Annual Conference of KIPS (한국정보처리학회:학술대회논문집)

  • 2025.05a
  • /
  • Pages.204-206
  • /
  • 2025
  • /
  • 2005-0011(pISSN)
  • /
  • 2671-7298(eISSN)
Korea Information Processing Society (한국정보처리학회)
권호 표지
DOI QR코드

DOI QR Code

A Study on CVSS Metrics Auto-Prediction Model Comparison and Embargo Period Estimation

CVSS Metrics 자동예측 모델 성능비교와 Embargo 기간 산정 모델에 관한 연구

  • Jin-Ki Hong (Dept. of Information Security Convergence, Chonnam National University) ;
  • Sang-Joon Lee (Dept. of Information Security Convergence, Chonnam National University)
  • 홍진기 (전남대학교 정보보안융합 학과) ;
  • 이상준 (전남대학교 정보보안융합 학과)
  • Published : 2025.05.29
Download PDF
⟨ Previous Next ⟩

Abstract

보안 취약점(CVE)에 대한 신속하고 정량적인 대응은 지속적인 과제이다. 특히 취약점이 공개된 이후 실제 공격이 발생하기까지의 시간이 빠르게 단축되고 있음에도 불구하고, 기존의 취약점 심각도 평가 방식(CVSS, Common Vulnerability Scoring System)과 대응정책(Vulnerability Embargo 설정)은 여전히 수작업 중심의 정적 프로세스를 기반으로 운영되고 있다. 본 연구는 신규 취약점 접수 시 해당 취약점의 설명(description)을 기반으로 CVSS Metrics 자동예측을 위한 두 가지 사전학습 모델을 비교 분석하였다. 또한 공격 가능성을 반영한 최소 및 최대 Vulnerability Embargo 기간을 산정하는 자동화된 실무적 모델을 제안한다.

Keywords

References

  1. 안효범, 강현성, 박준혁", CVE 데이터를 활용한 머신러닝 기반 CVSS 점수 예측 모델 연구", 한국컴퓨터정보학회 동계학술대회, 제 33 권 제 1 호, 61-64, 2025.
  2. Julia Wunder 외, "Shedding Light on CVSS Scoring Inconsistencies: A User-Centric Study on Evaluating Widespread Security Vulnerabilities", arXiv, 2023.
  3. JPMorganChase 보안팀, "Security researchers find deep flaws in CVSS vulnerability scoring system", CSO Online, 2023.
  4. Mandiant 연구팀, "Analysis of Time-to-Exploit Trends: 2021-2022", Google Cloud, 2023.
  5. Miguel Santana, Vinicius V. Cogo, Alan Oliveira de Sa, "SecScore: Enhancing the CVSS Threat Metric Group with Empirical Evidences", arXiv, 2024.
  6. Manjunatha A, Kethan Kota, Anoop S. Babu, Sree Vivek S, "CVE Severity Prediction From Vulnerability Description - A Deep Learning Approach", ICMLDE 2023, 2024.
  7. Philipp Kuehn, David N. Relke, Christian Reuter, "Common Vulnerability Scoring System Prediction based on Open Source Intelligence Information Sources", arXiv, 2022.
  8. Mustafizur Shahid, Hervé Debar, "CVSS-BERT: Explainable Natural Language Processing to Determine the Severity of a Computer Security Vulnerability from its Description", arXiv, 2021.