• Journal of the Korea Society of Computer and Information
• /
• v.17 no.2
• /
• pp.127-137
• /
• 2012

Recently, as modern Internet uses mashups, Web 3.0, JavaScript/AJAX widely, the rate at which new vulnerabilities are being discovered is increasing rapidly. It can subsequently introduce big security threats. In order to efficiently mitigate these web application vulnerabilities and security threats, it is needed to rank vulnerabilities based on severity and consider the severe vulnerabilities during a specific phase of software development lifecycle (SDLC) for web applications. In this paper, we have first verified whether the risk rating methodology of OWASP Top 10 vulnerabilities is a reasonable one or not by analyzing the vulnerability data of web applications in the US National Vulnerability Database (NVD). Then, by inspecting the vulnerability information of web applications based on OWASP Top-10 2010 list and CWE (Common Weakness Enumeration) directory, we have mapped the web-related entries of CWE onto the entries of OWASP Top-10 2010 and prioritized them. We have also presented which phase of SDLC is associated with each vulnerability entry. Using this approach, we can prevent or mitigate web application vulnerabilities and security threats efficiently.

• Journal of the Korea Academia-Industrial cooperation Society
• /
• v.20 no.6
• /
• pp.541-547
• /
• 2019

Recent developments in hacking technology are continuing to increase the number of new security vulnerabilities. Approximately 80,000 new vulnerabilities have been registered in the Common Vulnerability Enumeration (CVE) database, which is a representative vulnerability database, from 2010 to 2015, and the trend is gradually increasing in recent years. While security vulnerabilities are growing at a rapid pace, responses to security vulnerabilities are slow to respond because they rely on manual analysis. To solve this problem, there is a need for a technology that can automatically detect and patch security vulnerabilities and respond to security vulnerabilities in advance. In this paper, we propose the technology to extract the features of the vulnerability-discovery target binary through complexity analysis, and select a vulnerability-discovery strategy suitable for the feature and automatically explore the vulnerability. The proposed technology was compared to the AFL, ANGR, and Driller tools, with about 6% improvement in code coverage, about 2.4 times increase in crash count, and about 11% improvement in crash incidence.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2015.10a
• /
• pp.753-756
• /
• 2015

Internet technology is universal, news from the Web browser, shopping, search, etc., various activities have been carried out. Its size becomes large, increasing the scale of information security incidents, as damage to this increases the safety for the use of the Internet is emphasized. IE browser is ASLR, such as Isolated Heap, but has been continually patch a number of vulnerabilities, such as various protection measures, this vulnerability, have come up constantly. And, therefore, in order to prevent security incidents, it is necessary to be removed to find before that is used to exploit this vulnerability. Therefore, in this paper, we introduce the purge is a technique that is used in the discovery of the vulnerability, we describe the automation technology related thereto. And utilizing the known vulnerabilities, and try to show any of the typical procedures for the analysis of the vulnerability.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2017.11a
• /
• pp.220-223
• /
• 2017

세계적인 웹 어플리케이션 취약점을 다루는 OWASP(The Open Wed Application Security Project) TOP 10 [1]에 따르면 빈도가 높고 영향이 큰 취약점들은 모두 철저한 웹 보안 코드를 작성하면 어느 정도 예방할 수 있다는 결론이 나왔다. 이에 따라 최근 국내에서 일어난 웹 사이트의 취약점 사례를 알아보고 그 대응법에 대하여 분석한 후, 직접 개발한 웹 사이트에 웹 보안 코드를 적용할 수 있도록 하였다. 또한, 소프트웨어 공학자를 위한 java 시큐어코딩 가이드를 숙지하여 웹 개발 시 보안 유지를 강화하였다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2023.07a
• /
• pp.597-598
• /
• 2023

본 논문에서는 상용 소프트웨어나 웹, 앱, 클라우드 서비스 등 다양한 IT 서비스에서 취약점이 발생하는 근본적인 원인을 알아보고 그에 대한 효과적이고 미래지향적인 대응 방안을 제안한다. 이 대응 방안은 공개된 취약점들을 학습한 인공지능 모듈을 기존의 개발환경에 도입하는 것을 통해 개발 중인 서비스의 설계 문제에 대해 즉각적인 피드백을 줌으로서 작업 효율을 높이고 피드백한 취약점의 위험도를 함께 알려줌으로 혹여 미흡했을 수 있는 개발자의 기존 보안 의식 수준을 높여서 IT 시장에 전체적으로 긍정적인 영향을 끼칠 수 있을 것이라 보여진다. 이 과정을 통해 IT 보안 관점에서 인공지능의 양면성을 바라보고 점점 발전해 가는 인공지능 기술 앞에 우리가 각추어야할 자세를 제안하고자 한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2013.11a
• /
• pp.740-743
• /
• 2013

클라우드 컴퓨팅 환경에서는 사용자의 데이터를 수많은 분산서버를 이용하여 데이터를 암호화하여 저장한다. 구글, 야후 등 글로벌 인터넷 서비스 업체들은 인터넷 서비스 플랫폼의 중요성을 인식하고 자체 연구 개발을 수행, 저가 상용 노드를 기반으로 한 대규모 클러스터 기반의 클라우드 컴퓨팅 플랫폼 기술을 개발 활용하고 있다. 이와 같이 분산 컴퓨팅 환경에서 다양한 데이터 서비스가 가능해지면서 대용량 데이터의 분산관리가 주요 이슈로 떠오르고 있다. 한편, 대용량 데이터의 다양한 이용 형태로부터 악의적인 공격자나 내부 사용자에 의한 보안 취약성 및 프라이버시 침해가 발생할 수 있다. 특히, 하둡에서 데이터 블록의 권한 제어를 위해 사용하는 블록 접근 토큰에도 다양한 보안 취약점이 발생한다. 이러한 보안 취약점을 보완하기 위해 본 논문에서는 비밀분산 기반의 블록 접근 토큰 관리 기법을 제안한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2023.05a
• /
• pp.111-112
• /
• 2023

IoT 산업의 규모가 커짐에 따라서 IoT 디바이스 간의 통신 프로토콜에 대한 위협도 증가하고 있으며, 이에 따라 IoT 프로토콜에 대한 보안의 중요성이 대두되고 있다. 하지만 IoT 프로토콜 중 비교적 최근에 등장한 프로토콜인 CoAP 프로토콜에 대한 연구는 아직 충분하지 않으며, CoAP에 대한 기존의 연구는 커버리지를 고려하지 않은 퍼저를 사용하였다. 따라서 이번 연구에서는 커버리지를 고려한 CoAP대상 퍼저를 개발하고 CoAP의 잠재적인 취약성을 점검한다. CoAP의 c 구현체인 libcoap 라이브러리를 대상으로 퍼징한 결과, 총 2개의 힙 버퍼 오버 플로우 취약점을 발견하였다.

• Journal of Korea Multimedia Society
• /
• v.8 no.2
• /
• pp.233-248
• /
• 2005

An intrusion tolerant technology has been introduced as a solution to prevent intrusion accident for unknown fragility or attack. However, a systematic modeling technique is not applied into a system design and development based on intrusion tolerant technology. Especially, elements such as availability, integrity, reliability, confidentiality, and so on are important requirements in intrusion tolerant system. Nevertheless, current most of UML-based modeling techniques pass over or don't provide design techniques reflecting those requirements. Therefore, we know these weaknesses and propose both profile and design technique reflecting and applying intrusion tolerant requirements systematically in the development of application software based on intrusion tolerance. We expect that proposed technique can extend not only current UML's limitations but also can improve the quality of application software based on intrusion tolerance.

• The Journal of the Convergence on Culture Technology
• /
• v.9 no.6
• /
• pp.1017-1029
• /
• 2023

A large amount of transactions are taking place through Blockchain. Among them, the proportion of transactions through smart contracts is increasing. Accordingly, problems such as vulnerability attacks on smart contracts and fraud using smart contracts are increasing. Through security audits of smart contracts, developers can discover and resolve vulnerabilities, and users can distinguish whether smart contracts are fraudulent. However, there are currently no regulations and standards for security auditing of smart contracts, so services that perform security auditing are uneven. In this paper, we analyze security audit trends for smart contracts and identify what services are being provided. We investigate what elements are analyzed from smart contracts, focusing on security audit reports. Also, investigate what vulnerabilities can be detected. Finally, we investigate quality indicators for smart contracts and visualization elements of design extraction. Through this, we hope to be able to find visualization elements specialized for smart contracts.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2015.10a
• /
• pp.617-619
• /
• 2015

최근 IT 제품의 활용의 증가와 함께 소프트웨어는 컴퓨터를 넘어 적용 범위가 더욱 넓어지고 그에 따른 수요 또한 급격히 성장하고 있다. 또한 상용 소프트웨어와 더불어 오픈소스 소프트웨어(Open Source Software)의 수요도 함께 급성장하고 있다. 하지만 오픈소스 소프트웨어는 보안에 대한 전문지식이 없는 개발자에 의해 개발이 이루어진다. 이에 하트블리드(HeartBleed), 쉘쇼크(ShellShock)와 같은 다양한 보안취약점(Security Vulnerabilities)이 발생하고 있으며 공격으로 이어지는 사례도 늘고 있다. 따라서 본 논문에서는 다른 소프트웨어 점검 도구들과 연계하여 발견된 보안취약점이 익스플로잇터블(Exploitable)한 지 검증하는 엔진을 제안한다.