EPSS: Exploit Prediction Scoring System이 알려 주는 것

EPSS란 무엇인가요?

Exploit Prediction Scoring System(EPSS)은 공개된 CVE가 향후 30일 내에 실제 환경에서 악용될 확률을 추정하는 데이터 기반 모델입니다. CVSS를 발표하는 포럼인 FIRST의 EPSS Special Interest Group이 관리합니다. 점수는 Empirical Security가 생성하며, 등록 없이 무료로 공개됩니다.

공개된 각 CVE는 매일 두 개의 수치를 받습니다.

• 확률: 0~1. 향후 30일 내 악용 활동이 일어날 것으로 추정되는 가능성입니다. 0.02는 2%를 뜻합니다.
• 백분위: 0~1. 점수가 매겨진 전체 CVE 중 확률이 같거나 낮은 CVE의 비율입니다. CVE가 얼마나 악용될 가능성이 높은지가 아니라 어디에 순위가 매겨지는지를 알려 줍니다.

점수는 변합니다. 몇 달 동안 0에 가깝던 CVE도 익스플로잇 코드가 공개되거나 공격이 관찰되면 하룻밤 사이에 급등할 수 있으므로, 분류할 때 한 번만 보지 말고 매일 확인하세요.

EPSS 산출 방식

EPSS는 관찰된 악용 사례로 학습한 머신러닝 모델입니다. FIRST는 약 2,850개의 입력 특성을 다섯 가지 그룹으로 설명합니다.

• 익스플로잇 코드와 도구: 공개 익스플로잇, 익스플로잇 프레임워크, 스캐너 템플릿.
• 언급: 보안 공급업체, 취약점 공개 프로그램, 정보 수집 사이트의 언급.
• 취약점 특성: 개별 CVSS 지표와 설명에서 추출한 태그. CVSS 점수 자체는 사용하지 않습니다.
• 경과 기간과 참조: CVE가 공개된 지 얼마나 되었는지, 참조가 몇 개인지.
• 악용 활동: 데이터 파트너가 제공하는 악성코드 원격 측정, 허니팟, 침입 탐지, 위협 인텔리전스.

현재 모델은 2026년 6월 15일부터 공개되고 있는 EPSS v5(v2026.06.15)입니다. 이전 버전은 v4(2025년 3월), v3(2023년 3월), v2(2022년 2월)입니다. FIRST는 정해진 일정이 아니라 성능이 저하될 때 모델을 재학습합니다.

EPSS vs CVSS

	EPSS	CVSS
측정 대상	향후 30일 내 악용 가능성	악용되었을 때의 심각도
척도	0~1의 확률과 백분위	0~10, 심각도 등급 포함
변경 주기	위협 데이터 변화에 따라 매일	거의 변하지 않음, 기본 점수는 CVE별로 고정
산출 주체	관찰된 악용 사례로 학습한 모델	사양에 따른 전문가 판단
현재 버전	v5(2026년)	4.0(2023년)

FIRST는 두 점수가 서로 대체할 수 없다고 분명히 밝힙니다. CVSS 기본 점수는 위험이 아니라 심각도를 측정하므로 패치 우선순위 지정에 단독으로 사용해서는 안 됩니다. EPSS는 심각도 점수도 아니고 완전한 위험 점수도 아닙니다. 또한 FIRST는 둘을 곱하는 것은 결코 좋은 생각이 아니라고 경고합니다. 하나는 보정된 확률이고, 다른 하나는 서열 척도이기 때문입니다. 둘을 나란히 사용하세요.

EPSS 임곗값

EPSS에는 공식 기준값이 없습니다. FIRST는 기준값을 고르는 데 도움이 되는 참고 지점을 공개합니다.

EPSS 확률	대략적인 의미
0.10 (10%)	95번째 백분위. 자주 인용되지만 EPSS가 특별한 근거를 부여한 값은 아닙니다.
0.04 (4%)	90번째 백분위. CVSS Critical 기준으로 얻는 대기열과 비슷한 규모입니다.
0.008 (0.8%)	상위 약 48%. CVSS High와 Critical을 합친 것과 비슷한 규모의 대기열입니다.
0.007 (0.7%)	중앙값. 전체 CVE의 절반이 이보다 낮은 점수를 받습니다.

처리 역량에서 거꾸로 계산하세요. 팀이 한 달에 긴급 발견 사항 50개를 처리할 수 있다면, 출시하는 소프트웨어에서 약 50개가 나오는 임곗값을 고르세요.

EPSS를 우선순위 지정에 활용하는 방법

1. 확인된 악용부터 시작하세요. CISA의 KEV 카탈로그에 있는 CVE는 이미 악용되고 있습니다. FIRST 스스로도 최근 확인된 악용은 점수와 관계없이 그 자체로 강력한 신호라고 말합니다.
2. 나머지는 EPSS로 순위를 매기되, 정한 임곗값 이상인 것부터 처리하세요.
3. 동점이면 CVSS와 자사 맥락으로 가르세요. 구성 요소가 출시되는지, 노출되어 있는지, 제품이 얼마나 중요한지를 봅니다.
4. 매일 순위를 다시 매기세요. EPSS가 매일 바뀌기 때문입니다.

SSVC와 도달 가능성 분석이 들어가는 위치를 포함한 전체 방법은 취약점 우선순위 지정에서 설명합니다.

EPSS의 한계

• 자사 환경을 알지 못합니다. 높은 점수는 CVE가 어딘가에서 악용될 가능성이 높다는 뜻일 뿐, 취약한 코드가 자사 제품에 존재하거나, 도달 가능하거나, 중요하다는 뜻은 아닙니다.
• 공개된 CVE만 대상입니다. CVE가 없는 취약점과 예약된 CVE ID는 점수를 받지 않습니다.
• 예측일 뿐입니다. 낮은 점수가 안전을 보장하지는 않으며, 그래서 KEV와 기타 악용 증거를 먼저 봐야 합니다.

EPSS 점수를 얻는 방법

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228은 현재의 확률과 백분위를 반환합니다. 이력을 보려면 &scope=time-series를 추가하세요. API는 대량 조회가 아니라 개별 조회용입니다.
• 일일 CSV: 전체 점수 목록으로, UTC 13:30 직후에 업데이트되며 2021년까지 거슬러 올라가는 아카이브가 있습니다.
• 사용 중인 도구: Grype, Dependency-Track, Tenable, Qualys를 비롯한 많은 스캐너와 취약점 관리 플랫폼이 발견 사항 옆에 EPSS를 표시합니다.

EPSS에는 정확한 인벤토리가 필요합니다

EPSS 점수는 CVE의 순위를 매길 뿐, 영향을 받는 패키지를 출시하는지는 알려 주지 않습니다. 그것은 인벤토리에서 나오며, 잠금 파일을 읽는 스캐너는 출시되지 않는 개발 종속성을 보고하는 한편 빌드가 패키지 관리자 밖에서 다운로드한 패키지는 놓칩니다.

CRACI는 전이적 종속성, 캐시에서 복원된 패키지, 어떤 잠금 파일에도 없는 숨겨진 종속성을 포함해 각 GitHub Actions 작업이 실제로 다운로드한 패키지를 기록하고, 모니터링 중인 SBOM을 지속적으로 재평가합니다. 빌드 기록은 과거의 어떤 빌드에 취약한 종속성이 포함되었는지 보여 주므로, CVE의 점수가 급등하면 어떤 릴리스에 그 취약점이 있는지 알 수 있습니다. 취약점 추적을 참고하세요.

EPSS: 자주 묻는 질문

EPSS란 무엇인가요?

EPSS(Exploit Prediction Scoring System)는 FIRST가 관리하는 머신러닝 모델로, 공개된 CVE가 향후 30일 내에 실제 환경에서 악용될 확률을 추정합니다. 점수는 모든 CVE에 대해 매일 무료로 공개됩니다.

좋은 EPSS 점수는 어느 정도인가요?

보편적인 기준값은 없습니다. FIRST에 따르면 약 0.04(4%)의 확률은 90번째 백분위 부근으로, CVSS가 Critical로 평가하는 CVE의 비율과 대략 비슷하며, 0.10(10%)은 95번째 백분위 부근입니다. 평균 점수는 약 2.8%, 중앙값은 약 0.7%입니다. 팀이 처리할 수 있는 대기열이 나오는 임곗값을 고르세요.

EPSS 확률과 백분위의 차이는 무엇인가요?

확률은 CVE가 향후 30일 내에 악용될 것이라는 모델의 추정치입니다. 백분위는 그 확률을 점수가 매겨진 다른 모든 CVE와 비교한 순위입니다. 대부분의 CVE 점수가 훨씬 낮기 때문에 0.05의 확률도 높은 백분위가 될 수 있습니다.

EPSS에 CVSS를 곱해야 하나요?

아니요. FIRST에 따르면 EPSS는 보정된 확률이고 CVSS는 서열 척도이므로, 둘을 곱해도 확률과 심각도의 곱이 되지 않습니다. 대신 둘을 나란히 사용하세요. 가능성은 EPSS로, 심각도는 CVSS로 봅니다.

현재 EPSS 버전은 무엇인가요?

2026년 6월 15일부터 공개되고 있는 EPSS v5(모델 v2026.06.15)입니다. FIRST는 성능이 저하되면 모델을 재학습하며, 지금까지는 대략 1년에 한 번꼴이었습니다.

EPSS 점수는 어떻게 얻나요?

FIRST API를 조회하거나(예: https://api.first.org/data/v1/epss?cve=CVE-2021-44228) 전체 점수가 담긴 일일 CSV를 다운로드하세요. 등록은 필요 없습니다. Grype를 비롯한 많은 스캐너도 발견 사항 옆에 EPSS를 표시합니다.