위험 점수 계산 예시 구성 준수

  • 릴리스 버전: Xanadu
  • 업데이트 날짜 2024년 08월 01일
  • 읽기10분

    • 의 v13.0 구성 준수부터 기본 위험 규칙의 기준을 사용자 지정할 수 있습니다. 위험 점수 계산에 Qualys 및 Tenable과 같은 외부 공급업체 벤더가 제공한 위험 점수를 사용합니다.

    Qualys 및 Tenable과 같은 타사 벤더는 자체 점수를 제공합니다. 이러한 점수는 sn_vulc_test 테이블의 중요도 필드에 채워집니다. 위험 점수 계산에 이 필드를 사용합니다. 이 점수를 사용하여 위험 점수를 계산하려면 다음 절차를 따르십시오.

    소스 중요도를 위험 규칙의 기준으로 추가

    외부 공급업체 벤더가 제공한 중요도에 기반한 점수를 사용하여 위험 점수를 계산합니다.

    시작하기 전에

    필요한 역할: sn_vulc.admin

    이 태스크 정보

    Qualys 및 Tenable과 같은 외부 공급업체는 자체 위험 점수를 제공합니다. 이러한 점수는 sn_vulc_test 테이블의 중요도 필드에 채워집니다. 이 필드는 위험 점수를 계산하고 계산하는 데 사용합니다.

    프로시저

    1. 다음으로 이동 모두 > 구성 준수 > 관리 > 위험 계산기.
    2. 위험 규칙 양식으로 이동합니다.
    3. 활성 확인란의 선택을 취소하여 규칙을 비활성화합니다.
    4. Add Criteria(기준 추가)를 클릭합니다.
    5. 참조 테이블 선택 목록에서 테스트 결과를 선택합니다.
    6. 필드 목록에서 Test.Criticality를 선택합니다.
    7. 가중치 필드에서 이 필드의 상대적 중요도를 지정합니다.
      값은 0에서 100 사이의 정수여야 합니다.
    8. 값 가중치 정의 섹션에서 필드 값을 추가하고 필드에 가중치 백분율을 할당합니다.
      위험 계산에 대한 소스 중요도
    9. 제출을 클릭합니다.

    위험 규칙의 기준으로 비즈니스 중요도 추가

    비즈니스 서비스에 대한 중요도 값을 지정하고 비즈니스 중요도를 사용하여 위험 점수를 계산합니다.

    시작하기 전에

    필요한 역할: sn_vulc.admin

    이 태스크 정보

    조직에 많은 비즈니스 서비스가 있고 다음 서비스에서 CI(구성 항목)를 사용 중이라고 가정합니다.
    표 1. 비즈니스 서비스의 중요도
    비즈니스 서비스 중요도

    클라우드 관리

    1 - 가장 중요함

    이커머스

    2 - 다소 중요함

    클라이언트 서비스

    3 - 덜 중요함

    출장 및 경비

    4 - 중요하지 않음
    CI와 서비스 간의 매핑은 서비스 [cmdb_ci_services] 테이블에 저장됩니다. CI가 구성 테스트를 통과하지 못하면 테스트 결과(TR)가 생성됩니다. 영향을 받는 서비스의 비즈니스 중요도 값을 사용하여 이 TR에 대한 위험 점수를 계산할 수 있습니다. 절차에 따라 이러한 서비스의 중요도 값을 사용하여 위험 점수를 계산합니다.

    프로시저

    1. 다음으로 이동 모두 > 구성 준수 > 관리 > 위험 계산기.
    2. 계산기 규칙 섹션에서 위험 규칙 양식으로 이동합니다.
    3. 활성 확인란의 선택을 취소하여 규칙을 비활성화합니다.
    4. Add Criteria(기준 추가)를 클릭합니다.
    5. 참조 테이블 선택 목록에서 구성 항목 참조 테이블을 선택합니다.
    6. 테이블 목록에서 서비스 [cmdb_ci_service]를 선택합니다.
    7. 필드 목록에서 비즈니스 중요도를 선택합니다.
    8. 집계 필드에서 최소값을 선택하여 이 사용 사례에 대해 가장 중요한 서비스(1 - 가장 중요한 값)를 검색하고, 최대값을 선택하여 이 사용 사례에 대해 가장 중요하지 않은 서비스(4 - 중요하지 않음 값)를 검색합니다.
    9. 가중치 필드에서 이 필드의 상대적 중요도를 지정합니다.
      값은 0에서 100 사이의 정수여야 합니다.
    10. 값 가중치 정의 섹션에서 필드 값을 추가하고 가중치를 할당합니다.
      그림 1. 사용자 지정 비즈니스 중요도 위험 규칙 가중치
      사용자 지정 비즈니스 중요도 위험 규칙 가중치
    11. 제출을 클릭합니다.

    위험 계산기에 조건부 기준 추가

    위험 점수 계산을 위해 위험 규칙에 사용자 지정 조건을 사용합니다.

    시작하기 전에

    필요한 역할: sn_vulc.admin

    이 태스크 정보

    조직에 여러 CI(구성 항목)가 있고 외부 사용자가 그 중 일부만 액세스할 수 있다고 가정합니다. 사용자는 이러한 외부를 향한 CI에 대해 위험 점수 가중치를 추가할 수 있습니다.
    주:
    이러한 CI는 이름으로 식별할 수 있습니다. 이름은 'external'로 시작합니다.

    프로시저

    1. 다음으로 이동 모두 > 구성 준수 > 관리 > 위험 계산기.
    2. 위험 규칙 양식으로 이동합니다.
    3. 활성 확인란의 선택을 취소하여 규칙을 비활성화합니다.
    4. Add Criteria(기준 추가)를 클릭합니다.
    5. 참조 테이블 선택 목록에서 사용자 지정 조건을 선택합니다.
    6. 조건 테이블 목록에서 구성 항목을 선택합니다.
    7. 필드 이름 필드에 CI 노출을 입력합니다.
    8. 가중치 필드에서 이 필드의 상대적 중요도를 지정합니다.
      값은 0에서 100 사이의 정수여야 합니다.
    9. 조건 필드에서 이름을 > 시작하고 값을 외부로 지정합니다.
      그림 2. 새 위험 규칙에 대한 사용자 지정 조건
      새 위험 규칙에 대한 사용자 지정 조건
    10. 제출을 클릭합니다.

    에 대한 위험 점수 계산 예시 구성 준수

    위험 점수 계산기를 결정하여 조직과 관련된 테스트 및 자산 데이터를 사용하는 위험 점수를 생성합니다.

    위험 규칙 계산기 점수 결정의 예

    다음 예제에서는 위험 규칙 계산기의 점수가 결정되는 방법을 보여줍니다. 위험 규칙 계산기가 이 테이블의 필드로 구성되어 있다고 가정합니다.
    표 2. 위험 규칙 계산기 점수 결정
    필드 가중치 가중치 세부 항목
    Control.Criticality (제어.중요도) 50

    기본값: 0

    마이너: 20

    낮음: 30

    보통: 50

    높음: 70

    치명적: 100
    Business_Criticality 50

    기본값: 0

    마이너: 20

    낮음: 30

    보통: 50

    높이: 70

    치명적: 100
    이 테이블에 표시된 테스트 결과가 시스템에 있다고 가정합니다.
    표 3. 테스트 결과 매핑
    ID 비즈니스 중요도 통제 중요도
    CTR0000001 1 - 가장 중요 경미
    CTR0000002 1 - 가장 중요 낮음
    CTR0000003 2 - 다소 중요 경미
    CTR0000004 2 - 다소 중요 보통
    CTR0000005 3 - 덜 중요 낮음
    테스트 결과에 대한 위험 점수 계산은 다음 수식에 따라 계산됩니다.

    위험 점수 = (W(control.criticality) * FV(control.criticality). + W(business_criticality) * FV(business_criticality)) / 100. 여기서 W는 가중치이고 FV는 필드 값의 가중치 백분율입니다.

    이러한 테스트 결과의 결과 위험 점수는 다음 표에 설명되어 있습니다.
    표 4. 테스트 결과에 따른 위험 점수
    ID 비즈니스 중요도(50%) 통제 중요도(50%) 결과 위험 점수
    CTR0000001 1 – 가장 중요(50% x100) 경미(50% x 20) 60
    CTR0000002 1 – 가장 중요(50% x100) 낮음(50% x 30) 65
    CTR0000003 2 – 다소 중요(50% x 70) 경미(50% x 30) 45
    CTR0000004 2 – 다소 중요(50% x 70) 보통(50% x 50) 60
    CTR0000005 3 – 덜 중요(50% x 50) 낮음(50% x 30) 40
    필드 값 중 하나에 대해 가중치 백분율이 변경된 경우 결과는 다음 표를 참조하십시오.
    표 5. 변경된 가중치 백분율에 대한 결과
    필드 가중치 가중치 세부 항목
    Control.Criticality (제어.중요도) 50

    기본값: 0

    마이너: 20

    낮음: 30

    보통: 60

    높이: 70

    치명적: 100
    Business_Criticality 50

    기본값: 50

    1 – 가장 중요: 100

    2 – 다소 중요: 70

    3 – 덜 중요: 20

    4 – 중요하지 않음: 30
    계산기를 다시 적용한 후 테스트 결과에 대한 위험 점수는 다음 표에 나와 있습니다.
    표 6. 계산기 재적용에 대한 TR의 위험 점수
    ID 비즈니스 중요도(50%) 통제 중요도(50%) 결과 위험 점수
    CTR0000001 1 – 가장 중요(50% x 100) 경미(50% x 20) 60
    CTR0000002 1 – 가장 중요(50% x 100) 낮음(50% x 30) 65
    CTR0000003 2 – 다소 중요(50% x 70) 경미(50% x 30) 45
    CTR0000004 2 – 다소 중요(50% x 70) 보통(50% x 60)

    *수정된 값

    		 65

    *수정된 값
    CTR0000005

    3 – 덜 중요(50% x 20)

    *수정된 값

    		 낮음(50% x 30) 25

    *수정된 값

    에 대한 구성 준수 위험 롤업 계산 예(v15.0 이전)

    다음 예제에서는 위험 롤업 계산기의 점수가 결정되는 방법을 보여줍니다.

    다음 정정 작업 롤업 계산기에서 정정 작업 위험 점수를 계산하는 수식은 다음과 같습니다.

    (최대 위험 점수/100) * 85 + (요인 * 15).

    이전 방정식의 요인은 다음 표와 같이 테스트 결과의 수에 따라 결정됩니다.
    테스트 결과 수 요인
    <10 0.2
    10-99 0.4
    100-1000 0.6
    1001-9999 0.8
    >1000 1
    다음 정정 작업의 경우 TRG0003066 세 가지 테스트 결과 위험 점수가 있는 경우 최대 점수는 90입니다.
    번호 위험 점수 정정 작업 결과 상태
    CTR000123 90 TRG0003066 실패함 오픈
    CTR000124 70 TRG0003066 실패함 오픈
    CTR000125 40 TRG0003066 실패함 오픈

    정정 작업의 경우 다음을 TRG0003066.

    위험 점수는 79, (90/100) * 85 + 0.2 * 15 = Math.floor (76.5 +3) = 79입니다.

    정정 작업이 아직 '오픈' 상태이므로 이력 위험 점수는 null입니다.

    다음 표와 같이 데이터 수집 후 테스트 결과는 '통과'이며 정정 작업은 '종결'로 전환됩니다.

    번호 위험 점수(v15.0 이전) 정정 작업 결과 상태
    CTR000123 0 TRG0003066 통과함 종결
    CTR000124 0 TRG0003066 통과함 종결
    CTR000125 0 TRG0003066 통과함 종결

    테스트 결과 이력은 다음 테이블에 표시됩니다.

    번호 위험 점수 최신 결과 결과
    CTRH000111 90 CTR000123 실패함
    CTRH000112 70 CTR000124 실패함
    CTRH000113 40 CTR000125 실패함

    정정 작업에 활성 테스트 결과가 없기 때문에 위험 점수는 0입니다.

    정정 작업의 경우 다음을 TRG0003066.

    과거 위험 점수는 79입니다: (90/100) * 85 + 0.2 * 15 = Math.floor (76.5 +3) = 79.

    (v15.0 이상)의 구성 준수 위험 롤업 계산 예

    다음 예제에서는 위험 롤업 계산기의 점수가 결정되는 방법을 보여줍니다.

    다음 정정 작업 롤업 계산기에서 정정 작업 위험 점수를 계산하는 수식은 다음과 같습니다.

    (최대 위험 점수* 80/100) + (평균 위험 점수* 5/100) + (요인 * 15)

    여기서 가중치는 다음과 같습니다.

    • 최대 위험 점수: 80
    • 평균 위험 점수: 5
    • 계수: 15

    평균 위험 점수의 기본 가중치는 0입니다. 가중치를 설정하는 방법에 대한 자세한 내용은 을 참조하십시오 에 대한 위험 롤업 계산기 편집 구성 준수.

    이전 방정식의 요인은 다음 표와 같이 테스트 결과의 수에 따라 결정됩니다.
    테스트 결과 수 요인
    <10 0.2
    10-99 0.4
    100-1000 0.6
    1001-9999 0.8
    >10000 1
    TRG0003066 다음 정정 작업의 경우 3개의 테스트 결과 위험 점수가 있는 경우 최대 위험 점수는 90이고 평균 위험 점수는 66.67입니다.
    번호 위험 점수 정정 작업 결과 상태
    CTR000123 90 TRG0003066 실패함 오픈
    CTR000124 70 TRG0003066 실패함 오픈
    CTR000125 40 TRG0003066 실패함 오픈

    정정 작업의 경우 다음을 TRG0003066.

    위험 점수는 81, (90* 80/100) + (66.67* 5/100) + (0.2 * 15) = Math.floor (78.3 +3) = 81입니다.

    정정 작업이 아직 '오픈' 상태이므로 이력 위험 점수는 null입니다.

    다음 표와 같이 데이터 수집 후 테스트 결과는 '통과'이며 정정 작업은 '종결'로 전환됩니다. v15.0부터 구성 준수는 통과한 테스트 결과의 위험 점수가 채워져 완화된 위험을 확인합니다.

    번호 위험 점수 정정 작업 결과 상태
    CTR000123 90 TRG0003066 통과함 종결
    CTR000124 70 TRG0003066 통과함 종결
    CTR000125 40 TRG0003066 통과함 종결

    테스트 결과 이력은 다음 테이블에 표시됩니다.

    번호 위험 점수 최신 결과 결과
    CTRH000111 90 CTR000123 실패함
    CTRH000112 70 CTR000124 실패함
    CTRH000113 40 CTR000125 실패함

    정정 작업에 활성 테스트 결과가 없기 때문에 정정 작업의 위험 점수는 0입니다.

    정정 작업의 경우 다음을 TRG0003066.

    과거 위험 점수는 (90* 80/100) + (66.67* 5/100) + (0.2 * 15) = Math.floor (78.3 +3) = 81입니다.