마이크로소프트의 보안 보고서 Microsoft Security Intelligence Report(SIR) v12

[보안보고서 p46 캡춰]

오늘은 마이크로소프트의 보안보고서인 Microsoft Security Intelligence Report(SIR) v12의 내용 중에서 전세계보안 위협의 분석(World wide threat assessment)의 취약점(Vulnerabilities) 부분을 소개해 드리겠습니다.

다음과 같이 6개의 내용으로 채워져 있습니다.

1. Industry-wide vulnerability disclosures (산업전반에 걸쳐 공개된 취약점)

2. Vulnerability severity (취약점의 심각도)

3. Vulnerability complexity (취약점의 복잡도)

4. Operating system, browser, and application vulnerabilities (OS, Browser, Application 취약점)

5. Microsoft vulnerabiliies disclosures (MS 제품군의 공개된 취약점)

6. Guidance: Developing secure software (SW 개발 가이드)

이 중 1,2,3의 내용을 살펴보도록 하겠습니다.

개인적으로 Database 취약점에 대한 보고가 없다는 것이 무척이나 안타깝습니다.

★ 산업전반에 걸쳐 공개된 취약점

위 그래프에서 보시는 것과 같이 2009년 상반기(1월~6월: 1H09)부터 2011년 하반기(7월~12월: 2H11)까지의 공개된 취약점에 대한 보고인데요.

공개된 취약점의 수가 2011년 상반기에 비하여 2011년 하반기에는 감소 추이(-10%)를 보이고 있고요, 2009년 상반기에 비해서는 24.3%가 감소하였습니다.

★ 공개된 취약점의 심각도

[보안보고서 p47 캡춰]

심각도의 기준(Standard)은 CVSS(심각도를 0점부터 10점까지 부여하는 체계)인데요. 상,중,하 레벨 모두 긍정적인 추이를 보이고 있네요.

High 레벨은 2010년 상반기부터 2011년 상반기까지 -31%의 지속적인 감소를 보였고요, Medium 레벨은 2011년 상반기보다 하반기에 -3.5% 감소, Low 레벨은 2011년 상반기보다 하반기에 -13.7%의 감소 추이를 보였습니다.

아래 파이차트는 2011년 하반기에 공개된 취약점의 심각도 분포를 나타냅니다.

[보안보고서 p48 캡춰]

★ 취약점의 복잡도

취약점의 복잡도은 보안위협의 강도와 직결되는 내용인데요. 다음과 같은 결과가 나왔습니다. 역시 기준(Standard)는 CVSS 입니다.

[보안보고서 p49 캡춰]

복잡도 Low인 취약점만 2011년 상반기보다 하반기에 약간 증가하는 추세를 보일 뿐 복잡도 Medium과 High는 감소 추이를 보이는 것으로 보고 되었습니다.

그러나 취약점의 복잡도가 상대적으로 낮다고해서 무시해서는 안됩니다.

공개된 취약점이든 공개되지 않은 취약점이든 취약점 한 가지만이 보안침해사고와 해킹의 원인이 되는 것은 아닙니다.(취약점간의 조합도 충분히 가능합니다.)

취약점(Vulnerability)은 보안의 구멍(Security Hole)입니다.

취약점이 발견되었다는 것은 보안사고의 가능성을 내포하는 것이고요. 언제든 터질 수 있는 폭탄을 안고 있는 것과 같은 위험도입니다.

따라서, 반드시 취약점을 해결하거나 해결되기전까지의 대안을 반드시 찾아 대비하여야 합니다.

이상입니다. ^^

보고서는 아래의 링크를 통하여 다운 받으실 수 있습니다.

ps : 보고서 다운