“미국 CVE 독점 끝낸다”... 유럽 주도 탈중앙화 취약점 목록 ‘GCVE’ 출범 작성일 01-23 53 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="3SS5M5SrrH"> <p contents-hash="bae1d6e67105c8cc03ac44d54b02afde473e92a7babc50374e65d07313a9945f" dmcf-pid="0vv1R1vmmG" dmcf-ptype="general"><strong>미국 주도 CVE 시스템 파행 가능성 대비<br>오픈소스 기반 협업 취약점 추적 시스템 구축</strong></p> <p contents-hash="e0ed4e09c000fcca85694713c2d47ea39e664201821b0765525905067c015b3d" dmcf-pid="pTTtetTssY" dmcf-ptype="general">[보안뉴스 김형근 기자] 유럽에 본부를 둔 오픈 소스 기반 ‘글로벌 사이버 보안 취약점 목록(GCVE: Global CVE Allocation System) 이니셔티브’가 최근 공식 출범했다. </p> <p contents-hash="072e4cd91e511de2cf1f3943b31c05a05161bd1cace2c2b42c1a121d43cf99f8" dmcf-pid="UyyFdFyOOW" dmcf-ptype="general">GCVE 프로젝트는 미국 주도의 기존 ‘공통 보안 취약점 및 노출’(CVE) 프로그램에 대한 의존도를 낮추기 위한 대안이다. 취약점 식별 체계를 다변화해 글로벌 사이버 안보 역량과 보안 사고 대응태세를 효율화한다. </p> <figure class="figure_frm origin_fig" contents-hash="10bb7f93ba584a81ace195949a7a5467eabea6431693c907ae3ff1c7454066fe" dmcf-pid="uWW3J3WIIy" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202601/23/552815-KkymUii/20260123115247990kkir.jpg" data-org-width="1000" dmcf-mid="FQikFkiPrX" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202601/23/552815-KkymUii/20260123115247990kkir.jpg" width="658"></p> </figure> <div contents-hash="3a5d01721b88a90bbd5d3da2f14d50ae762556e4af838b41f5efe6a61a658d30" dmcf-pid="7YY0i0YCwT" dmcf-ptype="general"> <br>25개 이상의 공공 소스로부터 취약점 정보를 수집해 독자적인 분류번호를 부여할 수 있는 GCVE 번호 부여 기관 GNA (GCVE Numbering Authorities) 체계를 도입했다. </div> <p contents-hash="8b4cbdb03b1cf18fed9044cb155e5e65655c97652c1c5daeecff846249a9419f" dmcf-pid="zGGpnpGhrv" dmcf-ptype="general">룩셈부르크 컴퓨터 사고 대응 센터(CIRCL)가 운영하는 ‘db.gcve.eu’ 플랫폼을 활용, 회복력이 강한 탈중앙 취약점 식별 및 공유 생태계를 구축한다. 정부와 기업, 연구자, 오픈소스 프로젝트 등이 협력해 보안 취약점을 쉽게 추적하고 분석하는 개방형 시스템을 지향한다. </p> <p contents-hash="6c3d07c0d570fec9034f39f90b0bec1b789640afbeb684d9bc456f8d1c8ad66a" dmcf-pid="qHHULUHlIS" dmcf-ptype="general">보안 커뮤니티에서 GCVE의 등장을 반기는 가장 큰 이유는 지난해 미국의 사이버 보안 핵심 기관인 MITRE가 운영해온 CVE 프로그램이 정부효율부(DOGE)의 예산 삭감으로 심각한 존폐 위기를 겪고 있기 때문이다.</p> <p contents-hash="fce7858449d9b506eecd226f6092e295d51b6c9bcfe5c0682c462ce83c6f1ecd" dmcf-pid="BnnE3EnQwl" dmcf-ptype="general">당시 미국 사이버보안및인프라보안국(CISA)이 긴급히 계약을 연장하며 위기를 넘겼으나, 보안 커뮤니티는 특정 국가의 예산 상황에 세계 보안 인프라가 흔들리는 상황에 대한 우려가 커졌다. </p> <p contents-hash="19580077791cff6a07c7e9e03a21681218f9ac9266e65f4d4a7b4fa2b817b0a6" dmcf-pid="bLLD0DLxrh" dmcf-ptype="general">GCVE는 CVE와 상호 호환되도록 설계됐으며, 미국 MITRE의 승인 없이도 지정된 GNA를 통해 취약점을 신속하게 문서화하고 발표할 수 있는 구조를 갖추고 있다. 이러한 신속한 문서화 프로세스는 정부와 기업이 보안 위협에 더욱 빠르게 대응할 수 있게 도울 것으로 기대된다. </p> <p contents-hash="dc53e2a0fe7259e8412ba878459f70b1a5035707790d87f8bd2ea89d08c775af" dmcf-pid="KoowpwoMmC" dmcf-ptype="general">영국 사이버 보안 기업 클로즈드도어시큐리티(Closed Door Security) 윌리엄 라이트 CEO는 GCVE 구축으로 CVE 프로그램의 중단 가능성에 대비한 즉각적 대안이 마련됐다고 평가했다. 또 그는 MITRE와 미국 표준기술연구원(NIST)가 빠르게 변화하는 위협 환경을 따라잡지 못하고 있다며 GCVE 도입이 보안 관리의 실효성을 높일 것으로 전망했다. </p> <p contents-hash="4b472828a10580e96de6a225401f2acb06fd2e32d32e1c7d8aa53fe501b6db3a" dmcf-pid="9ggrUrgRmI" dmcf-ptype="general">GCVE가 기존 CVE 추적 체계와 어긋나 조직에 혼란을 주지 않도록 유사한 언어와 등급 체계를 사용해 호환성을 유지하게 하는 것은 과제로 꼽힌다. </p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 세계 최초 AI기본법 시행…통신업계도 분주 01-23 다음 3월 RSA에 로그프레소 등 5사 한국관 참여 01-23 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
