• 인터넷정보학회논문지
• /
• 제14권3호
• /
• pp.23-33
• /
• 2013

최근 IT분야에서 클라우드 컴퓨팅 기술은 유연성, 효율성, 비용절감이라는 특징을 갖고 있어 현 사회에 빠르게 보급되고 있다. 그러나 클라우드 컴퓨팅 시스템은 보안의 취약점을 크게 갖고 있다. 본 연구에서는 클라우드 컴퓨팅 시스템 보안의 취약점 해결을 위해, 가상머신의 취약점에 대한 유형 및 영향분석 타입(impact type)을 정하고, 가상머신의 취약점에 대한 위험도 평가에 따른 우선순위를 정하였다. 취약점 분석을 위해서는 오픈프레임워크인 CVSS2.0을 기반으로 취약점에 대한 위험도 측정 기준을 정의하고 해당 취약점마다 점수를 매겨 위험도 측정을 체계화하였다. 제시된 취약점 위험도 기준은 취약점의 근본적인 특징을 제시하고 취약점에 대한 위험도를 제공하여 취약점 최소화를 위한 기술적 가이드를 작성하는 데에 활용 가능할 것으로 판단된다. 또한 제시된 취약점 위험도 기준은 연구내용 자체로 의미가 있으며 향후 추진될 기술 정책프로젝트에서 활용될 수 있다.

• 한국산학기술학회논문지
• /
• 제19권12호
• /
• pp.863-871
• /
• 2018

본 논문에서는 기존의 취약점 분석 도구들의 미탐지, 오탐지, 과탐지를 발생시켜 정확한 취약점 탐지를 어렵게 하는 문제점을 해결하고 분석 대상이 되는 어플리케이션의 위험도를 평가하여 안전한 어플리케이션을 개발하거나 관리할 수 있는 정적 및 동적 분석을 이용한 크로스 체크기반의 취약점 탐지 기법을 제안한다. 또한 각각의 취약점이 가지고 있는 자체 위험도를 계산하고 정확도를 높인 취약점 탐지 기법을 바탕으로 최종적인 어플리케이션의 위험도를 평가, 제시함으로서 안전한 어플리케이션의 개발 및 운영을 돕는다. 제안하는 기법은 정적 분석 및 동적 분석 기법을 사용하는 도구들의 상호작용을 통해 각 기법의 단점들을 극복하여 취약점 탐지 정확도를 향상시킨다. 또한 기존의 취약점 위험도평가 시스템은 취약점 자체 위험도에 대해서만 평가하였으나, 제안하는 위험도 평가는 취약점 자체 위험도와 탐지 정확도를 복합적으로 반영하여 어플리케이션이 얼마나 위험에 노출되어 있는지를 평가한다. 제안하는 기법은 CWE에서 SANS top 25의 상위 10위 항목을 기준으로 기존의 분석 도구들과 탐지 가능한 목록, 탐지 정확도를 비교분석하였으며, 기존의 취약점 위험도에 대한 정량적 평가 시스템과 제안하는 어플리케이션 위험도 평가 결과를 비교 분석 및 평가하였다. 제안하는 기법으로 프로토타입 분석 툴을 구현하여 실험을 통해 어플리케이션의 취약점을 분석하였을 때, 기존의 분석 도구들의 취약점 탐지 능력보다 우수한 것으로 나타났다.

• 정보보호학회논문지
• /
• 제31권4호
• /
• pp.779-791
• /
• 2021

보통의 웹 서비스는 불특정 다수에게 허용을 해야하는 접근 통제 정책으로 인하여, 지속적으로 해커들의 공격 대상이 되어 왔다. 이러한 상황에 대응하고자 기업들은 주기적으로 웹 취약점 점검을 실시하고, 발견된 취약점의 위험도에 따라 조치를 취하고 있다. 이러한 웹 취약점 위험도는 국내외 유관기관의 사전 통계 및 자체적인 평가를 통해 산정되어 있다. 하지만 웹 취약점 점검은 보안설정 및 소스코드 등의 정적 진단과는 달리 동적 진단으로 이루어진다. 동일한 취약점 항목일지라도 다양한 공격 결과를 도출할 수 있으며, 진단 대상 및 환경에 따라 위험도가 달라질 수 있다. 이러한 점에서 사전 정의된 위험도는 실제 존재하는 취약점의 위험도와는 상이할 수 있다. 본 논문에서는 이러한 점을 개선하고자 사이버 킬체인 중심으로 공격 결과 기반의 웹 취약점 위험도 평가 모델을 제시한다.

• 한국정보통신학회논문지
• /
• 제27권1호
• /
• pp.87-96
• /
• 2023

보안 취약점 수가 해마다 증가함에 따라 보안 위협이 지속해서 발생하고 있으며 취약점 위험도의 중요성이 대두되고 있다. 본 논문에서는 보안 취약점 위험도 판단을 위해 동향을 반영한 보안 위협 스코어링 산출식을 고안하였다. 세 단계에 따라 공격 유형과 공급업체, 취약점 동향, 최근 공격 방식과 기법 등의 핵심 항목 요소를 고려하였다. 첫째로는 공격 유형, 공급업체와 CVE 데이터의 관련성 확인 결과를 반영한다. 둘째로는 LDA 알고리즘으로 확인된 토픽 그룹과 CVE 데이터 간 유사성 확인을 위해 자카드 유사도 기법을 사용한다. 셋째로는 최신 버전 MITRE ATT&CK 프레임워크의 공격 방법, 기술 항목 동향과 CVE 간의 관련성 확인 결과를 반영한다. 최종 보안 취약점 위협 산출식 CTRS의 활용성 검토를 위해 공신력 높은 취약점 정보 제공 해외 사이트 내 데이터에 제안한 스코어링 방식을 적용하였다. 본 연구에서 제안한 산출식을 통하여 취약점과 관련된 일부 설명만으로도 관련성과 위험도가 높은 취약점을 확인하여 신속하게 관련 정보를 인지하고 대응할 수 있다.

• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 2001년도 종합학술발표회논문집
• /
• pp.29-32
• /
• 2001

본 논문에서는 현재 대두되고 있는 IT 보안정책중 위험관리의 한 분야인 위험분석 과정을 살펴보았다. 그 중에서도 위험분석의 핵심 역할을 수행하는 취약점 분석 과정에 대해서 연구하였다. 먼저 보안관리와 위험관리의 일반적인 개념을 설명하였고, 다음은 취약점 분석의 중요성을 설명하면서 효율적인 취약점 분석을 위해 단계별 분석과정을 도식화하였다. 그리고 각 분석 단계마다 간략한 모듈을 만들어 단순하면서도 체계적인 분석 방법을 제시하였다

• 정보처리학회논문지:소프트웨어 및 데이터공학
• /
• 제5권3호
• /
• pp.139-144
• /
• 2016

소프트웨어 개발 시 보안을 고려한 개발방법의 적용은 추가비용을 발생시키고, 이러한 추가 비용은 많은 개발조직에서 보안을 고려하지 못하는 원인이 된다. 보안을 고려한 개발을 진행 하더라도, 주어진 비용 내에서 처리할 수 있는 취약점 처리량을 산출하는 방법이 부족한 실정이다. 본 논문에서는 보안 취약점 처리 비용을 효율적으로 사용하여 취약점 처리량을 산출하는 방법을 제안한다. 제안한 방법에서는 소프트웨어 개발단계 중 구현 단계에 중점을 두고, 정적 분석 툴을 활용하여 CWE TOP25에 대한 보안 취약점을 찾아낸다. 찾아진 취약점은 CWE의 정보를 활용하여, 각 취약점의 위험도, 처리 비용, 비용 당 위험도를 정의하고, 처리 우선순위를 정의한다. 정의된 우선순위를 통하여 탐지된 취약점 처리에 소모되는 비용을 산출하고, 투입 비용 내에서 취약점 처리량을 제어한다. 본 방법을 적용하면, 투입 비용 내에서 최대의 취약점의 위험도를 처리할 수 있을 것으로 기대된다.

• 한국콘텐츠학회논문지
• /
• 제18권8호
• /
• pp.459-468
• /
• 2018

무기체계 관련 어플리케이션과 국방 관련 기관에서 활용하는 정보시스템이 사이버 공격을 받을 경우 국가의 안보가 위험해지는 결과를 초래한다. 이러한 위험을 줄이기 위해 개발 단계에서부터 시큐어 코딩을 적용하거나, 발견된 취약점들을 체계적으로 관리하기 위한 노력이 지속적으로 행해지고 있다. 또한 다양한 분석 도구를 이용하여 취약점을 분석, 탐지하고 개발 단계에서 취약점을 제거하거나, 개발된 어플리케이션에서 취약점을 제거하기 위해 노력하고 있다. 그러나 취약점 분석 도구들은 미탐지, 오탐지, 과탐지를 발생시켜 정확한 취약점 탐지를 어렵게 한다. 본 논문에서는 이러한 문제점 해결방안으로 분석 대상이 되는 어플리케이션의 위험도를 평가하고 이를 기반으로 안전한 어플리케이션을 개발 및 관리할 수 있는 취약점 탐지기법을 새롭게 제안하였다.

• 한국컴퓨터정보학회논문지
• /
• 제17권2호
• /
• pp.127-137
• /
• 2012

최근에 매쉬업(mashups), 웹 3.0, JavaScript, AJAX (Asynchronous JavaScript XML) 등이 널리 사용되면서, 새로운 취약점들이 발견되고 있어 보안 위협이 더 증대되고 있다. 이러한 웹 애플리케이션 취약점과 보안 위협을 효율적으로 완화하기 위해, 그 취약점들을 위험도 기준으로 순서화하여 웹 애플리케이션의 개발 생명주기의 해당 단계에서 우선적으로 고려해야 한다. 본 논문에서는 미국 NVD(National Vulnerability Database)의 웹 애플리케이션 취약점에 대한 데이터를 분석하여, OWASP Top 10 취약점들의 위험도 산정 방법이 타당한 지를 검증하였다. 그 다음, OWASP Top-10 2010과 CWE (Common Weakness Enumeration) 데이터를 중심으로 웹 애플리케이션 취약점 정보를 분석하여 웹 취약점들을 사상시켜 순서화하고, 그 취약점들이 어떤 개발 생명주기 단계와 관련이 있는지를 제시하였다. 이를 통해 효율적으로 웹 보안 위협과 취약점을 예방하거나 완화할 수 있다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2016년도 추계학술대회
• /
• pp.347-350
• /
• 2016

소프트웨어의 취약점분석에 대한 위험이 발생하고 있다. 소프트웨어의 취약점을 통해 물질적, 금전적인 피해가 발생함에 따라 보안강화의 중요성이 대두되고 있다. 위험잠재요소가 있는 소프트웨어를 사용하는 경우 제조한 기업뿐만이 아닌 해당 소프트웨어를 사용하는 기업 및 개인까지 손실의 위험이 크기 때문에 본 논문에서는 소프트웨어의 취약점을 진단하고, 진단원을 양성하는 교육과정과 진단가이드를 제시하며, 소프트웨어의 취약점 보안성 강화방식을 제안하고자 한다.

• 정보보호학회논문지
• /
• 제28권6호
• /
• pp.1449-1461
• /
• 2018

소프트웨어 취약점의 수가 해마다 증가함에 따라 소프트웨어에 대한 공격 역시 많이 발생하고 있다. 이에 따라 보안 관리자는 소프트웨어에 대한 취약점을 파악하고 패치 해야 한다. 그러나 모든 취약점에 대한 패치는 현실적으로 어렵기 때문에 패치의 우선순위를 정하는 것이 중요하다. 본 논문에서는 NIST(National Institute of Standards and Technology)에서 제공하는 취약점 자체 정보와 더불어, 공격 패턴이나 취약점을 유발하는 약점에 대한 영향을 추가적으로 고려하여 취약점의 위험도 평가 척도를 확장한 스코어링 시스템을 제안하였다. 제안하는 스코어링 시스템은 CWSS의 평가 척도를 기반으로 확장했으며, 어느 기업에서나 용이하게 사용할 수 있도록 공개된 취약점 정보만을 활용하였다. 이 논문에서 실험을 통해 제안한 자동화된 시스템을 소프트웨어 취약점에 적용함으로써, 공격 패턴과 약점에 의한 영향을 고려한 확장 평가 척도가 유의미한 값을 보이는 것을 확인하였다.