CVE Pulse 소개 및 취약점 위험도 평가 방법론

1. 왜 CVE Pulse인가?

매년 30,000건 이상의 신규 CVE가 쏟아지지만, 단순 CVSS 점수만으로는 우리 회사 서버를 지금 당장 재부팅해서라도 패치해야 하는지 판단하기 어렵습니다. CVE Pulse는 ① 이론적 심각도(NIST CVSS v3.1), ② 향후 30일 내 실제 익스플로잇 시도 확률(FIRST.org EPSS), ③ 실제 해킹 악용 확인 여부(CISA KEV)의 3가지 지표를 결합해 보안 실무자와 개발팀에게 가장 정확한 패치 우선순위를 한국어와 영어로 동시에 제공합니다.

2. 공식 1차 데이터 출처 (Primary Intelligence Feeds)

• NIST NVD API 2.0: CVSS v3.1 벡터, CWE 분류 및 CPE 영향 버전 원문
• US CISA KEV Catalog: 실제 공격자 및 랜섬웨어 그룹이 악용 중인 취약점 카탈로그
• FIRST.org EPSS: 글로벌 침해 지표를 기반으로 산출된 30일 내 익스플로잇 발생 확률
• Google OSV.dev API: 오픈소스 생태계(npm, PyPI, Maven, Go, Cargo) 패키지별 취약 버전 DB