• Proceedings of the Korean Institute of Navigation and Port Research Conference
• /
• 2016.05a
• /
• pp.38-39
• /
• 2016

IMO는 e-navigation을 구현하기 위한 전략이행계획에 따라 e-navigation 소프트웨어 품질보증 가이드라인을 개발하였고 이는 IMO의 회람문서로 등재되었다. 이 가이드라인에서 e-navigation 설계 시 고려해야 하는 품질 특성으로 사이버보안에 대해 언급하고 있다. 2016년 6월 MSC 96차 회의에 미국과 BIMCO 등 주요 IMO회원국 및 기구에서 제출한 사이버보안 가이드라인을 주요 의제로 다룬다. 본 논문에서는 데이터 품질 관점에서 IMO 사이버보안 가이드라인과 e-navigation 소프트웨어 품질 가이드라인의 연계방안을 제시하고자 한다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.22 no.5
• /
• pp.1179-1189
• /
• 2012

We propose an improvement on the Guideline of Secure Software Development for Korea e-Government that is under revision by the Ministry of Public Administration and Security in 2012. We adopted a rule-oriented organization instead shifting from the current weakness-oriented one. The correspondence between the weakness and coding rules is identified. Also, added is the coverage of diagnostic tools over the rules to facilitate the usage by programmers during coding period When the proposed guideline is applied to secure software development, the weakness would be controlled indirectly by enforcing coding rules. Programmers responsibility would be limited to the compliance of the rules, while the current version implies that it is programmers responsibility to guarantee being free from the weakness, which is hard to achieve at reasonable cost.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2014.05a
• /
• pp.595-598
• /
• 2014

The cyber attacks of recent attacks that target zero-day exploit security vulnerabilities before the security patch is released (Zero Day) attack, the web site is without the Lord. These attacks, those that use the vulnerability of security that is built into the software itself is in most cases, cyber attacks that use the vulnerability of the security of the source code, in particular, has a characteristic response that are difficult to security equipment. Therefore, it is necessary to eliminate the security vulnerability from step to implement the software to prevent these attacks. In this paper, we try to design a Secure Coding Guide support tool to eliminate the threat of security from the stage of implementation.

• Review of KIISC
• /
• v.32 no.5
• /
• pp.7-14
• /
• 2022

2021년에 발생한 일련의 소프트웨어 공급망 공격으로 미국 연방 정부의 사이버보안 개선 정책이 가속됐다. 이중 소프트웨어 구성 정보를 유통하는 SBOM 정책은 SW 구성요소의 투명성을 강화하여, 이를 활용하는 공급자와 수요자의 보안 인식 개선에도 도움을 줄 것이 기대된다. 다만 SBOM으로 공급망 보안 위협을 완화하려면 해결해야 할 기술적 이슈가 있고, SBOM 수집자를 위한 구체적인 가이드도 마련되지 않아 제도 정착에는 시간이 걸린다. SW 공급망 문제는 SW 개발 관행에 대한 지속적인 개선이 요구되며, 글로벌 연쇄 위험으로 결코 혼자서는 해결할 수 없다. 따라서 우리는 실태조사, 실증사업 등을 시작으로 현실에 맞는 정책을 먼저 적용하고, 제도적 조화를 위한 국제협력에도 힘써야 한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2012.06c
• /
• pp.292-294
• /
• 2012

최근 모바일과 테블릿 등의 휴대용 디바이스들 활성화로 인해서 어플리케이션의 종류가 확대되고 누구나 어플리케이션 개발에 쉽게 어플리케이션 제작을 할 수 있어짐에 따라서 개발 조직의 소규모와 개인 개발자들의 활동이 늘어가고 있다. 하지만 현재 앱에 관련된 소프트웨어의 개발 방법론은 많지 않다. 그래서 이 논문에서는 1)소프트웨어의 보안개발주기의 최소화를 통해 개발자들에게는 보안가이드 라인을 제공하고 2)소규모의 개발자들이 주어진 보안개발 방법론을 따라 품질과 보안성을 향상하고 3)정부나 앱스토어의 검증성을 높여서 고객이 신뢰하고 검증된 모바일 어플리케이션을 사용할 수 있게 하는 것이다.

• Review of KIISC
• /
• v.25 no.1
• /
• pp.18-25
• /
• 2015

컴퓨터와 네트워크가 보안 상 안전하려면 무엇보다 사용되는 시스템 및 응용 프로그램에 보안약점이 없어야 한다. 보안약점은 공격자가 이용하여 제어 흐름을 탈취하거나 원하는 정보를 유출할 수 있게 하는 프로그램 상의 불완전한 부분을 뜻한다. 보안약점이 없는 프로그램을 만들기 위한 방법으로 시큐어 코딩 규칙을 정의하고, 프로그램 개발 단계에서 이를 적용하게 할 수 있다. 코딩 과정에서 시큐어 코딩 규칙을 준수하여 보안약점 발생을 억제하는 방법은 예방적 조치이다. 아무런 규칙 없이 코딩을 진행한 후 보안약점을 분석, 제거하는 방법보다 프로그래머들에게 부담이 적고, 정적 분석을 사용하여 보안약점을 분석하는 도구들의 치명적인 약점인 오탐 비율을 낮춘다. 이 글은 2014년까지 소프트웨어 개발 보안 센터를 중심으로 진행된 행정자치부의 C/C++, Java, PHP 프로그래밍 언어를 위한 시큐어 코딩 가이드에 대하여 설명한다.

• Journal of the Korea Institute of Information and Communication Engineering
• /
• v.21 no.5
• /
• pp.945-950
• /
• 2017

Due to the vulnerability of the software, there is a hacking attack on the country's cyber infrastructure and real financial assets. Software is an integral part of the operating system and execution system that controls and operates Internet information provision, cyber financial settlement and cyber infrastructures. Analyzing these software vulnerabilities and enhancing security will enhance the security of cyber infrastructures and enhance the security of actual life in the actual country and people. Software development security system analysis and software development Security diagnosis analysis and research for enhancing security of software vulnerability. In addition, we will develop a textbook for the training of software vulnerability diagnosis and maintenance education, develop pilot test problems, pilot test of diagnostic staff, The purpose of this study is to enhance the software security of the cyber infrastructures of national and national life by presenting curriculum and diagnosis guide to train the software vulnerability examiner.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2021.11a
• /
• pp.449-452
• /
• 2021

산업제어시스템은 IT 기술의 발전에 따라 다양한 기기 환경과 네트워크를 적용해 진화하고 있다. 이러한 상황에서 사이버 보안의 위협은 가중되고 있으며, 이를 예방하는 방법의 하나로 산업제어시스템에 탑재되는 소프트웨어의 소스코드 개발 과정에서 보안 취약점을 예방하기 위해 소스코드 보안 룰을 적용하여 위반사항을 제거한다. 본 연구에서는 소스코드 보안 룰에서 적용 우선순위를 선정하기 위한 가이드를 개발한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2010.06d
• /
• pp.61-66
• /
• 2010

소프트웨어 보증은 소프트웨어의 신뢰성, 예측 가능한 실행으로 정의할 수 있다. 신뢰성은 악의적인 의도로 발생할 수 있는 버퍼 오버플로, 메모리 릭 등의 보안 취약점이 존재하지 않아야 한다는 것이고, 예측 가능한 실행은 소프트웨어가 개발 시 의도한대로 실행되어야 한다는 것 이다. 소프트웨어 보증을 위한 작업은 소프트웨어 개발 생명 주기의 개발과 유지보수 단계 모두에서 수행되어야 한다. 국외 기관인 NIST, SANS 등은 개발 단계에서의 보증을 위해 필요한 툴, 프로그래밍 가이드라인, 오류 식별 문서 등을 공개하고 관련 프로젝트를 지원하였다. 본 논문에서는 상대적으로 연구가 부족한 유지보수 단계에서의 소프트웨어 보증을 위해 신뢰와 평판 기반의 소프트웨어 보증 시스템을 구현하였다. 본 시스템은 사용자에게 해당 소프트웨어에 대한 다른 사용자의 평판과 다양한 의견을 제공하고, 이에 따른 신뢰도를 함께 제공한다. 이는 사용자가 안전한 소프트웨어를 선별하고 사용하는데 도움을 준다.

• Journal of Software Engineering Society
• /
• v.28 no.1
• /
• pp.13-22
• /
• 2019

To enhance effective and efficient applications of automated security vulnerability checkers in highly competitive and fast-evolving IT industry, this paper studies a comprehensive set of security bug checkers in open-source static analysis frameworks and how they can be utilized for source code inspections according to the security vulnerability inspection guidelines by MOIS. This paper clarifies the relationship be tween all 42 inspection criteria in the MOIS guideline and total 323 security bug checkers in 4 popular open-source static analysis frameworks for Java web applications. Based on the result, this paper also discuss the current challenges and issues in the MOIS guideline, the comparison among the four security bug checker frameworks, and also the ideas to improve the security inspection methodologies using the MOIS guideline and open-source static security bug checkers.