구성 준수 계산기 및 계산기 규칙

  • 릴리스 버전: Yokohama
  • 업데이트 날짜 2025년 01월 30일
  • 읽기5분

    • 구성 준수 테스트 결과 필드의 초기 값 계산을 자동화합니다. 각 계산기의 조건은 순서대로 평가되며 첫 번째로 일치하는 계산기가 사용됩니다.

    구성 준수 계산기

    구성 준수 기본 시스템에는 테스트 결과에서 기본 위험 점수를 설정하는 하나의 구성 준수 계산기(기본 위험 계산기)가 포함되어 있습니다. 구성 준수 계산기는 조건 필터를 사용하여 임의의 기준에 따라 테스트 결과의 영향도에 우선순위를 지정하고 평가하도록 빌드할 수 있습니다. 취약성의 비즈니스 영향, CI(구성 항목) 클래스 등에 관계없이 추가 구성 준수 계산기를 만들어 테스트 결과의 다른 필드를 설정하거나 기존 구성 준수 계산기를 사용자 지정할 수 있습니다. 계산기는 우선순위 집합을 반영하도록 작성할 수 있습니다.

    각 계산기에는 규칙 적용 시기를 결정하는 조건과 함께 계산기 규칙 목록이 포함되어 있습니다. 계산기를 실행하면 각 계산기 규칙의 조건이 순서대로 평가되고 첫 번째로 일치하는 계산기 규칙이 사용됩니다.

    활성화된 모든 구성 준수 계산기는 테스트 결과가 생성될 때마다, 연결된 CI 또는 구성 테스트가 변경될 때 또는 테스트 결과에서 위험 점수 계산 관련 링크가 사용될 때마다 선택한 필드를 설정합니다. 예를 들어, 임포트된 테스트 결과에서 control.criticality 값이 업데이트되면 테스트 결과 기록에서 위험 점수가 자동으로 업데이트됩니다. 테스트 결과 가져오기에서 테스트 결과 점수를 업데이트한 후 계산기 다시 적용 단추를 선택하여 테스트 결과의 위험 점수를 다시 계산할 수 있습니다.

    기존 테스트 결과에서 위험 점수 계산 관련 링크를 선택하고 계산기 중 하나를 사용하도록 설정하면 테스트 결과의 위험 점수 필드가 업데이트됩니다.
    주:
    • 위험 점수 계산 관련 링크는 하나 이상의 구성 준수 계산기가 활성화된 경우에만 표시됩니다.
    • v22.0 부터 취약성 대응기록 뷰에서 위험 점수 계산 버튼을 선택하여 취약성 관리자 작업 공간 및 IT 정정 작업 공간에서 테스트 결과에 대한 위험 점수를 업데이트할 수 있습니다.
    • 의 버전 14.13 구성 준수부터는 테스트 결과의 위험 점수가 변경될 때마다 테스트 결과의 메모 섹션에 다음 상세 정보가 문서화됩니다.
      • 계산기 그룹 이름
      • 계산기 이름: 계산기 규칙이 템플릿 또는 스크립트를 기반으로 하는지 여부에 따라 괄호 안에 이름이 세부 정보와 함께 추가됩니다. 계산기 규칙의 기초를 수정하거나 보려면 규칙을 선택하고 고급 보기 확인란을 선택합니다. 값 유형 드롭다운 상자에서 필요한 옵션을 선택합니다. 템플릿을 선택하면 규칙에 지정된 조건에 따라 위험 점수가 업데이트됩니다. 스크립트를 선택한 경우 기존 스크립트를 추가하거나 업데이트할 수 있습니다.
      • 가중치 및 위험 점수 기여도가 있는 필드 값
      • 최종 위험 점수
      • 시스템 속성은 sn_sec_cmn.risk_score_changes_add_worknotes 작업 메모 섹션을 채우는 데 도움이 됩니다. 의 구성 준수v15.2.1부터 시스템 속성은 sn_sec_cmn.risk_score_changes_add_worknotes 기본적으로 비활성 상태입니다. 이 기능을 사용하도록 설정한 경우에만 작업 메모 섹션에서 테스트 결과의 위험 점수와 관련된 모든 변경 내용을 볼 수 있습니다. 또한 위험 점수가 변경된 경우에만 작업 메모가 업데이트됩니다.

    구성 준수 계산기 규칙

    기본적으로 기본 시스템 기본 위험 계산기 가 제공됩니다. 이 계산기에 대한 위험 규칙을 생성하려면 기본 위험 계산기 의 대상 필드를 위험 점수로 설정해야 합니다. 새 위험 규칙 버튼을 선택하여 새 위험 규칙을 만듭니다. 이렇게 하면위험 규칙이라는 특수 테스트 결과 계산기 규칙이 생성되어 여러 값을 기반으로 위험 점수 가 계산됩니다. 기본적으로 위험 점수를 계산하기 위해 다음 값이 고려됩니다.
    • 비즈니스 중요도
    • 중요도
    기본 위험 규칙에 사용할 값과 이러한 각 값에 지정할 가중치를 조정할 수 있습니다. 가중치는 기본 위험 점수를 설정할 때 각 요소의 수를 조정하는 데 사용됩니다.

    버전 13.0부터 구성 준수 기본 위험 규칙의 기준을 사용자 지정할 수 있습니다. 자세한 내용은 위험 규칙에 대한 필드 및 가중치 정의를 참조하십시오.

    가중치 백분율 할당

    필드 값 수준에서 가중치 백분율(0-100)을 할당할 수도 있습니다. 예를 들어, 심각도의 각 수준에 가중치 백분율을 할당할 수 있습니다(없음에서 중요). 위험 규칙에 대해 중요도 가중치가 50이고 중요도 수준에 대해 다음 가중치 값이 할당된 경우:
    표 1. 가중치 백분율 할당
    중요도 위험 점수
    중요 100
    높음 50
    보통 20
    안 함 0
    중요도가 중요한 경우 해당하는 가중치는 50입니다. 중요도가 높으면 가중치가 25이고, 중요도가 중간이면 가중치는 10입니다. 중요도가 없음이면 해당 가중치는 0입니다. 자세한 내용은 구성 준수에 대한 위험 점수 계산 예시를 참조하십시오.

    각 규칙에는 순서 설정이 있으며 조건과 일치하는 첫 번째 규칙이 테스트 결과의 위험 점수 필드를 업데이트합니다. 일반적으로 스크립트되지 않은 계산기 규칙은 스크립트된 계산기 규칙보다 성능에 미치는 영향이 적습니다.

    기본 시스템 구성 준수 계산기에는 심각도에 따라 위험 점수 에 대한 각 중요도 수준(없음에서 위험)을 할당하는 계산기 규칙이 포함되어 있습니다. 알 수 없는 심각도에는 위험 점수 100이 자동으로 할당됩니다. 이러한 값은 기본 위험 계산기처럼 조정할 수 있으며, 새 계산기 규칙 또는 새 위험 규칙을 만들 수 있습니다.

    취약성 위험 점수 가중치

    모든 취약성에는 심각도, 중요도, 악용 정보 등의 요인에 따라 위험 점수와 등급이 할당됩니다. 취약한 항목 테이블의 비즈니스 규칙은 Update Risk Rating from Risk Score 위험 등급 계산을 담당합니다. 위험 점수가 변경될 때마다 취약한 항목에 대한 위험 등급이 계산되어 채워집니다. (VR) 애플리케이션 버전 17.1 취약성 대응 이전에는 하드 코딩된 스크립트 포함 VulnerabilityUtils의 일부로 다음 위험 등급이 제공되었습니다.
    값(위험 등급) 가중치(위험 점수)
    1 90–100
    2 70–89
    3 40–69
    4 1–39
    5 0
    의 18.0 버전 취약성 대응부터
    • 위험 등급 유형은 기본 테이블에 cc_risk_rating으로 제공됩니다. 이러한 유형은 위험 등급이 계산되는 각 테이블에서 비즈니스 규칙의 일부로 전달됩니다.
    • 위험 등급 계산을 위해 위험 점수 가중치 테이블 값의 항목을 쿼리할 수 있도록 스크립트가 수정됩니다.
    • 기존 형식에 대한 항목을 추가하거나 새 형식을 만듭니다. 새 유형을 만들 때는 새 위험 등급에 대한 레이블을 추가하고 관련 스크립트 및 비즈니스 규칙도 수정해야 합니다. 또한 새 위험 점수에 대한 새 스타일을 추가해야 합니다.
    • 스크립트를 수정하여 기본 테이블의 기록을 쿼리합니다.
    필터 탐색기에 sn_sec_cmn_risk_score_weight 입력하여 위험 점수 가중치 테이블에 액세스할 수 있습니다.
    또한 다음 시나리오에서는 위험 점수가 자동으로 다시 계산됩니다.
    • CI(구성 항목)가 비인터넷 연결에서 인터넷 연결로 변경되는 경우
    • 취약성 항목(VI)에 대한 관련 CVE(알반적인 취약성 및 노출) 또는 외부 공급업체 항목(TPE)이 CVE Known Exploit 취약성(KEV)에 연결되는 경우