[ blog · tutorial ]10 min read

CVE·취약점 인텔리전스 에이전트 만들기: CISA KEV, NVD, EPSS, MITRE ATT&CK를 하나의 API로

Sarah Choy2026년 6월 16일 게시10분 분량

모든 보안팀은 CVE에 빠져 죽는다. 신호는 심각도가 아니라 취약점이 실제로 익스플로잇되고 있는지, 그리고 그럴 가능성이 얼마나 되는지다. NVD, CISA KEV, EPSS, ATT&CK를 융합해 '무엇을 먼저 패치할까'에 답하는 에이전트를 만드는 법.

한눈에

•CVSS 심각도만으로는 과대 집계된다: '심각'으로 분류된 대부분의 CVE는 결코 익스플로잇되지 않는다. 진짜 우선순위에는 CISA KEV(알려진 익스플로잇)와 EPSS(익스플로잇 확률)를 그 위에 겹쳐야 한다.
•네 가지 소스: NVD(CVE 레코드 + CVSS), CISA KEV(실제 익스플로잇된 권위 있는 목록), EPSS(일일 0~1 익스플로잇 확률 점수), MITRE ATT&CK(맥락을 위한 전술/기법).
•API Pick Cybersecurity Search는 이 네 가지를 하나의 POST 엔드포인트 뒤로 감싼다 — 호출당 10 크레딧, 성공 시에만 — 그래서 에이전트는 스크레이퍼 네 개 없이 융합된 취약점 인텔을 얻는다.
•에이전트 패턴: CVE를 끌어오고, KEV 등재 여부를 확인하고, EPSS 점수를 읽고, ATT&CK 기법에 매핑한 뒤, 익스플로잇 우선 → EPSS → CVSS 순으로 순위를 매긴다.
•이것은 검색이지 스캐너가 아니다: 취약점에 대해 알려진 것과 가능성 있는 것을 알려 인간 분류 우선순위를 정하는 것이지, 자동 조치를 승인하는 것이 아니다.

심각도는 잘못된 정렬 키다

CVSS 점수로 패치하는 취약점 프로그램은 바쁘기만 하고 효과가 없다. National Vulnerability Database는 수만 개의 High·Critical CVE를 나열하지만, 압도적 다수는 결코 익스플로잇되지 않는다. 그러는 사이 야생에서 동작하는 익스플로잇이 있는 "Medium"이 백로그에 묻혀 있다. 보안 에이전트가 답해야 할 질문은 "이게 얼마나 나쁠 수 있나"가 아니라 "오늘, 무엇을 먼저 패치해야 하나"다.

그에 답하려면 네 가지 데이터 소스를 함께 융합해야 한다. 각각은 무료이며 공개돼 있고, 각각 고유한 포맷과 갱신 주기를 가진다.

네 가지 소스

NVD — CVE 레코드

NIST의 National Vulnerability Database. CVSS 벡터, 영향 받는 제품(CPE), 참조가 포함된 표준 CVE 목록. 기준이 되는 "이 취약점이 무엇인가" 계층. 강점: 권위 있고 완전하다. 약점: CVSS 단독은 심각도를 과대 집계한다.

CISA KEV

Known Exploited Vulnerabilities 카탈로그 — 야생에서 익스플로잇된 것으로 확인된 CVE의 CISA 권위 목록으로, 미국 연방기관 대상 시정 기한이 함께 붙는다. CVE가 KEV에 오르면 대기열을 건너뛴다. 강점: 취약점 관리에서 단일 최고 신호 플래그.

EPSS

FIRST.org의 Exploit Prediction Scoring System: CVE가 향후 30일 내 익스플로잇될 일일 0~1 확률. "익스플로잇될 수 있다"를 "얼마나 그럴 법한가"로 바꾼다. 강점: 실제 공격자 행동에 매핑되는 확률적 순위.

MITRE ATT&CK

공격자 전술·기법 지식 기반. 취약점을 킬체인 상의 역할에 매핑한다. 강점: CVE를 탐지와 대응 계획이 쓸 수 있는 운영적 서사로 바꾼다.

하나의 엔드포인트, 융합된 인텔

Cybersecurity Search는 NVD, CISA KEV, EPSS, MITRE ATT&CK를 하나의 POST 엔드포인트 뒤로 감싼다 — 호출당 10 크레딧, 성공 시에만. CVE ID나 자연어 쿼리를 넘기면, 결과가 융합되어 LLM에 맞게 미리 다듬어진 형태로 돌아온다. 벤더 권고문을 위한 Web Search와 권고문 페이지 전체를 끌어오는 Extract와 짝지어라.

import httpx, os
API, HEADERS = "https://api.apipick.com/v1", {"x-api-key": os.environ["APIPICK_KEY"]}

def vuln_intel(query: str):
    r = httpx.post(f"{API}/search/cybersecurity",
                   headers=HEADERS, json={"query": query})
    r.raise_for_status()
    return r.json()["results"]

# "what should I patch first across NVD + KEV + EPSS + ATT&CK?"
records = vuln_intel("actively exploited Apache and VMware vulnerabilities this month")

# Rank: KEV-listed first, then by EPSS, then CVSS. Feed the ranked,
# cited list to your LLM to summarize the worklist for an analyst.

자체 구축 대 구매

	직접 연결	API Pick
소스	NVD + KEV + EPSS + ATT&CK, 따로따로	넷 모두, 융합
포맷	스키마 4개 + EPSS CSV	JSON 형태 1개
신선도	동기화 4건을 직접 스케줄링	호출당 라이브
LLM 준비도	각각 직접 정규화	미리 다듬어짐 + 소스 URL
비용	인프라 + 유지보수	호출당 10 크레딧, 성공 시에만

무엇을 만들 수 있나

패치 우선순위 어시스턴트를 넘어서: 당신의 스택에 있는 CVE가 익스플로잇 목록에 오를 때 알림을 주는 일일 KEV 감시 에이전트, 스캐너 내보내기를 순위 매겨진 인용 작업 목록으로 바꾸는 분류 봇, CVE의 ATT&CK 함의를 평이한 언어로 설명하는 분석가 코파일럿. 같은 패턴 — 융합 검색, 익스플로잇 우선 순위, 소스를 붙인 종합. 무료 키(100 크레딧, 카드 불필요)를 받아 에이전트를 거기에 겨눠라.

자주 묻는 질문

패치 우선순위에 왜 CVSS 심각도만으로는 부족한가?

심각도는 익스플로잇 가능성이 아니라 잠재적 영향을 측정하기 때문이다. 수만 개의 CVE가 High나 Critical로 등급이 매겨지지만, 실제로 야생에서 익스플로잇되는 것은 극히 일부뿐이다. CVSS만으로 패치하면 공격자가 결코 손대지 않는 취약점에 노력을 쓰면서, 활발히 익스플로잇되고 있는 Medium 등급은 놓친다. 현대적 접근은 CISA KEV(알려진 익스플로잇인가?)와 EPSS(그럴 확률이 얼마인가?)를 CVSS 위에 겹쳐, 실제로 중요한 것의 순위를 매긴다.

EPSS가 무엇이고 어떻게 쓰나?

EPSS(Exploit Prediction Scoring System)는 FIRST.org에서 제공하며, 각 CVE에 향후 30일 내 익스플로잇될 확률을 추정한 0~1의 일일 갱신 점수를 부여한다. 흔한 정책: CISA KEV에 오른 것은 즉시 패치하고, 그다음 EPSS가 ~0.1(또는 리스크에 맞춘 임계값) 이상인 것, 그다음 나머지는 CVSS로 분류한다. EPSS는 매일 갱신되므로 에이전트는 캐싱하지 말고 다시 끌어와야 한다.

MITRE ATT&CK는 무엇을 더하나?

맥락이다. ATT&CK는 공격자의 전술과 기법(초기 접근, 권한 상승, 유출 등)을 매핑한다. CVE를 그것을 익스플로잇하는 기법에 묶으면 분석가가 킬체인 함의를 이해하는 데 도움이 된다 — 단지 '이건 익스플로잇 가능하다'가 아니라 '이건 측면 이동을 가능하게 한다'까지, 그것이 우선순위 결정과 추가할 탐지 규칙을 바꾼다.

에이전트가 자동으로 패치를 적용하거나 트래픽을 차단할 수 있나?

아니다 — 그렇게 연결해서도 안 된다. 이것은 인텔리전스 검색 계층이다: 취약점에 대해 알려진 것을 융합해 인간 분류 우선순위를 정한다. 자동 조치에는 변경 관리, 테스트, 인간 책임자가 필요하다. 에이전트로 순위가 매겨진 인용 작업 목록을 만들고, 실행은 패치/SOAR 파이프라인과 엔지니어에게 맡겨라.

데이터는 얼마나 최신인가?

NVD와 CISA KEV는 CVE가 공개되고 익스플로잇이 확인됨에 따라 지속적으로 갱신되고, EPSS는 매일 재계산된다. 엔드포인트는 라이브 소스를 질의하므로 에이전트 실행은 현재 상태를 반영한다. 감사 추적을 위해서는 결정 시점의 EPSS 점수와 KEV 상태를 타임스탬프와 함께 저장하라.