위험 점수 계산의 Configuration Compliance 예

의 v13.0 Configuration Compliance부터는 기본 위험 규칙의 기준을 사용자 지정할 수 있습니다. 위험 점수 계산에 Qualys 및 Tenable과 같은 외부 공급업체 벤더가 제공한 위험 점수를 사용합니다.

Qualys 및 Tenable과 같은 타사 공급업체는 자체 점수를 제공합니다. 이러한 점수는 sn_vulc_test 테이블의 중요도 필드에 채워집니다. 위험 점수 계산에 이 필드를 사용합니다. 이 점수를 사용하여 위험 점수를 계산하려면 다음 절차를 따르십시오.

위험 규칙의 기준으로 소스 중요도 추가

외부 공급업체 벤더가 제공한 중요도에 기반한 점수를 사용하여 위험 점수를 계산합니다.

시작하기 전에

필요한 역할: sn_vulc.admin

이 태스크 정보

Qualys 및 Tenable과 같은 외부 공급업체는 자체 위험 점수를 제공합니다. 이러한 점수는 sn_vulc_test 테이블의 중요도 필드에 채워집니다. 이 필드는 위험 점수 계산 및 위험 점수 계산에 사용됩니다.

프로시저

1. 다음으로 이동 모두 > Configuration Compliance > 관리 > 위험 계산기레이블이 표시됩니다.
2. 위험 규칙 양식으로 이동합니다.
3. Active( 활성 ) 확인란의 선택을 취소하여 규칙을 비활성화합니다.
4. Add Criteria(기준 추가)를 클릭합니다.
5. 참조 테이블 선택 목록에서 테스트 결과를 선택합니다.
6. 필드 목록에서 Test.Criticality를 선택합니다.
7. 가중치 필드에서 이 필드의 상대적 중요도를 지정합니다.
   값은 0에서 100 사이의 정수여야 합니다.
8. 값 가중치 정의 섹션에서 필드 값을 추가하고 필드에 가중치 백분율을 할당합니다.
   
9. 제출을 클릭합니다.

위험 규칙의 기준으로 비즈니스 중요도 추가

비즈니스 서비스에 대한 중요도 값을 지정하고 비즈니스 중요도를 사용하여 위험 점수를 계산합니다.

시작하기 전에

필요한 역할: sn_vulc.admin

이 태스크 정보

조직에 많은 비즈니스 서비스가 있고 다음 서비스에서 CI(구성 항목)를 사용하고 있다고 가정합니다.

표 1. 비즈니스 서비스의 중요도

비즈니스 서비스	중요도
클라우드 관리	1 - 가장 중요함
이커머스	2 - 다소 중요함
클라이언트 서비스	3 - 덜 중요함
출장 및 경비	4 - 중요하지 않음

CI와 서비스 간의 매핑은 서비스 [cmdb_ci_services] 테이블에 저장됩니다. CI가 구성 테스트를 통과하지 못하면 테스트 결과(TR)가 생성됩니다. 영향을 받는 서비스의 비즈니스 중요도 값을 사용하여 이 TR에 대한 위험 점수를 계산할 수 있습니다. 절차에 따라 이러한 서비스의 중요도 값을 사용하여 위험 점수를 계산합니다.

프로시저

1. 다음으로 이동 모두 > Configuration Compliance > 관리 > 위험 계산기레이블이 표시됩니다.
2. 계산기 규칙 섹션에서 위험 규칙 양식으로 이동합니다.
3. Active( 활성 ) 확인란의 선택을 취소하여 규칙을 비활성화합니다.
4. Add Criteria(기준 추가)를 클릭합니다.
5. 참조 테이블 선택 목록에서 구성 항목 참조 테이블을 선택합니다.
6. 테이블 목록에서 서비스 [cmdb_ci_service]를 선택합니다.
7. 필드 목록에서 비즈니스 중요도를 선택합니다.
8. 집계 필드에서 최소를 선택하여 이 사용 사례에 대해 가장 중요한 서비스(1 - 가장 중요한 값)를 검색하거나 최대를 선택하여 이 사용 사례에 대해 가장 중요하지 않은 서비스를 검색합니다(4 - 중요하지 않은 값).
9. 가중치 필드에서 이 필드의 상대적 중요도를 지정합니다.
   값은 0에서 100 사이의 정수여야 합니다.
10. 값 가중치 정의 섹션에서 필드 값을 추가하고 가중치를 할당합니다.

    그림 1. 사용자 지정 비즈니스 중요도 위험 규칙 가중치

    

11. 제출을 클릭합니다.

위험 계산기에 조건부 기준 추가

위험 점수 계산을 위해 위험 규칙에 사용자 지정 조건을 사용합니다.

시작하기 전에

필요한 역할: sn_vulc.admin

이 태스크 정보

조직에 여러 구성 항목(CI)이 있고 외부 사용자가 그 중 일부만 액세스할 수 있다고 가정합니다. 사용자는 이러한 바깥쪽 CI에 대해 위험 점수 가중치를 추가할 수 있습니다.

주:

이러한 CI는 이름으로 식별할 수 있습니다. 이름은 'external'로 시작합니다.

프로시저

1. 다음으로 이동 모두 > Configuration Compliance > 관리 > 위험 계산기레이블이 표시됩니다.
2. 위험 규칙 양식으로 이동합니다.
3. Active( 활성 ) 확인란의 선택을 취소하여 규칙을 비활성화합니다.
4. Add Criteria(기준 추가)를 클릭합니다.
5. 참조 테이블 선택 목록에서 사용자 지정 조건을 선택합니다.
6. 조건 테이블 목록에서 구성 항목을 선택합니다.
7. 필드 이름 필드에 CI 노출을 입력합니다.
8. 가중치 필드에서 이 필드의 상대적 중요도를 지정합니다.
   값은 0에서 100 사이의 정수여야 합니다.
9. 조건 필드에서 다음으로 시작하는 이름을 선택하고 값을 외부> 지정합니다.

   그림 2. 새 위험 규칙에 대한 사용자 지정 조건

   

10. 제출을 클릭합니다.

관련 개념

• Configuration Compliance 계산기 그룹

에 대한 위험 점수 계산 예 Configuration Compliance

위험 점수 계산기를 결정하여 조직과 관련된 테스트 및 자산 데이터를 사용하는 위험 점수를 생성합니다.

위험 규칙 계산기 점수를 결정하는 예제

다음 예제에서는 위험 규칙 계산기의 점수가 결정되는 방식을 보여줍니다. 위험 규칙 계산기가 이 테이블의 필드로 구성되어 있다고 가정합니다.

표 2. 위험 규칙 계산기 점수 결정

필드	가중치	가중치 세부 항목
Control.Criticality	50	기본값: 0 미성년자: 20 낮음: 30 보통: 50 높음: 70 치명적: 100
Business_Criticality	50	기본값: 0 미성년자: 20 낮음: 30 보통: 50 높이: 70 치명적: 100

이 표에 표시된 테스트 결과가 시스템에 있다고 가정합니다.

표 3. 테스트 결과 매핑

ID	비즈니스 중요도	통제 중요도
CTR0000001	1 - 가장 중요	경미
CTR0000002	1 - 가장 중요	낮음
CTR0000003	2 - 다소 중요	경미
CTR0000004	2 - 다소 중요	보통
CTR0000005	3 - 덜 중요	낮음

테스트 결과에 대한 위험 점수 계산은 다음 수식에 따라 계산됩니다.

위험 점수 = (W(control.criticality) * FV (control.criticality). + W(business_criticality) * FV(business_criticality)) / 100. 여기서 W는 가중치이고 FV는 필드 값의 가중치 백분율입니다.

이러한 테스트 결과의 결과 위험 점수는 다음 표에 설명되어 있습니다.

표 4. 테스트 결과에 따른 위험 점수

ID	비즈니스 중요도(50%)	통제 중요도(50%)	결과 위험 점수
CTR0000001	1 – 가장 중요(50% x100)	경미함 (50% x 20)	60
CTR0000002	1 – 가장 중요(50% x 100)	낮음(50% x 30)	65
CTR0000003	2 – 다소 중요(50% x 70)	마이너 (50% x 30)	45
CTR0000004	2 – 다소 중요(50% x 70)	보통(50% x 50)	60
CTR0000005	3 – 덜 중요(50% x 50)	낮음(50% x 30)	40

필드 값 중 하나에 대한 가중치 백분율이 변경된 경우 결과는 다음 테이블을 참조하십시오.

표 5. 변경된 가중치 백분율에 대한 결과

필드	가중치	가중치 세부 항목
Control.Criticality	50	기본값: 0 미성년자: 20 낮음: 30 보통: 60 높이: 70 치명적: 100
Business_Criticality	50	기본값: 50 1 – 가장 중요: 100 2 – 다소 중요: 70 3 – 덜 중요: 20 4 – 중요하지 않음: 30

계산기를 다시 적용한 후 테스트 결과에 대한 위험 점수는 다음 표에 나와 있습니다.

표 6. 계산기 재적용 시 TR의 위험 점수

ID	비즈니스 중요도(50%)	통제 중요도(50%)	결과 위험 점수
CTR0000001	1 – 가장 중요(50% x 100)	경미함 (50% x 20)	60
CTR0000002	1 – 가장 중요(50% x 100)	낮음(50% x 30)	65
CTR0000003	2 – 다소 중요(50% x 70)	마이너 (50% x 30)	45
CTR0000004	2 – 다소 중요(50% x 70)	보통(50% x 60) *수정된 값	65 *수정된 값
CTR0000005	3 – 덜 중요(50% x 20) *수정된 값	낮음(50% x 30)	25 *수정된 값

에 대한 위험 롤업 계산 예 Configuration Compliance

다음 예제에서는 위험 롤업 계산기의 점수가 결정되는 방식을 보여줍니다.

다음 테스트 결과 그룹 롤업 계산기의 경우 테스트 결과 그룹 위험 점수를 계산하는 수식은 다음과 같습니다.

(최대 위험 점수/100) * 85 + (계수 * 15).

위 방정식의 요인은 다음 표와 같이 테스트 결과의 수에 따라 결정됩니다.

테스트 결과 수	요인
<10	0.2
1-99	0.4
100-1000	0.6
1001-9999	0.8
>1000	1

다음 정정 작업(TRG0003066)에서 세 가지 테스트 결과 위험 점수가 있는 경우 최대 점수는 90입니다.

번호	위험 점수	그룹	결과	상태
CTR000123	90	TRG0003066	실패함	오픈
CTR000124	70	TRG0003066	실패함	오픈
CTR000125	40	TRG0003066	실패함	오픈

TRG0003066 정정 작업의 경우 위험 점수는 79, (90/100) * 85 + 0.2 * 15 = Math.floor (76.5 +3) = 79입니다.

그룹이 아직 '오픈' 상태이므로 이력 위험 점수는 null입니다.

데이터 수집 후 테스트 결과는 다음 표와 같이 '통과'이고 그룹은 '종결'로 전환됩니다.

번호	위험 점수	그룹	결과	상태
CTR000123	0	TRG0003066	통과	종결
CTR000124	0	TRG0003066	통과	종결
CTR000125	0	TRG0003066	통과	종결

테스트 결과 기록은 다음 표에 표시됩니다.

번호	위험 점수	최신 결과	결과
CTRH000111	90	CTR000123	실패함
CTRH000112	70	CTR000124	실패함
CTRH000113	40	CTR000125	실패함

그룹에 열린 테스트 결과가 없으므로 위험 점수는 0입니다.

통과한 결과의 최대 위험 점수 + 기록의 최대 위험 점수 - 90.

테스트 결과 그룹 TRG0003066의 경우 이력 위험 점수는 79입니다.

(90/100) * 85 + 0.2 * 15 = 수학 바닥 (76.5 +3) = 79.