요도에 따른 가중을 평가하는 영향성 관점의 평가 시스템인 계층적 가중 기반의 취약점 영향성 평가 스코어링 시스템을 제안한다.

A typical vulnerability scoring system is Common Vulnerability Scoring System(CVSS). However, since CVSS does not differentiate among the individual vulnerability impact of the asset and give higher priority for the more important assets, it is impossible to respond effectively and quickly to high-risk vulnerabilities on large systems. We propose a Layered weight based Vulnerability impact assessment Scoring System which can hierarchically group the importance of assets and weight the number of layers and the number of assets to effectively manage the impact of vulnerabilities on a per asset basis.

Fig. 1. CVE-2017-14012, Data from National Institute of Standards and Technology, U.S. Department of Commerce[3]

Fig. 2. CVSS v3.0 Metric Groups, Data from FIRST.Org, Inc.[4]

Fig. 3. CVSS Metrics and Equations, Data from FIRST.Org, Inc.[4]

Fig. 4. The Components of the CVSS Score for CVE-2017-14012 Data from FIRST.Org, Inc.[5]

Table 1. Detail Information of Layer for Classification

Table 2. Environments for Simulation Experiments

Table 3. Detail Information of Simulation Cases for No. of Affected Assets on Classification of Sitting Postures

Table 4. Comparison the Scores of CVSS and LVSS in Case 1, 2, 3, 4