• 디지털융복합연구
• /
• 제13권5호
• /
• pp.251-257
• /
• 2015

침입방지시스템은 네트워크에서 공격 서명을 찾아내어 자동으로 조치를 취하여 비정상적인 트래픽을 중단시키는 보안시스템이다. 수동적인 방어를 하는 침입차단시스템이나 침입탐지시스템과 달리 침입경고 이전에 침입을 중단시키는 개념의 솔루션이다. 침입방지시스템의 보안성 성능은 보안감사, 사용자 데이터 보호, 보안 인증 등에 좌우되며 성능은 탐지시간, 처리량, 공격차단 성능 등에 좌우된다. 본 연구에서는 이러한 침입방지시스템의 보안성 성능평가를 위한 모델을 구축하기 위해 CC(Common Criteria : ISO/IEC 15408)와 소프트웨어 제품평가에 관한 ISO 국제표준을 근간으로 하여 융합 성능평가 모델을 구성하였다.

• 한국정보통신학회논문지
• /
• 제11권4호
• /
• pp.737-744
• /
• 2007

조직의 정보보호 목표를 효율적이고 효과적으로 달성하기 위해서는 조직의 정보보호 수준을 정확히 평가하고 이를 개선시킬 방향을 제시하는 기준이나 평가모델이 필요하다. 또한 이를 위해 부문별 정보보호 수준을 평가하고 개선할 수 있는 평가지표나 기준이 필요하고 우리나라에서 적용 가능한 정보보호 시스템들의 평가방법론이 연구되어야 한다. 본 연구에서는 다양하고 복잡한 네트워크 보안성과 보안성능부분에 초점을 맞추어 네트워크 보안성을 평가하기 위해 필요한 평가 시스템들을 추출하고 이들 각각을 평가할 수 있는 체크리스트와 각 시스템들이 네트워크 보안성에 얼마만큼 기여하는지를 결정하여 네트워크 보안성을 평가할 수 있는 방법을 제시하였다. 또한 네트워크 보안성능을 평가할 수 있는 평가 모델과 테스트시에 필요한 테스트 시나리오를 제시하였다.

• 정보보호학회지
• /
• 제13권4호
• /
• pp.25-36
• /
• 2003

현재 미국을 비롯한 선진 국가에서는 ISO 국제 표준인 국제 공통 평가 기준 ISO/IEC 15408(CC v2.1, Common Criteria for Information Technology Security Evaluation))과 공통평가방법론(CEM, Common Methodology for Information Technology Security Evaluation)에 근거하여 IT 제품 및 시스템에 대한 보안성 평가를 하고 있다. 그러나, 현재 CC 및 CEM은 주로 IT 제품의 보안성 평가를 위한 것이며, 실제 IT 환경에서 운용되는 시스템에서 이를 적용해 평가하는데는 많은 어려움이 있다. ISO를 중심으로 각 국에서도 이와 관련해 시스템 평가에 CC를 적용하기 위한 방법론이 검토 중에 있다. 그리고 현재 개발 진행중이거나 시장에 출시된 많은 제품이 여러 단일 제품이 합성된 통합제품 형태로 구성되고 있는 추세이며, 이는 시스템 평가 문제와 더불어 향후 CC 기반의 평가를 활성화시키기 위해 풀어야 할 문제로 제기되고 있다. 본고에서는 각 국에서 추진 중인 시스템 평가 동향을 살펴보고, 현재 ISO/IEC SC27/WG3에 표준화로 제안된 "Security Assessment of Operational System"에 대해 살펴보고자 한다.자 한다.

• 한국전자거래학회지
• /
• 제20권4호
• /
• pp.177-191
• /
• 2015

최근 국내 기업에서 보안사고가 지속적으로 증가함에 따라 기업의 특성과 환경을 고려한 체계적인 보안관리체계의 필요성이 대두되고 있다. 그러나 기업별 보안수준 측정의 대상, 목적, 방법 등이 다름에도 불구하고 현재 다수의 기업이 기존의 정보보호 관리체계인 K-ISMS를 단편 일률적으로 적용하고 있는 것이 실정이며, 이에 따른 보안관리체계 도입에 대한 실효성에 대해서도 많은 문제가 제기되어지고 있다. 본 논문에서 선행연구 분석을 통해 정보보호, 산업보안, 연구보안에 대한 개념을 정립하고, 정보보호 관리체계, 산업보안관리체계, 연구보안관리 체계의 통제항목을 비교 분석하여 산업 전반의 보안을 수행할 수 있는 보안수준 평가항목 개발하였다. 또한 세부적으로 기 존재하는 보안수준평가 모형을 분석하여, 산업의 특성을 고려한 산업 중심의 보안수준평가 모형 설계 방향성을 제시하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2018년도 추계학술발표대회
• /
• pp.158-161
• /
• 2018

2011년 미국에서 최초로 소개된 후 기존 보안 기술과 다른 새로운 정보시스템 보호 기술로 Moving Target Defense(MTD)가 활발히 연구 되고 있다. MTD는 시스템의 구성 요소들을 뷸규칙적이고 동적으로 변화시켜 공격표면(Attack surface)을 줄임으로써 외부 공격에 대한 보안성을 높인다. 주로 시스템 정보를 수집 및 분석하여 공격하는 보안 위협들에 효과적이며 특히 지능형 지속 보안 위협(Advanced Persistent Threat), 킬 체인(Kill-Chain) 보안에 뛰어난 성능을 기대할 수 있다. 최근 MTD 시스템 구현 및 개발로 상용화가 시작되었으나 MTD 활용을 통해 어느 정도의 보안성 및 효율성을 가지는지에 대한 성능 평가인증, 시험지침 등이 표준화 되어있지 않아 기준이 모호한 실정이다. 본 논문에서는 이러한 최근 MTD 이슈에 대해 살펴보고 MTD와 연관 되어있는 각 분야에 어떤 평가인증 요구사항들이 있는지 분석한다. 이를 통해 MTD에 어떠한 평가인증 요구사항이 있는지 도출하여 앞으로 MTD 평가인증 표준화 참고 및 활용에 기여 할 수 있을 것으로 전망한다.

• 정보보호학회지
• /
• 제17권6호
• /
• pp.67-74
• /
• 2007

정보통신과 인터넷 기술의 발전으로 실생활에서 정보의 이용이 용이해 지면서, 쉽게 정보를 얻기 위한 정보에 대한 공유와 검색에 관련한 기술이 발전하게 되었다. 그 결과로 정보는 쉽게 얻을 수 있게 되었지만, 개인정보 유출, 악의적인 시스템 파괴 등 역기능 빠른 속도로 늘어나고 있다. 이에 따라 국제적으로 정보보호의 중요성대 대두 되고 보안에 대한 필요성이 극대화 되었으며, 시스템 보안성의 신뢰도를 일관성 있게 평가하기위하여 공통평가기준이 제정되었다. 특히, 높은 신뢰도를 요구하는 보안기능에 대해서는 수학적, 논리적 기반의 명확한 명세와 엄밀한 증명을 수행하는 정형기법을 사용한 경우에만 고등급을 획득할 수 있다. 본고에서는 공통평가기준과 정형기법의 상관관계를 설명하고, 고등급 평가에 관련된 국외 동향을 기술한 후, 간단한 예를 들어 보안정책모델의 정형화 방법에 대하여 기술하였다.

• 정보보호학회지
• /
• 제16권4호
• /
• pp.59-68
• /
• 2006

본 논문에서는 소프트웨어 개발 프로세스에서 보안성을 향상시키기 위해, 소프트웨어 개발단계에서 산출되는 문서를 바탕으로 내재되어 있는 취약성을 찾기 위한 체크리스트를 제안한다. 현재 소프트웨어 생명주기내에서 보안성을 지키기 위해서는 설계단계에서의 위험분석 이 요구되며, 이를 확인하기 위한 검증단계가 필수적이다. 따라서, 본고에서는 취약성을 찾는 구체적인 방법으로 ISO/IEC 15408(Common Criteria, 이하 CC)[1]기준의 보안성 평가방법론인 CEM[2]에 기반한 취약성검색을 통해 소프트웨어 설계단계에서 산출되는 개발문서에 대해 검증해야 할 항목을 제시한다.

• 한국IT서비스학회:학술대회논문집
• /
• 한국IT서비스학회 2003년도 춘계학술대회
• /
• pp.363-370
• /
• 2003

지금까지 국내 보안감리 평가는 정성적인 평가에 머물러 있어 평가를 담당하는 감리인마다 평가 결과가 서로 상이하여 피 평가자에게 신뢰를 심어주지 못하는 결과가 초래되고 있다. 본 연구에서는 보안감리에 대한 국내의 연구와 해외 사례를 참조하여 SI사업에서의 보안감리평가 효율성을 제고할 수 있는 방안 및 평가체계를 정량화하는 방안을 제시하였다. 이를 위해 SI사업의 소프트웨어 개발 및 개발 환경(네트워크, 서버 등)을 중심으로 한국전산원에서 제시하고 있는 보안감리 지침과 한국정보시스템감리인협회의 보안관련 세부 감리지침을 통합하고 세부 감리지침에 따른 평가를 정량화 하였다. 보안감리 평가의 정량화 방안에 대한 감리전문가의 인터뷰와 사례 프로젝트의 적용을 통하여 연구 모형에 대한 검증을 실시하였다.

• 정보보호학회논문지
• /
• 제30권5호
• /
• pp.929-943
• /
• 2020

COVID-19 감염자의 동선을 파악함과 동시에 개인의 프라이버시를 보호하기 위한 방법들이 다양하게 제시되고 있다. 그 중에서 애플과 구글에서 발표한 'Exposure Notification'은 블루투스를 사용한 탈중앙화 방식을 따르고 있다. 하지만 이 기술을 사용하려면 항상 블루투스 기능을 켜 놓아야 하며 이를 통해 다양한 보안 위협이 발생할 수 있다. 본 논문에서는 보안 위협 모델링 기법 중 'STRIDE'와 'LINDDUN'을 적용하여 Exposure Notification 기술의 보안성을 평가하여 발생 가능한 모든 위협을 도출하였다. 또한 보안성 평가 결과를 가지고 대응 방안을 도출하고 이를 바탕으로 보안성을 향상시킨 새로운 모델을 제시한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2011년도 춘계학술발표대회
• /
• pp.1331-1332
• /
• 2011

가상사설망(VPN)시스템은 기존 사설망의 고비용과 비효율적인 관리를 해결하기 위해 인터넷망을 마치 전용선으로 사설망을 구출한 것처럼 개발한다. 본 연구에서는 ISO/IEC 9126과 ISO/IEC 25000를 기반을 둔 객관성 있는 품질평가 방법을 구축하고 가상사설망시스템 제품 고유의 보안특성을 접목한 품질평가 체계를 구축함으로써 객관성과 타당성을 갖춘 평가모델을 개발하였다.