SBOM 기반 의존성 구조 특징을 활용한 취약점 우선순위화 모델의 유효성 검증
Validation of a Vulnerability Prioritization Model Using SBOM-Based Dependency Structural Features
- 주제(키워드) SBOM , 취약점 우선순위화 , CVSS , EPSS , 소프트웨어 공급망 보안
- 주제(DDC) 005.8
- 발행기관 아주대학교 정보통신대학원
- 지도교수 김기형
- 발행년도 2026
- 학위수여년월 2026. 8
- 학위명 석사
- 학과 및 전공 정보통신대학원 사이버보안
- 실제URI http://www.dcollection.net/handler/ajou/000000036201
- 본문언어 한국어
- 저작권 아주대학교 논문은 저작권에 의해 보호받습니다.
초록/요약
소프트웨어 공급망의 복잡성 증대에 따라, 취약점 관리는 단일 코드 보안을 넘어 소프트웨어 구성요소 간 의존성 관계를 고려하는 체계적 분석이 요구되고 있다. SBOM（Software Bill of Materials）은 구성요소 식별과 추적에 유용하나, 취약점의 실제 조치 우선순위를 직접 제시하지는 않는다. 반면 실무에서는 CVSS（Common Vulnerability Scoring System）가 우선순위화의 주요 기준으로 사용되지만, 동일하거나 유사한 점수의 취약점이 많을 경우 실제 조치 순서를 세밀하게 구분하는 데 한계가 있다. 본 연구는 이러한 한계를 보완하기 위해, 기존 CVSS 기반 평가 체계에 SBOM의 의존성 구조 특징을 결합하였을 때 외부 지표 기반의 고위험 취약점 식별 성능이 개선될 수 있는지를 실증적으로 검토하였다. 공개 Docker 이미지를 대상으로 Syft를 활용하여 SBOM을 생성하고, 이를 CVE（Common Vulnerabilities and Exposures） 정보와 통합하여 분석 데이터셋을 구축하였다. 수집된 5,759행의 원본 데이터 중 （Image, Artifact, CVE） 기준의 중복 제거를 통해 최종 1,656개의 샘플을 분석에 활용하였다. 기준 모델은 cvss_score만 사용하였고, 제안 모델은 patch_availability, cve_count, dependency_count, structural_risk를 추가하였다. 라벨은 EPSS（Exploit Prediction Scoring System） percentile 0.8 이상을 고위험군으로 정의한 외부 지표 기반 이진 라벨을 사용하였으며, 평가는 Stratified Group K-Fold 5-fold 교차검증으로 수행하였다. 분석 결과, 제안 모델은 전반적으로 기준 모델보다 높은 평균 성능을 보였으며, 특히 Random Forest 환경에서 PR-AUC, F1-score, Accuracy의 개선이 더 뚜렷하게 나타났다. 다만 성능 변동성이 존재하고 F1-score의 절대 수준도 높지 않아, 본 연구의 제안 모델은 완성형 자동 판별 도구보다 CVSS 기반 우선순위화를 보완하는 보조 모델로 해석하는 것이 타당하다. 그럼에도 SBOM 의존성 구조 정보가 고위험 취약점 구분의 정밀도를 높이는 데 일정 수준의 추가 가치를 제공할 수 있음을 확인하였다는 점에서 의의가 있다.
more초록/요약
While the Software Bill of Materials （SBOM） provides supply chain visibility, it lacks direct vulnerability prioritization, and the traditional CVSS struggles to differentiate remediation order when scores are identical. To address this contextual gap, this study empirically evaluates whether integrating SBOM-derived dependency features into traditional CVSS frameworks can improve the detection of high-risk vulnerabilities. By modeling topological context, we aim to bridge the gap between passive component inventory and active, severity-complementary security triaging. We constructed a comprehensive dataset from public Docker images by generating SBOMs via Syft and merging them with CVE data. From 5,759 raw entries, deduplication based on the （image, artifact, CVE） tuple yielded 1,656 samples. The baseline model utilized only cvss_score , while the proposed model additionally incorporated patch_availability, cve_count, dependency_count, and structural_risk. High-priority targets were labeled using an external EPSS percentile threshold of 0.80 or higher, and evaluated via 5-fold StratifiedGroupKFold cross-validation. The empirical results demonstrate that the proposed models consistently outperform the baseline, showing pronounced improvements in PR-AUC, F1-score, and Accuracy within the Random Forest environment. Given the observed performance variance and moderate absolute F1-scores, this framework should be interpreted as a complementary decision-support proxy to refine CVSS triaging rather than a fully automated end-to-end classifier. Nonetheless, this study confirms that leveraging SBOM dependency metadata yields essential contextual signals to improve prioritization precision in resource-constrained security operations.
more목차
제1장 서론 1
제2장 이론적 배경 2
제1절 소프트웨어 공급망과 SBOM의 개념 2
제2절 SBOM의 구성 요소와 표현 범위 4
제3절 CVE와 CVSS 기반 취약점 표현 체계 7
제4절 업데이트와 패치의 보안적 의미 10
제5절 구조 정보 기반 우선순위화의 필요성 12
제3장 관련 연구 14
제1절 CVSS 기반 취약점 우선순위화 연구 14
제2절 SBOM 기반 취약점 관리 연구 16
제3절 의존성 구조 정보와 취약점 위험 간의 연계 가능성 18
제4절 연구 공백 및 연구 방향 19
제4장 제안 모델 및 기법 21
제1절 모델 설계 개요 21
제2절 SBOM 생성 및 의존성 그래프 구성 23
제3절 특징 구성 및 데이터 통합 25
제4절 라벨 정의 및 학습 데이터 구성 27
제5절 모델 구성 및 비교 실험 절차 28
제5장 구현 및 성능 평가 30
제1절 실험 환경 및 데이터셋 구성 30
제2절 교차검증 기반 전체 성능 비교 31
제3절 Fold별 성능 변동 및 통계 검정 33
제4절 특징 중요도 분석 36
제5절 종합 해석 및 한계 38
제6장 결론 40
참고문헌 42
Abstract 44
