오늘 배운 것 - KISA와 금융보안원(FSEC)의 취약점 판정 성향 차이

취약점 진단 기준을 공부하다가, 같은 항목이라도 KISA와 금융보안원(FSEC)의 판정 성향이 다르다는 것을 배움.

• KISA: 서비스가 활성화되어 있는 것 자체는 문제 삼지 않고, 설정이 안전한지를 본다
  • 예: SMTP가 업무상 불필요해도 활성화 자체는 취약이 아님. 다만 안전한 설정(conf)은 반드시 필요
• FSEC: 불필요한 서비스가 활성화되어 있으면 기본적으로 취약 판정. 업무상 필요한 경우에만 예외로 인정
  • 예: SMTP 활성화 자체가 취약. 업무상 필요하다는 근거가 있어야 양호

같은 서버를 두 기준으로 돌리면 결과가 다르게 나오는 이유가 여기에 있다. 금융권 기준이 “일단 끄고 시작하라”는 쪽으로 더 보수적.