CSAF 2.0 VEX는 취약점마다 제품 ID 목록을 product_status의 상태 항목에 연결합니다. 여기서는 known_affected, known_not_affected, fixed, under_investigation 네 항목만 다룹니다.
under_investigation은 해당 제품이 영향을 받는지 아직 모른다는 뜻입니다. 이를 known_not_affected로 바꾸면 안 됩니다. CSAF VEX에서 known_not_affected에는 영향 설명이 필요하고, known_affected에는 제품별 대응 정보가 요구됩니다. 예시는 모두 가상의 공지입니다.
CSAF 2.0은 제품 ID별 상태 목록을 사용합니다
CSAF 2.0 표준에서 product_status는 특정 취약점과 관련된 제품 ID 목록을 상태별로 묶는 객체입니다. csaf_vex 문서는 취약점별로 fixed, known_affected, known_not_affected, under_investigation 중 적어도 하나를 제품 상태에 제시해야 합니다. 상태 이름만 보고 일반적인 위험 등급이나 취약점의 심각도를 읽는 방식이 아닙니다. 어느 제품 ID가 어느 목록에 들어 있는지 확인해야 합니다. 아래 설명은 CSAF 2.0의 이 네 제품 상태에 한정합니다. 다른 문서 형식의 필드 이름을 같은 값으로 간주하거나 이 네 항목을 모든 CSAF 필드 전체라고 확대하지 않습니다.
| product_status 항목 | 가상 제품 ID | 표준상 의미 | 답안에서 확인할 점 |
|---|---|---|---|
| known_affected | P-ALPHA-2.1 | 이 버전은 해당 취약점에 영향을 받는 것으로 알려짐 | CSAF VEX에는 제품별 대응 조치 정보를 함께 확인 |
| known_not_affected | P-BETA-5.0 | 이 버전은 해당 취약점에 영향을 받지 않는 것으로 알려짐 | 왜 영향이 없는지 impact 설명이 연결됐는지 확인 |
| fixed | P-GAMMA-3.4 | 이 버전에는 취약점을 수정한 내용이 포함됨 | 수정 버전이 공급자가 권고하는 버전인지 별도 구별 |
| under_investigation | P-DELTA-1.2 | 이 버전이 영향을 받는지 아직 알려지지 않았고 조사가 진행 중임 | 영향 없음이나 수정 완료로 결론 내리지 말고 후속 문서를 확인 |
두 제품의 같은 취약점 상태를 문서 조건까지 읽습니다
가상 공지에서 제품 ID P-BETA-5.0이 known_not_affected에 들어 있고, 설명에는 ‘취약한 코드가 해당 제품 빌드에 포함되지 않는다’고 적혀 있다고 합시다. CSAF 2.0 VEX는 이 상태에 해당하는 영향 설명을 요구합니다. 다음으로 제품 ID P-DELTA-1.2가 under_investigation에 있습니다. 이는 작성자가 영향 여부를 아직 판단 중이라는 기록입니다. P-BETA의 결론을 P-DELTA에 옮길 수 없으며, 같은 제품 계열이거나 라이브러리 이름이 같다는 이유만으로 상태를 대신하면 안 됩니다. 각 product_id와 취약점 항목의 연결이 핵심입니다.
known_affected 제품에는 CSAF VEX에서 대응 방법을 나타내는 조치 정보도 연결해야 합니다. 반면 fixed는 해당 버전에 수정 사항이 포함됐다는 뜻이지만, 표준은 그 버전이 언제나 공급자의 권고 버전이라고 말하지 않습니다. 그래서 권고 여부를 물으면 fixed 하나만 보고 추측하지 말고 별도 권고 정보와 제품 버전을 확인해야 합니다. 공지의 작성 시각과 후속 버전도 살펴야 합니다. 이후 개정된 문서가 앞선 평가를 갱신했을 수 있기 때문입니다.
제품 상태를 고를 때는 아래 순서로 확인합니다
- 문서가
CSAF 2.0인지와 문서 category가csaf_vex인지 확인합니다. - 질문에 나온 제품의 정확한 product_id를 찾고 그 ID가 들어 있는 product_status 목록을 확인합니다.
known_affected,known_not_affected,fixed,under_investigation중 실제로 표시된 상태를 원문 그대로 적습니다.- known_not_affected라면 제품별 영향 설명이 있는지 확인하고, known_affected라면 대응 조치 정보를 읽습니다.
- under_investigation이면 결론을 보류하고 문서 시점과 후속 공지 확인 필요를 답에 남깁니다.
‘조사 중’이라는 표현을 ‘영향 없음’으로 바꾸지 않습니다
대표 오답은 확인할 정보가 아직 부족하다는 상태를 안전 판정으로 읽는 것입니다. under_investigation은 영향 여부가 알려지지 않았으므로 불확실성을 유지해야 합니다. known_not_affected는 영향이 없다고 알려진 제품 버전이고, CSAF VEX는 그 이유를 설명하는 정보를 요구합니다. fixed는 버전에 수정이 들어갔다는 뜻이며 권고 버전과 같다는 보증은 아닙니다. known_affected는 영향이 알려진 제품이며 문서가 대응 정보까지 제공하도록 합니다. 네 상태를 같은 ‘취약/안전’ 두 칸으로 뭉치면 문제에서 묻는 판단 수준과 다음 행동을 놓칩니다.
제품 ID와 근거를 함께 떠올립니다
복습할 때 네 상태를 순서대로 말하고, 각 상태에서 필요한 다음 확인을 붙입니다. 영향이 알려진 제품은 조치 정보를 읽습니다. 영향이 없다고 알려진 제품은 그 판단의 근거를 확인합니다. 수정된 버전은 공급자 권고 여부를 별도로 확인합니다. 조사 중인 제품은 영향 없음으로 분류하지 않고 최신 후속 문서를 찾습니다. 답안에는 제품 ID와 문서 시점을 같이 적으면 서로 다른 제품이나 예전 상태를 섞지 않습니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
CSAF 2.0 가상 공지에서 P-A는 known_affected, P-B는 known_not_affected, P-C는 fixed, P-D는 under_investigation에 적혀 있습니다. 각 상태의 의미를 구분하고, 추가로 확인할 자료를 말해 보세요.
정답과 해설 확인
P-A는 취약점 영향이 알려진 제품이므로 대응 조치를 확인합니다. P-B는 영향이 없다고 알려진 제품이며 영향 설명 근거를 확인합니다. P-C 버전에는 수정이 포함됐지만 공급자 권고 버전인지는 별도 확인합니다. P-D는 영향 여부를 아직 알 수 없고 조사가 진행 중이므로 결론을 보류하고 후속 공지를 확인합니다.CSAF 2.0의 product_status는 상태별 제품 ID 목록입니다. 특히 known_not_affected는 영향 설명이 필요하고 known_affected는 제품별 조치 정보가 필요합니다. under_investigation은 영향 여부가 아직 알려지지 않은 상태이고 fixed가 권고 버전을 뜻하지는 않습니다.