취약성 대응 계산기 및 취약성 계산기 규칙

  • 릴리스 버전: Australia
  • 업데이트 날짜 2026년 03월 12일
  • 소요 시간: 6분

    • 취약성 계산기는 취약한 항목의 필드에 대한 초기 값 계산을 자동화합니다. 각 계산기의 조건을 순서대로 평가하고 첫 번째로 일치하는 계산기를 사용합니다.

    취약성 계산기

    기본 시스템에는 취약성 대응 취약한 항목에 대한 기본 위험 점수 를 설정하는 두 개의 취약성 계산기가 포함되어 있습니다.
    • 기본 위험 계산기
    • 취약성 심각도

    취약성 계산기는 조건 필터를 사용하여 어떤 기준에 따라 취약한 항목의 영향에 우선순위를 정하고 등급을 부여하도록 빌드할 수 있습니다. 취약성의 비즈니스 영향, CI(구성 항목)의 클래스, 취약한 항목의 연령 등 추가 취약성 계산기를 생성하여 취약한 항목에 다른 필드를 설정할 수 있습니다. 또는 기존 취약성 계산기를 사용자 지정할 수 있습니다. 계산기는 모든 우선순위 집합을 반영하도록 작성할 수 있습니다. 자세한 내용은 AND 내에서 필터링 취약성 대응 문서를 참조하십시오계산기 생성 취약성 대응.

    또한 CMDB(Configuration Management Database)의 configuration_item [cmdb_ci]에 있는 속성을 사용하여 Vulnerability Response 위험 계산기에 대한 논리를 만드는 데 도움을 줄 수 있습니다. 예를 들어 조직에서 외부 연결 CI가 더 취약하고 즉각적인 수정이 필요할 수 있다고 판단되는 경우 이러한 CI와 같은 Internet Facing 속성을 할당할 수 있습니다. 이 특성 및 기타 특성은 Common Service Data Model 릴리스 정보 에 나열되어 있습니다 . 에 CMDB대한 최신 정보 및 지침은 다음 주제를 참조하십시오.

    각 계산기에는 규칙 적용 시기를 결정하는 조건과 함께 계산기 규칙 목록이 포함되어 있습니다. 계산기를 실행하면 각 계산기 규칙의 조건이 순서대로 평가되고 일치하는 첫 번째 계산기 규칙이 사용됩니다.

    취약성 심각도 계산기는 정규화된 취약성 심각도를 사용하여 취약한 항목에 대한 위험 점수를 계산합니다.
    주:
    • 대상 필드(위험 점수)당 한 번에 하나의 계산기만 활성화할 수 있습니다. 취약성 심각도 는 기본적으로 비활성화되어 있습니다.
    • VIT에서 위험 점수가 업데이트될 때마다 메모 섹션이 다음 상세 정보로 업데이트됩니다.
      • 계산기 그룹 이름
      • 계산기 이름: 계산기 규칙이 템플릿을 기반으로 하는지 스크립트를 기반으로 하는지에 따라 이름에 괄호 안에 세부 정보가 추가됩니다. 계산기 규칙의 기준을 수정하거나 보려면 아무 규칙이나 클릭하고 고급 뷰 확인란을 선택합니다. 값 유형 드롭다운 상자에서 필요한 옵션을 선택합니다. 템플릿을 선택하면 규칙의 지정된 조건에 따라 위험 점수가 업데이트됩니다. 스크립트를 선택하면 기존 스크립트를 추가하거나 업데이트할 수 있습니다.

        시스템 속성 sn_sec_cmn.risk_score_changes_add_worknotes 은 작업 메모 섹션을 채우는 데 도움이 됩니다. 의 취약성 대응v25.0.3부터 시스템 속성은 기본적으로 비활성 상태입니다. 이 기능을 활성화한 경우에만 위험 점수와 관련된 모든 변경 내용을 볼 수 있습니다.

    활성화된 모든 취약성 계산기는 취약한 항목이 생성될 때마다, 연결된 CI 또는 취약성이 변경될 때, 또는 취약한 항목의 위험 점수 계산 관련 링크를 사용할 때마다 선택한 필드를 설정합니다. 예를 들어, 임포트된 취약성에 대한 심각도 값이 업데이트되면 취약한 항목 기록에서 위험 점수가 자동으로 업데이트됩니다. 취약성 임포트에서 취약성 점수를 업데이트한 후 해당 취약성에 대해 재계산 플래그가 활성화됩니다. 해당 취약성으로 다시 계산 플래그가 활성화된(true) 취약한 항목에 대한 위험 점수가 다시 계산됩니다.

    기존 취약한 항목에서 위험 점수 계산 관련 링크를 클릭하고 계산기 중 하나가 활성화되면 취약한 항목의 위험 점수 필드가 업데이트됩니다.
    주:
    • 위험 점수 계산 관련 링크는 하나 이상의 취약성 계산기가 활성화된 경우에만 표시됩니다.
    • 에서 IT 정정 작업 공간 그리고 해당 기록 뷰에서 위험 점수 계산 버튼을 선택하여 취약한 항목에 취약성 관리자 작업 공간 대한 위험 점수를 업데이트할 수 있습니다.
    • VIT의 위험 점수가 변경될 때마다 다음 상세 정보가 VIT의 메모 섹션에 문서화됩니다.
      • 계산기 그룹 이름
      • 계산기 이름
      • 가중치 및 위험 점수 기여도가 포함된 필드 값
      • 최종 위험 점수

    취약성 계산기 규칙

    기본 시스템 계산기 기본 위험 계산기에는 위험 규칙이라고 하는 특수한 취약성 계산기 규칙인기본 위험 규칙 규칙이 포함되어 있습니다. 여러 값을 기반으로 위험 점수 를 계산합니다.
    • 취약성 심각도
    • 정보 악용
    • 중요도
    • 취약성이 있는 CI의 외부 노출
    • EPSS 점수
    기본 위험 규칙에서 사용할 값과 각 값에 지정할 가중치를 조정할 수 있습니다. 가중치는 기본 위험 점수를 설정할 때 각 요소의 카운트를 조정하는 데 사용됩니다.

    기본 위험 규칙의 기준을 사용자 지정할 수 있습니다. 자세한 내용은 Vulnerability Response 위험 계산기에 대한 위험 규칙의 필드와 가중치 정의 문서를 참조하십시오.

    위험 규칙 계산기에 대한 위험 점수가 결정되는 방법의 예는 다음 문서를 참조하십시오 취약성 대응에 대한 위험 점수 계산 예.

    가중치 백분율 할당

    필드 값 수준에서 가중치 백분율(0-100)을 할당할 수도 있습니다. 예를 들어 각 심각도 수준(없음에서 중요)에 가중치 백분율을 할당할 수 있습니다.

    위험 규칙의 심각도 가중치가 50이고 심각도 수준에 대해 다음과 같은 가중치 값이 할당됩니다.
    취약성 심각도 위험 점수
    심각 100
    높음 50
    보통 20
    없음 0

    심각도가 중요인 경우 해당하는 가중치는 50입니다. 심각도가 높으면 가중치는 25이고 심각도가 중간이면 가중치는 10입니다. 심각도가 없음이면 가중치는 0입니다. 자세한 내용은 다음 문서를 취약성 대응에 대한 위험 점수 계산 예참조하십시오.

    취약성 계산기 규칙 설정

    각 규칙에는 순서 설정이 있습니다. 그러나 조건과 첫 번째로 일치하면 취약한 항목의 위험 점수 필드가 업데이트됩니다. 취약성 계산기 규칙 설정에 대한 자세한 내용은 다음 문서를 참조하십시오 계산기 생성 취약성 대응. 일반적으로 스크립팅되지 않은 계산기 규칙은 스크립팅된 계산기 규칙보다 성능에 미치는 영향이 적습니다.

    기본 시스템 취약성 심각도 계산기에는 심각도에 따라 위험 점수 값(없음에서 중요)의 각 심각도 수준에 할당하는 계산기 규칙이 포함되어 있습니다. 알 수 없는 심각도에는 위험 점수 100이 자동으로 할당됩니다. 이러한 값은 조정할 수 있으며 기본 위험 계산기와 마찬가지로 새 계산기 규칙 또는 새 위험 규칙을 만들 수 있습니다.

    취약성 위험 점수 가중치

    모든 취약성에는 심각도, 중요도, 악용 정보 등의 요인에 따라 위험 점수와 등급이 할당됩니다. 취약한 항목 테이블의 비즈니스 규칙 Update Risk Rating from Risk Score 은 위험 등급을 계산하는 역할을 합니다. 위험 점수가 변경될 때마다 취약한 항목에 대한 위험 등급이 계산되어 채워집니다.
    값(위험 등급) 가중치(위험 점수)
    1 90–100
    2 70–89
    3 40–69
    4 1–39
    5 0
    • 위험 등급 유형은 기본 테이블에 vr_risk_rating으로 제공됩니다. 이러한 유형은 위험 등급이 계산되는 각 테이블에서 비즈니스 규칙의 일부로 전달됩니다.
    • 위험 등급 계산을 위해 위험 점수 가중치 테이블 값의 항목을 쿼리할 수 있도록 스크립트가 수정됩니다.
    • 기존 유형에 대한 항목을 추가하거나 새 유형을 생성합니다. 새 유형을 만들 때는 새 위험 등급에 대한 레이블을 추가하고 관련 스크립트 및 비즈니스 규칙도 수정해야 합니다. 또한 새 위험 점수에 대해 새 스타일을 추가해야 합니다.
    • 스크립트를 수정하여 기본 테이블의 기록을 쿼리합니다.
    필터 탐색기에 sn_sec_cmn_risk_score_weight(30.0 미만 버전의 경우) 또는 sn_sec_calculator_risk_score_weight(버전 30.0 이상)을 입력하여 위험 점수 가중치 테이블에 액세스할 수 있습니다.

    또한 연관된 CVE(Common Vulnerabilities and Exposures) 또는 VI(취약성 항목)의 타사 항목(TPE)이 CVE Known Exploit Vulnerability(KEV)에 연결되면 위험 점수가 자동으로 다시 계산됩니다.

    Tenable 취약성 통합 및 Tenable 위험 규칙

    접근 가능한 위험 규칙은 에서 사용할 수 있습니다 Tenable Vulnerability Integration. VPR(취약성 우선순위 등급)은 에서 임포트되어 새 기본 위험 계산기 취약성 대응와 함께 사용되는 Tenable 제품의 속성입니다. Tenable 위험 규칙은 의 취약성 계산기취약성 대응에 기본 위험 계산기의 일부로 애플리케이션과 함께 Vulnerability Response Integration with Tenable 설치됩니다.

    이 위험 규칙은 기본적으로 사용하지 않도록 설정되어 있습니다. 설정 도우미를 사용하여 Tenable 취약성 통합 구성 문서를 참조하십시오.