취약점 진단 보고서 읽는 법, 위험도별 조치 순서 정하는 5단계

취약점 진단 보고서는 위험도와 노출 범위로 항목을 나눈 뒤, 높은 위험부터 담당과 기한을 정해 고치고 재점검으로 닫으면 됩니다. 이 글에서는 보고서의 기본 구성과 위험도 등급 읽는 법, 조치 순서를 정하는 5단계와 조치 기록 방법을 정리했습니다.

취약점 진단 보고서의 기본 구성

보안 점검을 받으면 수십 쪽짜리 보고서를 받는 경우가 많습니다. 업체마다 형식은 달라도 대체로 아래 내용으로 구성됩니다.

• 요약: 점검 대상과 기간, 발견 항목 수를 위험도별로 정리한 첫 장
• 점검 범위와 방법: 어떤 주소와 기능을 어떤 방식으로 점검했는지
• 발견 항목 상세: 항목마다 이름, 위험도, 발견 위치, 재현 조건, 영향, 조치 방법
• 조치 권고 요약: 우선순위와 권장 조치를 한눈에 정리한 표
• 부록: 점검에 쓴 도구와 참고 자료

먼저 요약과 점검 범위를 읽습니다. 범위에 빠진 기능이 있다면 그 기능은 안전하다는 뜻이 아니라 확인하지 않았다는 뜻이므로 따로 적어 둡니다.

위험도 등급 읽는 법

많은 보고서가 위험도를 매길 때 공통 평가 체계인 CVSS 점수를 쓰거나 참고합니다. FIRST의 CVSS v3.1 명세는 0~10점 점수를 아래처럼 다섯 등급으로 나눕니다. 표는 그 등급 구간과 운영자가 받아들일 조치 시점을 함께 비교한 것입니다.

등급	CVSS 점수	조치 시점(권장 예)
긴급(Critical)	9.0~10.0	바로 조치, 어렵다면 해당 기능을 임시로 막기
높음(High)	7.0~8.9	며칠 안에 조치 계획과 착수
보통(Medium)	4.0~6.9	다음 정기 작업 때 조치
낮음(Low)	0.1~3.9	개선 목록에 넣고 일정이 될 때 조치
없음(None)	0.0	참고 사항으로 기록

표의 점수 구간은 CVSS 명세 기준이고, 조치 시점은 작은 사이트가 참고할 수 있는 예시입니다. 같은 명세에 따르면 기본 점수는 취약점 자체의 특성을 반영하고, 사용 환경이나 패치 상황에 따라 점수를 조정하는 지표도 따로 있습니다. 보고서의 점수는 출발점이고, 우리 사이트에서의 실제 위험은 노출 범위를 보고 다시 판단해야 합니다.

조치 순서 정하는 5단계

발견 항목이 많으면 어디서부터 고칠지 막막해집니다. 아래 순서로 정리하면 한정된 시간과 비용을 위험이 큰 곳에 먼저 쓸 수 있습니다.

1. 목록으로 옮기기: 보고서의 발견 항목을 표 하나에 옮기고, 항목 번호·이름·위험도·위치를 적습니다.
2. 노출 범위 보기: 로그인 없이 누구나 접근할 수 있는 곳인지, 관리자만 쓰는 곳인지, 개인정보와 연결되는지 표시합니다.
3. 우선순위 다시 매기기: 위험도가 높고 외부에 노출된 항목을 맨 위로 올리고, 같은 원인에서 나온 항목은 하나로 묶습니다.
4. 담당과 기한 정하기: 항목마다 고칠 사람과 날짜를 정합니다. 바로 고치기 어려우면 기능을 막거나 접근을 제한하는 임시 조치를 적습니다.
5. 재점검으로 닫기: 조치한 항목은 점검 업체나 같은 방법으로 다시 확인하고, 확인이 끝나야 완료로 표시합니다.

그림의 3단계에서 같은 원인을 묶는 것이 효과적입니다. 예를 들어 오래된 프로그램 하나 때문에 여러 항목이 나왔다면, 그 프로그램을 업데이트하는 한 번의 작업으로 여러 항목을 함께 닫을 수 있습니다.

조치하지 않기로 한 항목도 기록합니다

낮은 위험이거나 다른 방법으로 막고 있어 당장 고치지 않기로 한 항목도 있습니다. 이런 항목은 지우지 말고, 왜 미뤘는지와 다시 볼 날짜를 적어 두어야 다음 점검 때 같은 논의를 반복하지 않습니다.

조치 현황표는 이렇게 관리합니다

1단계에서 만든 목록에 상태 칸을 두고 접수, 조치 중, 재점검 대기, 완료, 보류로 나눠 표시하면 진행 상황이 한눈에 보입니다. 매주 한 번 상태가 바뀌지 않은 항목을 확인하고, 기한이 지난 항목은 담당자와 다시 일정을 잡습니다. 이 표를 다음 점검 때 업체에 함께 전달하면 이전에 나온 항목이 정말 닫혔는지도 확인받을 수 있습니다.

보고서 처리에서 자주 하는 실수

• 보고서를 받고 요약만 읽은 채 상세 항목을 홈페이지 관리자에게 전달하지 않는다.
• 점수만 보고 순서를 정해, 외부에 노출된 보통 위험 항목을 뒤로 미룬다.
• 고쳤다고 보고만 받고 재점검을 하지 않아 실제로는 그대로 남아 있다.
• 보고서를 메일에 첨부해 여러 사람에게 돌려, 약점 목록 자체가 새어 나갈 위험을 만든다.

마지막 실수처럼 보고서에는 사이트의 약점이 정리되어 있어 그 자체로 민감한 문서입니다. 필요한 사람에게만 공유하고 보관 위치를 정해 두세요. 다음 점검을 언제 받을지는 홈페이지 취약점 점검 주기, 월·분기·연 단위로 나누는 기준을 참고하고, 점검 업체 비교 기준은 보안 점검 업체 선택에서 볼 수 있습니다.

디코랩이 돕는 방식

디코랩은 웹사이트 취약점 점검 서비스와 운영 중인 사이트의 유지보수·개선을 함께 맡고 있습니다. 받은 보고서를 어떻게 처리할지 정하기 어렵다면 상담을 요청해 주세요. 점검 서비스 소개는 웹사이트 취약점 점검 서비스에서 확인할 수 있습니다.

자주 묻는 질문

보고서의 모든 항목을 다 고쳐야 하나요?

긴급과 높음 항목은 가능한 한 빨리 고치는 것이 좋고, 낮은 항목은 일정과 비용을 보고 판단할 수 있습니다. 고치지 않기로 한 항목은 이유와 다시 볼 날짜를 기록해 둡니다.

업체마다 위험도 표현이 다른데 어떻게 비교하나요?

보고서 앞부분에 위험도 기준이 적혀 있는지 확인하고, CVSS 점수가 함께 있으면 그 점수로 맞춰 비교할 수 있습니다. 기준이 없다면 업체에 설명을 요청하세요.

보고서 내용이 너무 어려우면 어떻게 하나요?

항목마다 무엇이 위험하고 고치면 무엇이 달라지는지 쉬운 말로 설명해 달라고 점검 업체에 요청할 수 있습니다. 홈페이지 관리자와 함께 설명을 듣는 것도 좋습니다.

재점검은 꼭 받아야 하나요?

고쳤다고 생각한 항목이 다른 경로로 남아 있는 경우가 있어 재점검을 권합니다. 계약할 때 재점검 포함 여부를 미리 확인하세요.

받은 취약점 진단 보고서의 조치 순서를 함께 정하고 싶다면 사이트 주소와 보고서 요약을 적어 디코랩 프로젝트 문의로 보내 주세요.