다섯 살도 알 수 있게 · 보안

취약점 관리가 뭐예요?

취약점 관리(Vulnerability Management)를 성의 틈을 장부에 적고 위험한 순서로 고치며 매달 다시 도는 이야기로 풀어봤어요.

틈 소식이 사방에서 와요. 흩어진 채로요.망루 친구, 바운티 쪽지, 고용한 도둑, 목수. 다 다른 종이에 적혀 있어서, 성에 틈이 모두 몇 개인지 아무도 몰라요.

다 한꺼번에 못 고쳐요. 아무거나 고치면 금고 옆 틈이 남아요.틈 200개에 목수는 둘. 보이는 순서대로 고치면 제일 위험한 틈이 맨 나중까지 남아요.

취약점 관리는 틈 장부를 들고 매달 같은 둘레를 도는 거예요.성을 돌며 틈을 찾고, 장부에 다 적고, 위험한 순서로 줄 세우고, 판자를 대고, 다시 돌며 확인해요. 끝이 아니라 둘레예요.

다 찾기성을 빠짐없이 돌아요

한 장부에흩어진 쪽지를 모아요

위험한 것부터크기 × 어디 × 도둑이 쓰는지

다시 확인판자가 잘 붙었는지

줄 세우기는 크기만 보지 않아요.틈이 얼마나 큰지, 뭐 옆인지, 도둑들이 요즘 실제로 쓰는지를 같이 봐요. 작은 틈이라도 금고 옆이면 1번이에요.

매달 돌면 장부가 짧아져요. 새 틈은 계속 생기지만요.새 탑이 생기고 새 구멍이 발견돼요. 그래서 한 번 하고 끝이 아니라 늘 하는 일이에요.

한 줄로

취약점 관리 = 성의 틈을 다 찾아 한 장부에 적고, 위험한 순서로 줄 세워 판자를 대고, 매달 다시 도는 둘레.

Vulnerability Management. 자산 전체를 스캔해 취약점을 찾고, 심각도·악용 여부·자산 중요도로 우선순위를 매겨 패치하고, 검증 후 반복하는 지속적인 순환이에요.

취약점 스캐너 Vulnerability scanner: 순찰 도는 랜턴. 성을 빠짐없이 돌며 틈을 찾아 장부에 적어 줘요.
자산 목록 Asset inventory: 방 목록. 모르는 방은 순찰도 못 돌아요. 그래서 장부 첫 장은 '성에 방이 몇 개인가'예요.
CVE CVE: 틈 번호표. 세상 모든 성이 같은 번호로 부르는 틈 이름. 'CVE-2024-1234'.
CVSS CVSS: 틈 크기 점수. 0부터 10까지. 크기만 말하고, 뭐 옆인지는 말 안 해요.
KEV · EPSS KEV · EPSS: 도둑이 실제로 쓰는 틈. 큰 틈보다 도둑이 쓰는 틈이 먼저예요. → 망루 위의 친구
우선순위 Prioritization: 줄 세우기. 크기 × 뭐 옆인지 × 도둑이 쓰는지. 목수가 둘이니까요.
패치 Patch: 판자 한 장. 장부의 한 줄을 지우는 일. → 목수가 보낸 판자
SLA Remediation SLA: 며칠 안에. 1번 틈은 일주일, 나중 틈은 석 달. 미리 약속해 둬요.

다음 이야기

다른 용어도 그림책으로 보고 싶다면 요청하기 →