• 정보보호학회논문지
• /
• 제24권5호
• /
• pp.969-974
• /
• 2014

국제표준인 공통평가기준에서는 취약성 정보를 수집하고 침투시험을 수행하는 과정을 요구하고 있다. 하지만 촉박한 개발 및 평가 기간에 따라 임시방편의 취약성 점검 및 분석이 이뤄지며 취약성 분석에 대한 체계의 부재로 개발자의 역량에 따라 취약성 분석 및 적용이 제각각 이루어지고 있다. 이에 동일한 평가등급을 획득한 제품임에도 불구하고 보안성 품질이 상이하다. 본 논문에서는 방대한 취약성 정보를 직관적으로 이해하고 적용할 수 있는 취약성 분류체계 및 적용 방안을 제시한다. 뿐만 아니라, 보안성 평가 대상 여부와 무관하게 정보보호제품 개발 시 정보보호제품 개발 및 평가에 실용적으로 적용할 수 있는 정보보호제품의 보안성 품질 관리 방안을 제안하고자 한다.

• International Journal of Internet, Broadcasting and Communication
• /
• 제12권4호
• /
• pp.180-187
• /
• 2020

Security threats are increasing with interest due to the mass spread of smart devices, and vulnerabilities in developed applications are being exposed while mobile malicious codes are spreading. The government and companies provide various applications for the public, and for reliability and security of applications, security checks are required during application development. In this paper, among the security threats that can occur in the mobile service environment, we set up the vulnerability analysis items to respond to security threats when developing Android-based applications. Based on the set analysis items, vulnerability analysis was performed by examining three applications of public institutions and private companies currently operating as mobile applications. As a result of application security checks used by three public institutions and companies, authority management and open module stability management were well managed. However, it was confirmed that many security vulnerabilities were found in input value verification, outside transmit data management, and data management. It is believed that it will contribute to improving the safety of mobile applications through the case of vulnerability analysis for Android application security.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제15권12호
• /
• pp.4531-4544
• /
• 2021

Because the traditional network information security vulnerability risk assessment method does not set the weight, it is easy for security personnel to fail to evaluate the value of information security vulnerability risk according to the calculation value of network centrality, resulting in poor evaluation effect. Therefore, based on the network security data element feature system, this study designed a quantitative assessment method of network information security vulnerability detection risk under single transmission state. In the case of single transmission state, the multi-dimensional analysis of network information security vulnerability is carried out by using the analysis model. On this basis, the weight is set, and the intrinsic attribute value of information security vulnerability is quantified by using the qualitative method. In order to comprehensively evaluate information security vulnerability, the efficacy coefficient method is used to transform information security vulnerability associated risk, and the information security vulnerability risk value is obtained, so as to realize the quantitative evaluation of network information security vulnerability detection under single transmission state. The calculated values of network centrality of the traditional method and the proposed method are tested respectively, and the evaluation of the two methods is evaluated according to the calculated results. The experimental results show that the proposed method can be used to calculate the network centrality value in the complex information security vulnerability space network, and the output evaluation result has a high signal-to-noise ratio, and the evaluation effect is obviously better than the traditional method.

• 한국산학기술학회논문지
• /
• 제20권6호
• /
• pp.541-547
• /
• 2019

최근 자동화 되는 해킹 및 분석 기술의 발전으로 인하여 수많은 소프트웨어 보안 취약점이 빠르게 발표되고 있다. 대표적인 취약점 데이터베이스인 NVD(National Vulnerability Database)에는 2010년부터 2015년까지 보안 취약점(CVE: Common Vulnerability Enumeration) 약 8만 건이 등록되었으며, 최근에도 점차 증가하고 있는 추세이다. 보안 취약점은 빠른 속도로 증가하고 있는 반면, 보안 취약점을 분석하고 대응하는 방법은 전문가의 수동 분석에 의존하고 있어 대응 속도가 느리다. 이런 문제점을 해결하기 위해 자동화된 방법으로 보안 취약점을 탐색하고, 패치하여 악의적인 공격자에게 공격 기회를 줄 수 있는 보안 취약점을 사전에 대응 할 수 있는 기술이 필요하다. 본 논문에서는 복잡도 분석을 통해 취약점 탐색 대상 바이너리의 특징을 추출하고, 특징에 적합한 취약점 탐색 전략을 선정하여 취약점을 자동으로 탐색하는 기술을 제안한다. 제안 기술은 AFL, ANGR, Driller 도구와 비교 검증 하였으며 코드 커버리지는 약 6% 향상, 크래시 개수는 약 2.4배 증가, 크래시 발생율 약 11% 향상 효과를 볼 수 있었다.

• 정보보호학회논문지
• /
• 제20권6호
• /
• pp.147-155
• /
• 2010

소스코드의 정적분석 기술은 소스코드 자체에 내재된 취약성을 찾는데 활용되는 중요한 기술로 인식되고 있다. 본 논문은 정보시스템의 소스코드 보안성 수준을 평가하는 방법으로 정적분석 결과인 소스코드의 취약성 정보와 프로그램이 처리하는 정보의 중요도를 활용하는 평가 메트릭의 설계 및 활용을 소개한다. 소스코드 보안성 메트릭은 소스코드의 취약점 수준을 개발 과정에서 미리 파악할 수 있도록 도움을 준다는 측면에서 평가자와 개발자 모두가 활용할 수 있다. 특히 평가자는 보안 메트릭을 통해 소스코드의 성격과 요구되는 정보의 보안수준에 따라 소스코드의 보안 수준을 점검하며, 코드 검수에 활용할 수 있다.

• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 1995년도 종합학술발표회논문집
• /
• pp.51-58
• /
• 1995

The importance of the risk analysis tool has been recognized and its use also has been emphasized by a number of researchers recently The methodology were examined but neither algorithms nor practical applications have been implemented or practiced in Korea. In this paper, the architecture of the Buddy System, one of the automated risk assessment tools. is analyzed in depth to provide the algorithmic understanding and to promote the development of the risk analysis methodology. The Buddy System mainly uses three main factors of vulnerability, threat and countermeasures as a nucleus of the qualatative analysis with the modified loss expectancy value. These factors are identified and assessed by the separation of duties between the end user and security analyst. The Buddy System uses five axioms as its bases of assessment algorithm and the assessed vulnerability level is strictly within these axioms. Since the In-place countermeasures reduce the vulnerability level up to a certain level. the security analyst may use "what if " model to examine the impact of additional countermeasures by proposing each to reduce the vulnerability level further to within the acceptable range. The emphasis on the qualitative approach on vulnerability leveling is very well balanced with the quantitative analysis that the system performance is prominent.prominent.

• Journal of Multimedia Information System
• /
• 제8권4호
• /
• pp.259-266
• /
• 2021

Security vulnerabilities have been reported in major design software systems such as Adobe Photoshop and Illustrator, which are recognized as de facto standard design tools in most of the design industries. Companies need to evaluate and manage their risk levels posed by those vulnerabilities, so that they could mitigate the potential security bridges in advance. In general, security vulnerabilities are discovered throughout their life cycles repeatedly if software systems are continually used. Hence, in this study, we empirically analyze risk levels for the three major graphical design software systems, namely Photoshop, Illustrator and GIMP with respect to a software vulnerability discovery model. The analysis reveals that the Alhazmi-Malaiya Logistic model tends to describe the vulnerability discovery patterns significantly. This indicates that the vulnerability discovery model makes it possible to predict vulnerability discovery in advance for the software systems. Also, we found that none of the examined vulnerabilities requires even a single authentication step for successful attacks, which suggests that adding an authentication process in software systems dramatically reduce the probability of exploitations. The analysis also discloses that, for all the three software systems, the predictions with evenly distributed and daily based datasets perform better than the estimations with the datasets of vulnerability reporting dates only. The observed outcome from the analysis allows software development managers to prepare proactively for a hostile environment by deploying necessary resources before the expected time of vulnerability discovery. In addition, it can periodically remind designers who use the software systems to be aware of security risk, related to their digital work environments.

• 정보보호학회논문지
• /
• 제28권6호
• /
• pp.1539-1552
• /
• 2018

원자력 발전소의 디지털화로 인한 사이버위협 노출로 보다 확고한 사이버보안 체계 구축 필요성이 대두되고 있으며 주기적인 취약점 분석 및 평가를 통한 적합한 보안대책 정립이 필요하다. 그러나 원전시스템은 안전성을 최우선으로 둔 특성 및 취약점 분석을 위한 제반사항 구축에 많은 비용 및 시간 등이 필요하여 기존의 취약점 분석 환경 및 분석 도구를 적용하는데 어려움이 있다. 이에 본 연구에서는 원전디지털자산 취약점 분석 시 고려해야 할 사항 및 일반적인 취약점 분석 방법들을 비교하여 기존의 취약점 분석 방법의 한계점을 보완하는 원전디지털자산에 적합한 취약점 평가 방법에 대해 제시하고 시범 적용한 결과를 기술하고자 한다.

• 융합보안논문지
• /
• 제12권4호
• /
• pp.71-76
• /
• 2012

Mashups, web 3.0, 자바스크립트 및 AJAX 등의 이용이 증가하면서 웹애플리케이션 서비스 제공시 웹취약점들에 대한 새로운 보안 위협이 증대되고 있으며, 이에 대한 사전 진단과 함께 대비가 요구된다. 본 논문에서는 웹취약성에 대한 보안 위협과 요구사항을 제시하고, Web Vulnerability Scanner(WVS) 자동화 도구를 이용하여 국내에서 서비스되고 있는 웹사이트를 대상으로 웹취약성을 분석한다. Cross Site Scripting(XSS)와 SQL Injection 등 대표적인 웹취약성에 대한 분석 결과, 약 22.5%에 해당하는 웹사이트가 보안에 취약한 것으로 나타났으며, 취약성 경고 수는 0부터 31,171 alerts로 분포되고, 평균 411 alerts, 편차는 2,563 alerts로서 보안 관리에 취약한 웹사이트의 경우, 경고 수가 높은 값을 나타내고 있어 세부적인 웹취약성에 대한 사전 대비가 필요함을 알 수 있다.

• Journal of Information Technology Applications and Management
• /
• 제27권6호
• /
• pp.89-99
• /
• 2020

Cloud computing is rapidly increasing for achieving comfortable computing. Cloud computing has essentially security vulnerability of software and hardware. For achieving secure cloud computing, the vulnerabilities of cloud computing could be analyzed in a various and systematic approach from perspective of the service designer, service operator, the designer of cloud security and certifiers of cloud systems. The paper investigates the vulnerabilities and security controls from the perspective of administration, and systems. For achieving the secure operation of cloud computing, this paper analyzes technological security vulnerability, operational weakness and the security issues in an enterprise. Based on analysis, the paper suggests secure establishments for cloud computing.