CVE vs CWE , 위협 vs 위험

틀린 부분이 있다면 언제든지 댓글 남겨주세요! 

CVE, CWE, OWASP, CVSS,  취약점, 위협, 위험

---

• CVE (Common Vulnerabilities and Exposures): 공개적으로 알려진 보안 취약점(vulnerabilities)을 시간별로 정리한 목록(history)
  * 보안취약점(vulnerability) :해커가 시스템이나 네트워크에 접근하기 위해 사용할 수 있는 mistake, 운영단계에서 발생 (실제 발생 가능)
  CVE-연도-순서
• CWE (Common Weakness Enumeration): MITRE에서 일반적인 소프트웨어 보안약점(weakness)를 다양한 관점에서 분류한 목록. 
  * 보안약점(weakness) :기능 설계 및 구현 단계에서 발생할 수 있는 보안상의 오류, 개발단계에서 발생 (이론상)
  CWE-YYY
  
• ​OWASP(The Open Web Application Security Project): 오픈소스 웹 애플리케이션 보안 프로젝트. 웹에 관한 정보노출, 악성 파일 및 스크립트, 보안 취약점 등
  OWASP Top10 list: 웹프로그래밍 관련 가장 많이 발생하는 취약점 리스트
  
  
• CVSS(Common Vulnerabilities Scoring System): 보안 취약점들을 평가하고 확인할 수 있도록 제공된 오픈 프레임워크

cve.mitre.org/

CVE - Common Vulnerabilities and Exposures (CVE)

cwe.mitre.org/index.html

CWE - Common Weakness Enumeration

owasp.org/www-project-top-ten/

OWASP Top Ten Web Application Security Risks | OWASP

---

• 취약점(취약성, Vulnerability): 허가되지 않은 접근이 가능할 수 있는 SW, HW, 절차, 인력상의 약점. 즉 위협의 이용대상.
• 위협(Threat): 손실의 원인이 될 가능성이 있는 환경의 집합. 보안에 해를 끼치는 행동. 
  - 가로채기(interception): 비인가된 당사자가 자산으로의 접근 획득.
  ex) 불법 복사, 도청 등 -> 기밀성에 영향
  - 가로막음(interruption): 시스템 자산에 접근 불가.
  ex) HW장치 파괴, 파일 삭제, 서비스 거부 등 -> 가용성에 영향
  - 변조(modification): 비인가된 당사자가 접근하여 내용 변경.
  ex) DB특정값 변경, 특정 프로그램 변경 -> 무결성에 영향
  - 위조(fabrication): 비인가된 당사자가 시스템상에 불법 객체의 위조 정보 생성
  ex) 네트위크 통신에 가짜 거래정보를 만드는 경우 -> 무결성에 영향

• 위협 주체(위협원, Thread agents): 취약점을 이용하는 주체 ex) 침입자, 자연재해, 실수로 파일의 무결성을 손상시키는 직원 등
• 위험(Risk): 위협주체가 취약점을 이용해 위협이라는 행동을 통해 자산에 악영향을 미치는 결과를 가져올 할 가능성. 
  자산×위협×취약점