보안 취약점 관련 용어 (CCE, CVE, CWE)

보안 취약점

정보시스템이나 소프트웨어 상에 존재하는 보안상의 약점을 말하며 기업에서 해킹이나 서비스 장애, 데이터의 유출·변조·삭제 등이 일어난 경우, 이러한 시스템 상의 취약점을 악용하여 피해가 발생하게 된다.

 

보안 취약점 유형은 아래와 같이 크게 3가지로 분류되어진다.

 

---

 

CCE (Common Configuration Enumeration)

사용자에게 허용된 권한 이상의 동작을 허용하거나, 범위 이상의 정보 열람·변조·유출 등을 가능하게 하는 시스템 설정 상의 취약점

 

👉  진단 방법 : 정보시스템 (서버, 네트워크, DBMS, WEB/WAS, PC등)의 설정값을 통하여 진단

👉  조치 여부 : 관리자가 직접 환경 설정값 변경을 통해 자체 개선이 가능

 

참고 사이트 : https://nvd.nist.gov/config/cce/

 

NCP - CCE Details

 

---

 

CVE (Common Vulnerabilities and Exposures)

컴퓨터 하드웨어 또는 소프트웨어 결함이나 체계, 설계상의 취약점

 

CVE는 공개적으로 알려진 보안 취약점에 대한 공통 식별자 목록으로, 표준화된 CVE 항목은 서비스 적용 범위를 평가할 수 있는 기준을 제공

 

CVE는 다음과 같은 규칙으로 만들어진다. → CVE-(연도)-(순서)

 

👉  진단 방법 : 어플리케이션의 취약점 진단

👉  조치 여부 : 설계상의 취약점이기 때문에 자체 개선이 불가능하여 제조사의 공식 패치에 의존

 

참고 사이트 : https://cve.mitre.org/

 

CVE - CVE

 

---

 

CWE (Common Weakness Enumeration)

다양한 언어 (C, C++, C#, Java, Go, Python) 및 아키텍처, 디자인 설계, 코딩 등의 개발 단계에서 발생가능한 취약점 (소스코드 보안취약점)

 

주로 거론되는 7대 보안 취약점 (CWE) 아래와 같다.

 

① 입력 데이터 검증 및 표현 : 입력 값에 대한 검증 누락 또는 부적절한 검증

② 보안 기능 : 보안(인증, 접근 제어, 기밀성, 암호화, 권한 관리 등)을 부적절하게 구현 시 발생

③ 시간 및 상태 : 동시 수행을 지원하는 병렬 시스템, 하나 이상의 프로세스가 동작 되는 환경에서 시간 및 상태를 부적절하게 관리하여 발생

④ 에러처리 : 에러를 처리하지 않거나, 중요한 정보가 포함 될 때

⑤ 코드 오류 : 인가되지 않은 사용자에게 데이터 노출

⑥ 캡슐화 : 중요한 데이터 또는 기능을 불충분하게 캡슐화 하였을 때

⑦ API 오용 : 의도된 사용에 반하는 방법으로 API를 사용하거나, 보안에 취약한 API를 사용하여 발생할 수 있음

 

👉  진단 방법 : Web Server (HTML, PHP, JSP, ASP 등) 소스 취약점 진단

👉  조치 여부 : 개발자의 소스 코드 수정을 통하여 자체 개선이 가능

 

참고 사이트 : https://cwe.mitre.org/

 

CWE - Common Weakness Enumeration

 

✅  현재 국내에서는 자체적으로 개선 가능한 CCE, CWE 취약점에 대해선 법률적 통제로 의무화 및 조치를 권고하는 중이다.

 

 

---

Reference

https://m.blog.naver.com/jsmb/221868521837

https://hanwitjus.tistory.com/m/16

https://byounghee.tistory.com/172

https://rhkswn3999.tistory.com/158

취약점(CCE,CVE,CWE) 에 대해

취약점 CCE,CVE,CWE 취약점 차이점 알아보기

CVE, CWE, CCE, OWASP, CVSS 용어 정리

CVE, CWE, CCE