• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2013년도 추계학술발표대회
• /
• pp.680-683
• /
• 2013

방화벽, 백신, IPS, 취약점 점검 시스템 등 중요 시스템의 보안을 위해 다수의 소프트웨어들이 운용되고 있다. 그 중 취약점 점검 시스템은 중요 서버의 보안 취약점을 점검하여 사전에 보안 위협을 예방한다는 측면에서 중요하다. 그러나 서버의 취약점을 점검해주는 소프트웨어 자체에 취약점이 존재한다면 취약점 보완을 위해 도입한 시스템이 취약점을 내포하고 있는 모순된 상황을 발생시킨다. 본 논문에서는 취약점 점검 시스템의 매니저와 에이전트의 점검 패킷을 분석하여 데이터 필드에 임의의 값을 주입하는 SPIKE 기반의 퍼즈 테스팅 기법으로 매니저와 에이전트 모두에서 DoS(Denial of Service) 취약점을 발견하였다. 해당 취약점은 다수의 SQL 세션을 생성하고 시스템의 CPU 점유율을 100%로 높여 시스템의 다른 서비스조차 이용할 수 없는 상태를 보였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2010년도 춘계학술발표대회
• /
• pp.796-799
• /
• 2010

인터넷의 발전으로 인터넷을 통한 서비스가 증대하고 있다. 반면 응용 소프트웨어의 보안 취약점으로 인해 국가, 기업, 개인 모두에게 정보보호의 중요성이 더욱 강조 되고 있다. 임베디드 소프트웨어인 우주, 항공, 원자력 소프트웨어 등 오류 없이 수행되어야 하는 고안전성 소프트웨어의 개발기법은 이제 응용 소프트웨어의 보안강화 활동에 활용 되고 있다. 특히 시큐어 코딩 (Secure Coding)은 방어적 프로그램(Defensive Programming)을 포함하는 개념으로 소프트웨어의 안전성과 보안성을 향상 시킬 수 있다. 본 논문에서는 범용 보안 취약가능성 분석 도구를 이용하여 소프트웨어의 취약 가능성을 분석하고 보안 취약점 유발 명령어를 분류한다. 그 다음에 시큐어 코딩 기법을 적용하여 취약한 코드를 개선하였다. 이러한 개선을 통해 보안 취약성 가능한 코드 부분을 손쉽게 수정하여 소프트웨어 보안을 개선할 수 있다.

• 정보보호학회지
• /
• 제26권1호
• /
• pp.27-33
• /
• 2016

보안 약점은 소스코드의 공개 여부와는 관계없이 존재하며, 소프트웨어의 취약점으로 이어질 수 있다. 소스코드가 공개된 소프트웨어의 경우 소스 코드 분석을 통해 보안 약점을 제거하지만, 소스코드가 공개되지 않고 바이너리 형태의 실행파일만 제공되는 소프트웨어의 경우에는 보안 약점을 찾기가 어렵다. 비정상 데이터를 임의로 생성하여 파일 또는 표준입력 형태로 입력하는 퍼징 기법은 위와 같은 소스코드가 공개되지 않은 소프트웨어의 취약점을 찾기 위한 기술이다. 본 논문에서는 소스코드가 없는 상용 및 공개 소프트웨어의 보안 약점을 진단하기 위해 퍼징 기법을 활용하는 방법을 제시하고, 공개된 퍼징 도구 및 프레임워크를 이용하여 설치부터 소프트웨어의 진단 및 발견된 보안 약점을 분석, 제거 등의 퍼징 프로세스를 소개하여 상용 및 공개 소프트웨어 취약점 발견에 도움을 줄 것으로 기대한다.

• 한국산학기술학회논문지
• /
• 제18권11호
• /
• pp.46-52
• /
• 2017

최근 ICT 및 IoT 제품의 활용 분야가 다양화 되면서 오픈소스 소프트웨어의 활용 분야가 컴퓨터, 스마트폰, IoT 디바이스 등 다양한 기기와 환경에서 활용되고 있다. 이처럼 오픈소스 소프트웨어의 활용분야가 다양해짐에 따라 오픈소스의 보안 취약점을 악용하는 불법적인 사례가 지속적으로 증가하고 있다. 이에 따라 다양한 시큐어 코딩을 위한 도구나 프로그램이 출시되고 활용되고 있지만 여전히 많은 취약점들이 발생하고 있다. 본 논문에서는 안전한 오픈 소스 소프트웨어 개발을 위해 오픈 소스의 취약점 분석 결과에 의한 이력과 패턴을 지속적으로 학습하여 신규 취약점 분석에 활용할 수 있는 방법을 제안한다. 본 연구를통해 취약점 이력 및 패턴 학습기반의 취약점 분석 시스템을 설계하였으며, 프로토타입으로 구현하여 실험을 통해 시스템의 성능을 평가하였다. 5개의 취약점 항목에 대해 평균 취약점 검출 시간은 최대 약 1.61sec가 단축되었으며, 평균 검출 정확도는 약 44%point가 향상된 것을 평가결과에서 확인할 수 있었다. 본 논문의 내용 및 결과는 소프트웨어 취약점 연구 분야에 대한 발전과 소프트웨어 개발자들의 취약점 분석을 통한 시큐어 코딩에 도움이 될 것을 기대한다.

• 정보보호학회논문지
• /
• 제29권3호
• /
• pp.557-564
• /
• 2019

소프트웨어의 증가에 따라 소프트웨어의 취약점도 함께 증가하고 있다. 다양한 소프트웨어는 다수의 취약점이 존재할 수 있으며 취약점을 통해 많은 피해를 받을 수 있기 때문에 빠르게 탐지하여 제거해야 한다. 현재 소프트웨어의 취약점을 발견하기 위해 다양한 연구가 진행되고 있지만, 수행 속도가 느리거나 예측 정확도가 높지 않다. 따라서 본 논문에서는 신경망 알고리즘을 이용하여 소프트웨어의 취약 여부를 효율적으로 예측하는 방법을 제안하며 나아가 기계학습 알고리즘을 이용한 기존의 시스템과 예측 정확도를 비교한다. 실험 결과 본 논문에서 제안하는 예측 시스템이 가장 높은 예측률을 보였다.

• 정보보호학회논문지
• /
• 제22권5호
• /
• pp.1169-1178
• /
• 2012

최근 대부분의 소프트웨어는 인터넷 환경에서 네트워크를 중심으로 데이터를 교환하기 때문에, 소프트웨어 자체의 보안성이 큰 이슈로 다루어지고 있다. 또한 소프트웨어 개발 과정에서 시큐어 코딩 규칙을 적용하여 소프트웨어의 취약점을 최소화하고 안전성이 높은 코드로 개발하려는 노력이 이루어지고 있다. 하지만 소프트웨어 취약점을 이용한 공격 사례들이 한 가지 공격이 아닌 복합 공격의 형태를 띠고 있어 단일 특성 분석으로는 소프트웨어 취약점 분석에 한계가 있다. 본 연구에서는 소프트웨어의 다양한 특성 중에 하나인 결합도를 기반으로 복합 소프트웨어 취약점을 이용한 공격에 대응하고자 하였다. 더불어 여러 공격 방법의 조합을 이용한 복합 공격 패턴을 사전 분석하여 소프트웨어 내의 모듈간의 파급력과 연관관계에 있는 모듈의 공격 가능한 패턴을 예측하고 이에 대한 소프트웨어 취약점을 분석할 수 있는 방법을 제시한다.

• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 2006년도 하계학술대회
• /
• pp.795-798
• /
• 2006

최근 소프트웨어의 복잡도가 증가되어감에 따라 소프트웨어 취약점 검출에 대한 정형화된 방법과 자동화된 도구가 필요하게 되었다. 본 논문에서는 기존의 소프트웨어 테스트에서 고려되지 않았던 보안을 고려한 테스트라는 측면에서 자동화된 도구를 이용하여 소스가 없고 바이너리 코드만 있는 경우 결함 주입 기법을 통해 취약점 분석 방법을 보여주며, 윈도우즈 환경에서 사용되는 응용프로그램에 대한 상호 비교를 통해 향후 발생할 취약점에 대한 예방과 회피에 활용 될 사례를 보여주고 있다.

• 한국소프트웨어감정평가학회 논문지
• /
• 제16권2호
• /
• pp.45-52
• /
• 2020

소스 코드의 보안 취약점을 탐지하는 전통적인 방법은 많은 시간과 노력을 필요로 한다. 만약 보안 취약점 유형들에 대한 좋은 품질의 데이터가 있다면, 이와 머신러닝 기술을 활용해 효과적으로 문제를 해결할 수 있을 것이다. 이에 본 논문은 정적 프로그램 분석에 머신러닝 기술을 활용하여 소스 코드에서 보안 취약점을 탐지하는 방법을 제시하고, 실험을 통하여 가능성을 보인다. 메소드 단위의 코드 조각의 의미를 해석하여 메소드의 이름을 예측하는 code2vec 모델을 사용하고, 모델을 생성하고 검증 및 평가를 하기 위한 데이터로 흔히 발생할 수 있는 보안 취약점을 모아놓은 Juliet Test Suite를 사용하였다. 모델 평가 결과 약 97.3%의 정밀도와 약 98.6%의 재현율로 매우 희망적인 결과를 확인하였고 오픈 소스 프로젝트의 취약점을 탐지함으로써 가능성을 보였다. 향후 연구를 통해 다른 취약점 유형과 다양한 언어로 작성된 소스 코드에 대해서 대응함으로써 기존의 분석 도구들을 대체할 수 있을 것이다.

• 정보보호학회논문지
• /
• 제25권4호
• /
• pp.961-974
• /
• 2015

ESM에서 SIEM으로의 발전은 더 많은 데이터를 기반으로 상관분석을 할 수 있게 되었다. 취약점 진단에서 발견된 소프트웨어 취약점을 CWE와 같은 분류 표준으로 수집을 한다면, 로그 분석 및 취합, 보안관제 및 운용 과정 등에서 통일된 유형의 메시지를 활용함으로써 초기대응단계에서의 귀중한 시간절약으로 신속하게 대응할 수 있고, 모든 대응 단계에서 일관성을 유지하여 처리할 수 있게 된다. 취약점 진단과 모니터링 단계에서 CCE, CPE, CVE, CVSS 정보를 공유하여, 사전에 정의된 위협에 대해서만 탐지하지 않고, 각 자산이 가지고 있는 소프트웨어 취약점을 유기적으로 반영할 수 있도록 하고자 하였다. 이에 본 논문에서는 SIEM의 빅데이터 분석 기법을 활용하여 소프트웨어 취약점에 대한 위협을 효과적으로 탐지하고 대응할 수 있는 모델을 제안하고 적용해본 결과 기존의 방법으로 탐지할 수 없었던 소프트웨어 취약점을 탐지함으로서 효과적임을 확인하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2004년도 춘계학술발표대회
• /
• pp.1023-1026
• /
• 2004

최근 소프트웨어 보안취약성 분석의 일환으로 프로그램 소스가 없고 기계어 프로그램만 제공되는 소프트웨어의 보안 취약점을 분석하는 연구가 많이 수행되고 있다. 본 논문에서는 MS 윈도우 2000 운영체제의 IIS 웹서버를 대상으로, WebDAV의 한 버퍼 오버플로우 취약점을 공격하여 취약성을 재현한 후, 디버거 및 역공학 도구를 사용하여 해당 보안 취약점을 가진 코드를 분석하는 방법을 제시하였다. 본 연구 결과는 취약성분석 절차 방법 및 신뢰성 있는 소프트웨어 개발에 기여할 수 있을 것으로 기대된다.