A Study on the Classification of OVAL Definitions for the Application of SCAP to the Korea Security Evaluation System

국내 보안평가체제에 SCAP을 활용하기 위한 OVAL 정의 분류 연구

With the increase in the types of information systems managed by public institutions and companies, a security certification system is being implemented in Korea to quickly respond to vulnerabilities that may arise due to insufficient security checks. The korea security evaluation system, such as ISMS-P, performs a systematic security evaluation for each category by dividing the categories for technical inspection items. NIST in the United States has developed SCAP that can create security checklists and automate vulnerability checks, and the security checklists used for SCAP can be written in OVAL. Each manufacturer prepares a security check list and shares it through the SCAP community, but it's difficult to use it in Korea because it is not categorized according to the korea security evaluation system. Therefore, in this paper, we present a mechanism to categorize the OVAL definition, which is an inspection item written in OVAL, to apply SCAP to the korea security evaluation system. It was shown that 189 out of 230 items of the Red Hat 8 STIG file could be applied to the korea security evaluation system, and the statistics of the categorized Redhat definition file could be analyzed to confirm the trend of system vulnerabilities by category.

공공기관과 기업에서 관리하는 정보 시스템 종류의 증가로, 국내에서는 보안 점검의 미흡으로 발생할 수 있는 취약성에 신속하게 대응하기 위한 보안 인증제도를 시행하고 있다. ISMS-P와 같은 국내의 정보보호체계 평가는 기술적 점검 항목들에 대해 범주를 나누어 평가함으로써 각 범주에 대한 체계적인 보안성 평가를 수행하고 있다. 미국의 NIST에서는 보안 점검 목록을 작성하고 취약성 점검을 자동화할 수 있는 프로토콜인 SCAP을 개발했으며 SCAP에 사용되는 보안 점검 목록은 OVAL로 작성할 수 있다. 제조사 별로 보안 점검 목록을 작성하여 SCAP 커뮤니티를 통해 공유하고 있지만, 국내 보안평가체제에 맞게 범주화되어있지 않아 국내에서는 실질적으로 사용하기에 어려움이 있다. 이에 본 논문에서는 국내 정보보호체계에 SCAP을 적용하기 위해 OVAL로 작성된 점검 항목인 OVAL 정의를 범주화하는 메커니즘을 제시한다. 레드햇 8 STIG 파일을 대상으로 230개 항목 중 189개의 OVAL 정의를 국내 보안 평가체제에 적용할 수 있음을 보였고, 범주화된 레드햇 정의 파일의 통계를 분석하여 범주별 시스템 취약성 추이를 확인할 수 있었다.