> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/ko/helm/manage-vulnerabilities.md).

# 취약점 관리

## 개요

SBOM 구성 요소를 NVD의 소프트웨어 구성 요소와 하나 이상의 [일치 소스](/ko/helm/match-unmatched-components/understand-match-sources.md)를 통해 매핑하면 해당 구성 요소에 보고된 취약점을 확인할 수 있습니다.

{% hint style="warning" %}
**중요:** 다음과 같은 경우 **Matched** 상태에 **NVD** 배지가 표시되지 않는다면, 해당 항목이 NVD에서 매칭되지 않은 것입니다. 즉, 취약점이 없거나 NVD에서 다른 이름으로 등록되어 있을 수 있습니다. 자세한 내용은 [매칭 상태 해결](/ko/helm/match-unmatched-components.md) 을 참조하세요. 해당 구성 요소의 취약점을 확인하려면 NVD에서 정확히 일치하는 항목을 찾아야 합니다.
{% endhint %}

## 취약점 보기

의 **취약점** 테이블에서 제품과 버전을 선택하지 않으면 모든 제품의 모든 버전에 대한 취약점이 표시됩니다. 제품과 버전을 선택하여 해당 항목의 취약점만 표시되도록 필터링합니다.

### **취약점 열**

필요에 가장 잘 맞도록 [보기를 사용자 지정](/ko/helm/get-started-with-helm/get-familiar-with-the-helm-ui.md#customizable-data-display) 할 수 있습니다.

**일반 정보 및 패치 적용**

* **취약점 ID:** 취약점 ID입니다. 취약점을 클릭하면 세부 정보가 열리며, 여기서 NVD 데이터베이스의 해당 취약점에 액세스할 수 있습니다. 현재 이 항목은 모두 NVD의 CVE이지만, OSV.dev 및 비공개 취약점을 비롯한 더 많은 취약점 유형을 추가하기 위해 작업 중입니다. 따라서 [필요한 항목이나 다른 항목이 있으면](mailto:support@medcrypt.com) 알려 주세요!
  * **KB 배지:** Windows 취약점의 경우, 이를 패치하는 데 사용할 수 있는 KB가 있으면 KB 배지가 표시됩니다. [클릭하여 적용할 KB를 선택합니다](/ko/helm/manage-vulnerabilities/patch-windows-vulnerabilities-in-bulk-or-individually.md). 일반적으로 목록 맨 위의 KB에 가장 많은 롤업 패치가 포함되어 있습니다.
  * **방패 아이콘:**
    * Windows 취약점의 경우, Windows KB로 패치된 항목에 방패 아이콘이 표시됩니다. 이러한 행은 더 이상 우려하지 않아도 됨을 나타내기 위해 흐리게 표시됩니다. 그래도 이러한 취약점의 해결 상태는 추가해야 합니다.
    * 현재 버전에서 이미 수정된 Ubuntu 취약점은 자동으로 패치된 것으로 표시됩니다. Ubuntu 패치는 적용할 수 없습니다.
* **제품 이름:** 해당 제품의 SBOM에 포함된 모든 구성 요소를 포함하는 제품입니다. 특정 제품과 버전을 선택하지 않은 경우에만 이 열이 표시됩니다.
* **제품 버전:** 제품 버전입니다. 특정 제품과 버전을 선택하지 않은 경우에만 이 열이 표시됩니다.
* **종속 항목:** 다른 시스템에서는 구성 요소라고 부르기도 합니다. 장치의 물리적 구현에 설치되는 펌웨어, 소프트웨어, 패치 또는 운영 체제입니다(예: Windows, OpenSSL).
* **종속 항목 버전:** 구성 요소 버전입니다(예: Windows 10.1).
* **종속 항목 공급업체**: 공급업체 이름입니다(예: Windows의 경우 Microsoft).
* **탐지 날짜:** 처음에는 공급업체가 소프트웨어에서 취약점을 탐지한 날짜만 표시됩니다. 공급업체, NIST 또는 다른 주체가 취약점 정보를 업데이트하면, **업데이트 날짜** 가 **탐지 날짜** 아래에 표시됩니다.
* **업데이트 날짜:** 공급업체, NIST 또는 다른 주체가 취약점 정보를 마지막으로 업데이트한 날짜가 표시됩니다.

**위험 평가**

* **CVSS 점수:** 구형 장치에는 v3 점수가 없을 수 있으며, 최신 장치에는 v2 점수가 없을 수 있습니다. 두 점수가 모두 있는 경우 v3 점수를 사용하는 것이 좋습니다.
  * **v3:** 해당 취약점의 CVSS v3 점수를 나타냅니다. 사용 가능한 경우 v3 점수만 표시하도록 필터링할 수 있습니다.
  * **v2:** 해당 취약점의 CVSS v2 점수를 나타냅니다. 사용 가능한 경우 v2 점수만 표시하도록 필터링할 수 있습니다.
* **출처:** 취약점을 가져온 출처가 표시됩니다:
  * **NVD:** National Vulnerability Database(NVD)에서 직접 가져온 취약점입니다.
  * **AI:** 대규모 언어 모델(LLM) AI가 보강한 취약점입니다. NVD의 취약점에 CPE 데이터가 없는 경우 AI가 데이터를 보강해 해당 취약점이 제품에 영향을 미치는지 식별합니다. 이러한 AI 배지는 그렇지 않으면 놓칠 수 있는 취약점을 강조하여 전반적인 위험을 빠짐없이 파악할 수 있도록 합니다.
* **익스플로잇/위협:** 이 취약점에 해당하는 알려진 익스플로잇 및 위협이 있는 경우 표시기가 나타납니다.
  * **CISA KEV:** 이 취약점은 Cybersecurity & Infrastructure Security Agency의 [Known Exploited Vulnerabilities 목록에 포함되어 있습니다](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
  * **주요 CWE:** 이 취약점은 [주요 25개 CWE](https://cwe.mitre.org/top25/archive/2022/2022_cwe_top25.html#cwe_top_25) 목록의 기준을 충족합니다.
  * **EXPLOIT DB:** 이 취약점에는 [Exploit Database](https://www.exploit-db.com/)
  * **METASPLOIT:** 이 취약점은 [Exploit Database](https://www.exploit-db.com/) 에 포함되어 있으며, 공격에 사용할 수 있는 모듈이 [Metasploit](https://www.metasploit.com/) 해커 도구에 제공되어 공격이 더 쉬워집니다.
* **EPSS:** 이 점수는 해당 취약점이 악용될 가능성을 나타내는 Exploit Prediction Scoring System의 예측값입니다. 점수가 높을수록 향후 30일 이내에 취약점이 악용될 확률이 높습니다. 이 비율은 여러 [출처와 데이터 계산](https://www.first.org/epss/model) 을 기반으로 합니다(first.org 제공).
* **CVSS 벡터 열:** 공격 벡터(AV) 등 가장 중요한 CVSS 벡터 정보를 추가할 수 있습니다. 이 열을 추가하려면 **열** 링크를 클릭합니다.
* **영향을 받는 기술 스택:** 제품에서 영향을 받는 기술 스택을 확인합니다. 태그를 클릭하면 취약점 세부 정보 모달이 열립니다. 아래로 스크롤하여 **AI 권장 사항** 섹션에서 영향을 받는 기술 스택, 업그레이드 권장 사항 및 단기 완화 조치에 관한 자세한 정보를 확인할 수 있습니다. 모든 정보는 출처 문서로 뒷받침됩니다. 이 정보를 보려면 취약점 테이블에서 **열** 링크를 클릭한 다음 **기술 스택 태그** 열을 활성화합니다.

**완화**

* **CycloneDX 상태:** 악용 가능, 분류 중 또는 해결됨과 같은 CycloneDX 완화 상태를 기준으로 필터링합니다.
* **VEX 상태:** CycloneDX VEX 상태를 기준으로 필터링합니다.

**사용 가능한 작업**

취약점에 대해 다음에 수행할 작업은 취약점 유형과 현재 상태에 따라 달라집니다.

* Windows 취약점: [Windows 취약점 패치](/ko/helm/manage-vulnerabilities/patch-windows-vulnerabilities-in-bulk-or-individually.md) 를 일괄 또는 개별적으로 수행합니다.
* 수정: [취약점 수정](/ko/helm/manage-vulnerabilities/remediate-vulnerabilities-in-bulk-or-individually.md) 일괄 또는 개별적으로 수행합니다.
* 재평가: [취약점 재평가](/ko/helm/manage-vulnerabilities/rescore-vulnerabilities-in-bulk-or-individually.md) 일괄 또는 개별적으로 수행합니다. 이를 통해 디바이스의 고유한 환경과 사용 방식에 따라 가장 악용될 가능성이 높은 취약점에 집중할 수 있습니다.
* AI 가이드 받기: 하나 이상의 취약점을 선택하여 업그레이드 및 단기 완화 방안과 해당 권고 사항에 참조된 출처를 확인합니다.
* 에서 심각도가 높은 주황색 배지를 확인하면 **영향을 받는 기술 스택** 열에서 해당 배지를 클릭하여 업그레이드 및 단기 완화 방안과 해당 권고 사항에 참조된 출처를 확인합니다.
* 취약점 내보내기: 현재 필터링된 취약점 목록을 내보냅니다. 필터를 적용하지 않으면 모든 취약점을 내보냅니다.
* 세부 정보 보기: 취약점 세부 정보를 확인합니다.
* 취약점 이메일 작성: 취약점 세부 정보가 포함된 이메일을 생성하여 티켓 시스템으로 보냅니다.

### 개선 상태

취약점을 개선할 때 CycloneDX 상태 또는 VEX 상태를 지정하거나 둘 다 지정할 수 있습니다.

#### CycloneDX:

이 상태는 제품이 해당 취약점의 영향을 받는지 나타냅니다. 상태는 다음과 같습니다.

* **Not\_affected:** 취약점의 영향을 받는 종속성 구성 요소가 없습니다. 이 상태를 선택하면 Justification을 포함해야 합니다.
* **False\_positive:** 취약점은 어떤 종속성 구성 요소에도 영향을 미치지 않으며, 잘못 식별된 것입니다.
* **In\_triage:** 귀하 또는 팀원이 이 취약점을 조사하고 있습니다.
* **Exploitable:** 취약점이 하나 이상의 종속성 구성 요소에 영향을 미치며, 직접 또는 간접적으로 악용될 수 있습니다.
* **Resolved\_with\_pedigree:** 팀에서 이 취약점이 해당 제품 버전의 어떤 종속성 구성 요소에도 더 이상 영향을 미치지 않도록 개선했습니다. 이 상태를 선택하면 Evidence 필드에 정보를 입력해야 합니다. 영향을 받은 구성 요소의 계보를 기준으로 이 취약점을 해결하기 위해 변경한 내용의 증거에는 검증 가능한 커밋 기록 및/또는 diff가 포함되어야 합니다.
* **Resolved:** 팀에서 이 취약점이 해당 제품 버전의 어떤 종속성 구성 요소에도 더 이상 영향을 미치지 않도록 개선했습니다.

#### CycloneDX VEX:

이 상태는 제품이 해당 취약점의 영향을 받는지 나타냅니다. CycloneDX의 VEX 프로필이므로 상태는 OpenVEX보다 세분화가 다소 부족합니다. [의견을 알려주세요](mailto:support@medcrypt.com) 가까운 시일 내에 OpenVEX를 제공하기를 원하시면 알려주세요.

상태는 다음과 같습니다.

* **Affected:** 이 취약점은 해당 제품 버전의 SBOM에 포함된 하나 이상의 종속성 구성 요소에 영향을 미칩니다. 아직 검토하지 않았다면 **Actions > Remediate**.
* **Unknown:** 팀에서 현재 이 취약점이 제품에 영향을 미치는지 판단하지 못한 상태입니다. 자세히 평가하려면 **Remediate** 를 클릭합니다.
* **Not\_affected:** 이 취약점이 해당 제품 버전의 SBOM에 포함된 종속성 구성 요소에 영향을 미친다는 사실이 알려져 있지 않습니다.

### 취약점 필터

심각도, 악용 가능성, 위협 정보 등의 기준으로 취약점 범위를 좁힙니다.

**취약점 세부 정보**

* **취약점 ID:** CVE ID와 같은 취약점 ID로 검색합니다.
* **업데이트 날짜:** 기간을 선택하여 해당 기간에 외부 출처에서 업데이트된 모든 취약점을 확인합니다. 보안 검토 및 분석 과정에서 팀이 수행한 업데이트는 포함되지 않습니다.

**취약점 벡터 정보**

공격 벡터, 공격 복잡도 및 기타 CVSS 지표로 검색합니다. 다음을 참조하세요. [CVSS 취약점 점수 산정 시스템 알아보기](/ko/helm/manage-vulnerabilities/identify-and-prioritize-exploitable-vulnerabilities/understand-issue-severity-level/understand-the-cvss-vulnerability-scoring-system.md) 자세한 내용은 확인하세요.

**심각도 세부 정보**

* **모든 CVSS 점수:** CVSS v2 점수에 관심이 없다면 Any CVSS 필터 > CVSS 3(사용 가능한 경우)을 선택하세요. CVSS v3 점수를 사용할 수 없는 경우에만 CVSS v2 점수가 표시됩니다.
* **CVSS:** 특정 숫자 이상의 모든 CVSS 점수를 검색합니다. 예를 들어 8을 검색하면 8\~10점이 표시됩니다.
  * **심각 점수**: 9\~10
  * **높음 점수**: 7-8
  * **중간 점수**: 4-6
  * **낮음 점수**: 1-3
  * **없음**: 0
* **EPSS:** 특정 숫자 이상의 모든 EPSS 점수를 검색합니다. 예를 들어 80을 검색하면 EPSS 점수가 80% 이상인 모든 취약점이 표시됩니다.

**악용 가능성 세부 정보**

* **모든 악용 출처:** CISA KEV, ExploitDB, Top CWE, Metasploit, NVD를 포함한 모든 악용 가능성 및 위협 출처 또는 선택한 출처를 검색합니다.
* **모든 출처:** NVD에 포함된 취약점 또는 여러 데이터 소스를 바탕으로 AI copilot이 도출한 취약점으로 필터링합니다.

**수정 세부 정보**

* **모든 패치 상태:** 패치가 제공되었거나, 패치되었거나, Windows KB 패치가 적용되지 않은 모든 Windows 취약점을 검색합니다.
* **모든 CycloneDX 상태:** CycloneDX 수정 상태로 필터링합니다. CycloneDX 수정 상태가 없는 취약점을 확인하려면 다음을 선택하세요. **설정되지 않음**.
* **모든 VEX 상태:** CycloneDX VEX 수정 상태로 필터링합니다. VEX 수정 상태가 없는 취약점을 확인하려면 다음을 선택하세요. **설정되지 않음**.

**기술 스택 세부 정보**

* **영향을 받는 기술 스택:** 기술 스택이 위험에 노출되어 있는지 확인합니다. 위험에 노출된 경우 Impacted tech stacks 열에 심각도가 높음을 나타내는 주황색 배지가 표시됩니다. 기술 스택 배지를 클릭하면 AI 기반 업그레이드 및 단기 완화 권고를 확인하고, 제공된 출처를 자세히 살펴볼 수 있습니다.
* **영향을 받지 않는 기술 스택:** 기술 스택이 영향을 받지 않는 것으로 명시적으로 판단된 경우 Impacted tech stacks 열에 회색 배지가 표시됩니다.

### CVSS 점수 유지

최초로 할당된 CVSS v2 및 v3 점수는 데이터베이스에 보존되며, 최신 NVD 피드에 더 이상 표시되지 않더라도 취약점 정보에 계속 표시됩니다.

NVD가 CVE에 CVSS v2 또는 v3 심각도 점수를 할당한 후 해당 점수를 삭제한 경우에도 일관성을 유지하기 위해 시스템에서 원래 점수를 보존합니다. 이 접근 방식은 다음과 같은 여러 이점을 제공합니다:

* 시간이 지나도 취약점 심각도 등급의 일관성을 유지합니다.
* NVD 데이터 업데이트로 취약점 평가가 예기치 않게 변경되는 것을 방지합니다.
* 과거 취약점 기록과 원래 심각도 분류를 그대로 보존합니다.
* 규정 준수 및 감사 목적의 보고를 더욱 안정적으로 제공합니다.

<br>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.medcrypt.com/ko/helm/manage-vulnerabilities.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.