• 정보보호학회논문지
• /
• 제22권6호
• /
• pp.1407-1417
• /
• 2012

소프트웨어 시스템을 보안 침해로부터 보호하기 위해서는 소프트웨어의 개발 단계에서부터 생명주기 전체에 걸쳐 보안약점을 제거하는 작업이 요구된다. 이러한 작업을 수행함에 있어서 계속하여 보고되고 있는 다양한 보안약점들에 대하여 시스템 보안과 실제 활용 목적에 미치는 영향이 큰 보안약점을 선별하여 적절히 대처하는 것이 효과적이다. 본 논문에서는 소프트웨어 보안약점 및 보안취약점의 중요성에 대한 기존의 정량 평가 방법론들을 소개하고, 이를 기반으로 신뢰도가 중요시되는 소프트웨어 시스템에 대하여 보안약점의 일반적인 심각성을 객관적으로 평가할 수 있는 정량 평가 기준을 제안한다. 또한 제안된 기준을 사용하여 2011 CWE/SANS Top 25 보안약점 명세에 대한 중요도 평가를 수행하고 그 결과를 기존 점수와 비교함으로써 제안된 평가기준의 유용성을 보이고자 한다.

• 정보보호학회논문지
• /
• 제25권4호
• /
• pp.921-932
• /
• 2015

본 논문에서는 소프트웨어 보안취약점의 중요도를 정량적으로 산출할 수 있는 중요도 정량 평가 체계를 제안한다. 제안된 평가 체계는 국내 소프트웨어 이용 환경을 고려한 보안취약점의 파급도, 위험도, 소프트웨어 점유율, 시스템에서의 사용 정도 등을 복합적으로 반영하여 보안취약점에 대한 심각성을 적절히 평가할 수 있는 평가 척도와 이를 기반으로 한 중요도 계산식으로 구성된다. 논문에서는 제안된 소프트웨어 보안취약점 평가 체계를 국내의 보안취약점에 시범적으로 적용하고 그 효용성을 CVSS 및 CWSS 등과 비교, 분석하였으며, 제안된 평가 체계의 활용 방안을 제시하였다.

• 정보보호학회논문지
• /
• 제28권6호
• /
• pp.1449-1461
• /
• 2018

소프트웨어 취약점의 수가 해마다 증가함에 따라 소프트웨어에 대한 공격 역시 많이 발생하고 있다. 이에 따라 보안 관리자는 소프트웨어에 대한 취약점을 파악하고 패치 해야 한다. 그러나 모든 취약점에 대한 패치는 현실적으로 어렵기 때문에 패치의 우선순위를 정하는 것이 중요하다. 본 논문에서는 NIST(National Institute of Standards and Technology)에서 제공하는 취약점 자체 정보와 더불어, 공격 패턴이나 취약점을 유발하는 약점에 대한 영향을 추가적으로 고려하여 취약점의 위험도 평가 척도를 확장한 스코어링 시스템을 제안하였다. 제안하는 스코어링 시스템은 CWSS의 평가 척도를 기반으로 확장했으며, 어느 기업에서나 용이하게 사용할 수 있도록 공개된 취약점 정보만을 활용하였다. 이 논문에서 실험을 통해 제안한 자동화된 시스템을 소프트웨어 취약점에 적용함으로써, 공격 패턴과 약점에 의한 영향을 고려한 확장 평가 척도가 유의미한 값을 보이는 것을 확인하였다.

• 정보보호학회논문지
• /
• 제29권6호
• /
• pp.1285-1303
• /
• 2019

현재의 신용평가체계에서는 신용정보회사가 개인의 신용정보를 금융기관으로부터 수집하고 이를 기반으로 신용평가를 수행한다. 하지만 이런 신용평가방법은 민감한 신용정보가 하나의 중앙기관에 집중되기에 프라이버시 침해 소지가 있으며, 외부의 공격이 성공할 경우 대규모의 개인정보가 유출될 수 있다. 본 논문에서는 이 문제를 해결하기 위해 개인이 스스로 금융기관으로부터 수집한 신용정보를 바탕으로 신용점수를 계산하고, 이 신용점수가 정상적으로 계산되었음을 영지식 증명과 블록체인으로 증명하는 프라이버시 보장 신용평가방법을 제안한다. 또한 영지식 증명에 이용된 신용정보가 금융기관에서 실제로 제공한 값인지 블록체인을 통해 확인하기 위해, 커밋된 입력에 대해 효율적으로 증명이 가능한 영지식 증명 기법을 제안한다. 이 기법은 Agrawal 등의 기법과 달리 완벽한 영지식성을 제공하며, CRS와 증명의 크기가 작고 증명과 검증 과정이 빠르다. 그리고 제안한 신용평가방법에 실제 환경과 유사한 신용점수 알고리즘을 적용하여 구현 및 실험함으로써 실제 환경에 이용 가능함을 확인하였다.

• 정보보호학회논문지
• /
• 제22권3호
• /
• pp.601-613
• /
• 2012

안전한 웹 서비스를 제공하기 위하여 보안을 고려한 웹 애플리케이션의 설계와 구현이 요구되고 있다. 이에 따라 웹 애플리케이션의 취약성을 수치화할 수 있는 여러 가지 프레임워크들이 제시되고 있지만, 이러한 프레임워크에 의하여 도출된 수치는 누적 방식에 의하여 계산되기 때문에 취약점의 심각성을 제대로 분류할 수 없다는 문제점이 존재한다. 본 연구에서는 웹 애플리케이션에서 발생할 수 있는 취약점을 권한 획득 가능성에 따라 등급을 나누고 수치화함으로써 취약점에 대하여 우선순위를 둘 수 있다. 또한 개별 웹 애플리케이션뿐 아니라 한 조직에서 제공하는 여러 웹 애플리케이션에 대한 취약성을 수치화함으로써 어느 웹 애플리케이션이 가장 취약하며 우선적으로 처리해야 하는지 판단할 수 있다. 실제 크롤링 기반 웹 스캐너를 통하여 발견된 취약점들에 대하여 우리가 제안한 프레임워크를 적용하여 등급을 나누고 수치화함으로써 취약점의 권한 획득 가능성에 따른 분류의 중요성을 보이고 있다.

• 정보보호학회논문지
• /
• 제29권5호
• /
• pp.1179-1189
• /
• 2019

사이버보안성 평가란 자산분석, 위협분석, 취약성 분석을 통하여 자산 및 시스템의 위험 수준을 평가하여 적절한 보안조치를 적용하는 일련의 과정으로 증가하는 사이버 공격에 대한 대비를 위해 체계적인 사이버보안성 평가가 요구된다. 이에 CWSS, CVSS 등 사이버 보안 수준 측정을 위한 다양한 지표가 개발되고 있으나 표준화된 보안성 평가 결과를 통해 위험 우선순위에 따라 적절한 보안조치를 적용하기 위한 정량적 방법은 미흡한 실정으로 대상자산이 가지는 특성, 적용되어 있는 환경, 자산에 미치는 영향 등을 고려한 평가 체계가 필요하다. 이에 본 논문에서는 기존의 사이버 보안 평가 방법 분석을 기반으로 정량적 위험 평가 모델을 정립하고 정립한 모델에 적용하기 위한 평가 요소들의 정량화를 위한 방법을 제시한다. 사이버 보안성 평가 시 필요한 정성적 속성 요소들의 수준을 AHP 기법을 통한 보안요건별 가중치, 위협 별 영향도, 취약점 요소 별 점수화를 통한 위협 성공 가능성에 대한 확률값 산출을 통해 통계적 데이터를 적용해야 하는 정량적 방법의 한계점을 보완하여 표준화된 사이버 보안 평가 체계를 확립할 것으로 기대된다.

• 한국정보통신학회논문지
• /
• 제27권1호
• /
• pp.87-96
• /
• 2023

보안 취약점 수가 해마다 증가함에 따라 보안 위협이 지속해서 발생하고 있으며 취약점 위험도의 중요성이 대두되고 있다. 본 논문에서는 보안 취약점 위험도 판단을 위해 동향을 반영한 보안 위협 스코어링 산출식을 고안하였다. 세 단계에 따라 공격 유형과 공급업체, 취약점 동향, 최근 공격 방식과 기법 등의 핵심 항목 요소를 고려하였다. 첫째로는 공격 유형, 공급업체와 CVE 데이터의 관련성 확인 결과를 반영한다. 둘째로는 LDA 알고리즘으로 확인된 토픽 그룹과 CVE 데이터 간 유사성 확인을 위해 자카드 유사도 기법을 사용한다. 셋째로는 최신 버전 MITRE ATT&CK 프레임워크의 공격 방법, 기술 항목 동향과 CVE 간의 관련성 확인 결과를 반영한다. 최종 보안 취약점 위협 산출식 CTRS의 활용성 검토를 위해 공신력 높은 취약점 정보 제공 해외 사이트 내 데이터에 제안한 스코어링 방식을 적용하였다. 본 연구에서 제안한 산출식을 통하여 취약점과 관련된 일부 설명만으로도 관련성과 위험도가 높은 취약점을 확인하여 신속하게 관련 정보를 인지하고 대응할 수 있다.

• 정보보호학회논문지
• /
• 제32권4호
• /
• pp.673-689
• /
• 2022

본 연구에서는 APT 공격을 탐지하고 대응하기 위한 과정의 하나로 APT 공격을 스코어링하는 방안을 제안한다. 먼저, 사이버 공격을 스코어링하는 과정에서 비일관적인 전문가의 주관적인 판단 요소를 고려한 기존의 연구와는 달리, MITRE ATT&CK^Ⓡ의 공격기술을 구성하는 여러 구성요소 중 정량화할 수 있는 요소들을 식별하고 이를 정량화하는 방안을 제시한다. 또한, 정량화된 요소들을 이용하여 단위 공격기술의 스코어를 도출하고, 나아가 여러 공격 기술로 구성된 전체 APT 공격의 스코어를 산출하는 방안을 제안한다. 제안한 스코어링 방법을 APT 공격 사례 보고서에 적용하여 APT 공격을 포함한 다양한 사이버 공격의 위협 수준 및 시급성을 판단하기 위한 정량화 가능성을 제시한다. 본 연구를 이용하여 APT 공격을 탐지하는 과정에서 실제 공격 여부를 판단하고, 공격의 우선순위를 산정함으로써 더욱 시급하고 중요한 사이버 공격에 대응할 수 있을 것이다.

• 정보보호학회논문지
• /
• 제25권5호
• /
• pp.1217-1224
• /
• 2015

웹 취약점 분석은 기업이 웹 애플리케이션의 보안 문제점을 파악하고 개선하는데 도움을 주며 미래창조과학부는 취약점 분석 평가 기준을 배포하여 이를 지원하고 있다. 그러나 기준에서 제시하는 방법으로는 취약 항목에 대한 구분은 가능하지만 취약점 항목의 위험을 분석하기에는 부족하여 효과적인 대응이 어렵다는 문제점이 있다. 본 연구에서는 국내외 취약점 스코어링 기법에 대해 분석하고 올바른 웹 취약점 분석 평가를 위한 스코어링 방법을 제시하고자 한다.

• 융합보안논문지
• /
• 제15권6_2호
• /
• pp.3-10
• /
• 2015

최근 발생한 대규모 정보유출사고나 주요 보안사고 사례를 살펴보면, 내부자에 의한 보안위협이 급증하고 있음을 알 수 있다. 특히 권한 있는 내부자에 의해 발생한 보안사고는 외부에서의 침입행위보다 훨씬 치명적인 결과를 초래하고 있어, 내부자 위협을 실시간으로 모니터링하면서 정보유출이나 보안사고를 조기에 차단할 수 있는 체계 도입의 필요성이 증가하고 있다. 이에 본 논문에서는 내부자위협통합관리체계(EITMS : Enterprise Insider-Threats Management System)를 제안한다. EITMS는 직무와 역할 및 개인 활동에 근거한 정상패턴을 추출하여 특정한 권한을 가진 내부자에 의해 발생 가능한 위협을 실시간으로 탐지하고 관리한다. 또한, 위협행위를 가시화하여 관리함으로써 조기에 정보유출과 보안사고를 차단하기 위한 스코어링 시스템도 포함한다.