• 제목/요약/키워드: Security-Vulnerability

검색결과 1,100건 처리시간 0.026초

STRIDE 및 HARM 기반 클라우드 네트워크 취약점 탐지 기법 (STRIDE and HARM Based Cloud Network Vulnerability Detection Scheme)

  • 조정석;곽진
    • 정보보호학회논문지
    • /
    • 제29권3호
    • /
    • pp.599-612
    • /
    • 2019
  • 클라우드 네트워크는 다양한 서비스 제공을 위해 활용된다. 클라우드 네트워크를 활용한 서비스 제공이 확대되면서, 다양한 환경과 프로토콜을 활용하는 자원들이 클라우드에 다수 존재하게 되었다. 하지만 이러한 자원들에 대한 보안 침입이 발생하고 있으며, 클라우드 자원에 대한 위협들이 등장함에 따라 클라우드 네트워크 취약점 탐지에 대한 연구가 요구된다. 본 논문에서는 다양한 환경과 프로토콜을 활용하는 자원들에 대한 취약점 탐지를 위해 STRIDE와 HARM을 활용한 취약점 탐지 기법을 제시하고 취약점 탐지 시나리오 구성을 통해 클라우드 네트워크 취약점 탐지 기법에 대해 제안한다.

PC보안 강화를 위한 기술적 취약점 진단항목 개선 연구 (Study on Improvement of Vulnerability Diagnosis Items for PC Security Enhancement)

  • 조진근
    • 융합정보논문지
    • /
    • 제9권3호
    • /
    • pp.1-7
    • /
    • 2019
  • 업무용 PC에 다양한 사이버 공격이 발생하고 있다. PC 보안 위협을 줄이기 위해 사전에 취약점 진단을 통해서 예방하고 있다. 하지만 국내의 취약점 가이드는 진단 항목이 업데이트되지 않아서 이 가이드로만은 대응하기가 어렵다. 본 논문에서는 최근 PC의 사이버 침해사고 사례와 보안 위협에 대응하기 위한 국외의 기술적 취약점 진단 항목에 대해서 살펴본다. 또한, 국외와 국내의 기술적 취약점 진단항목의 차이를 비교하여 개선된 가이드를 제시한다. 제안한 41개의 기술적 취약점 개선 항목을 통하여 다양한 보안 위협으로부터 대응할 수 있다는 것을 알 수 있었다. 현재는 알려진 취약점에만 주로 대응이 가능하지만 이 방법의 가이드 적용을 통해 알려지지 않은 보안 위협을 감소시킬 수 있을 것으로 기대한다.

코딩 표준 검색 기법을 이용한 소프트웨어 보안 취약성 검출에 관한 연구 (A Study on Software Security Vulnerability Detection Using Coding Standard Searching Technique)

  • 장영수
    • 정보보호학회논문지
    • /
    • 제29권5호
    • /
    • pp.973-983
    • /
    • 2019
  • 정보 보안의 중요성은 응용 소프트웨어의 보안으로 인해 국가, 조직 및 개인 수준에서 점점 더 강조되고 있다. 임베디드 소프트웨어를 포함하는 높은 안전성 소프트웨어의 개발 기술은 항공 및 원자력 분야 등 에 국한되어 사용되었다. 하지만 이러한 소프트웨어 유형은 이제 응용 소프트웨어 보안을 향상시키는 데 사용된다. 특히 보안 코딩은 방어적 프로그래밍을 포괄하는 개념으로 소프트웨어 보안을 향상시킬 수 있다. 본 논문에서는 개선된 코딩 표준 검색 기법을 적용한 소프트웨어 보안 취약성 탐지 기술을 제안한다. 공개된 정적 분석 도구는 소프트웨어 보안 가능성을 분석하고 취약점을 유발하는 명령어를 분류하는 데 사용되었으며, 소프트웨어 취약점을 유발할 수 있는 API 및 버그 패턴을 쉽게 감지하여 향상시킬 수 있다.

의료기관 종별 웹 사이트 정보보안 관리 실태 연구 (A Study on Information Security Management of Hospital Web Sites)

  • 김종민;류황건
    • 보건의료산업학회지
    • /
    • 제9권2호
    • /
    • pp.23-32
    • /
    • 2015
  • In this paper, we evaluated web security vulnerability and privacy information management of hospital web sites which are registered at the Korea Hospital Association. Vulnerability Scanner (WVS) based on the OWASP Top 10 was used to evaluate the web security vulnerability of the web sites. And to evaluate the privacy information management, we used ten rules which were based on guidelines for protecting privacy information on web sites. From the results of the evaluation, we discovered tertiary hospitals had relatively excellent web security compared to other type of hospitals. But all the hospital types had not only high level vulnerabilities but also the other level of vulnerabilities. Additionally, 97% of the hospital web sites had a certain level of vulnerability, so a security inspection is needed to secure the web sites. We discovered a few SQL Injection and XSS vulnerabilities in the web sites of tertiary hospitals. However, these are very critical vulnerabilities, so all hospital types have to be inspected to protect their web sites against attacks from hacker. On the other hand, the inspection results of the tertiary hospitals for privacy information management had a better compliance rate than that of the other hospital types.

정성적 위험 분석을 위한 버디 시스템의 구조 분석 (The Architectural Analysis of the Buddy System for Qualitative Risk Analysis)

  • Jeongwon Yoon;Kim, Hong-Keun
    • 한국정보보호학회:학술대회논문집
    • /
    • 한국정보보호학회 1995년도 종합학술발표회논문집
    • /
    • pp.51-58
    • /
    • 1995
  • The importance of the risk analysis tool has been recognized and its use also has been emphasized by a number of researchers recently The methodology were examined but neither algorithms nor practical applications have been implemented or practiced in Korea. In this paper, the architecture of the Buddy System, one of the automated risk assessment tools. is analyzed in depth to provide the algorithmic understanding and to promote the development of the risk analysis methodology. The Buddy System mainly uses three main factors of vulnerability, threat and countermeasures as a nucleus of the qualatative analysis with the modified loss expectancy value. These factors are identified and assessed by the separation of duties between the end user and security analyst. The Buddy System uses five axioms as its bases of assessment algorithm and the assessed vulnerability level is strictly within these axioms. Since the In-place countermeasures reduce the vulnerability level up to a certain level. the security analyst may use "what if " model to examine the impact of additional countermeasures by proposing each to reduce the vulnerability level further to within the acceptable range. The emphasis on the qualitative approach on vulnerability leveling is very well balanced with the quantitative analysis that the system performance is prominent.prominent.

  • PDF

PS/2 키보드에서의 RESEND 명령을 이용한 패스워드 유출 취약점 분석 (Analysis on a New Intrinsic Vulnerability to Keyboard Security)

  • 이경률;임강빈
    • 정보보호학회논문지
    • /
    • 제21권3호
    • /
    • pp.177-182
    • /
    • 2011
  • 본 논문은 현재 컴퓨팅 플랫폼 상의 기본 입력장치인 PS/2 기반 키보드에서, 키보드 내부에 정의된 명령코드 중 RESEND 명령을 이용한 키보드 스캔코드의 수집 가능성을 제 시하였다. 또한 제시한 방식을 활용한 키보드 감시 소프트웨어를 실제로 구현한 후 상용 보안 소프트웨어 환경에서 실험하여 사용자 인증 시에 패스워드가 유출될 수 있음을 확인함으로써 제시한 취약점의 위험성을 검증하였다. 이는 현재 플랫폼 상에 존재하는 하드웨어 취약점 중의 하나로써 설계 당시 하드웨어적인 보안 대책을 마련하지 않았기 때문에 발생하는 문제점이라 할 수 있어 해당 취약점을 해결하기 위해서 근본적으로 하드웨어적인 보안 대책이 필요할 것으로 사료된다.

클라우드 환경에서 Log4J 취약점 분석을 통한 공격 탐지 기술 (Attack Detection Technology through Log4J Vulnerability Analysis in Cloud Environments)

  • 변정연;이상희;유채연;박원형
    • 한국정보통신학회:학술대회논문집
    • /
    • 한국정보통신학회 2022년도 춘계학술대회
    • /
    • pp.557-559
    • /
    • 2022
  • 오픈소스의 사용으로 개발 환경이 편리해지고 유지보수가 보다 용이해진 장점이 있지만 보안적인 측면에서 볼 때 취약점에 노출되기 쉽다는 한계점이 존재한다. 이와 관련하여 최근에는 아파치에서 매우 광범위하게 사용되고 있는 오픈소스 로깅 라이브러리인 LOG4J 취약점이 발견되었다. 현재 이 취약점의 위험도는 '최고' 수준이며 개발자들도 이와 같은 문제점을 인지하지 못한 채 많은 시스템에 사용하고 있어 향후 LOG4J 취약점으로 인한 해킹 사고가 지속적으로 발생할 우려가 있다. 본 논문에서는 클라우드 환경에서 LOG4J 취약점에 대해서 자세하게 분석하고, 보안관제시스템에서 보다 신속하고 정확하게 취약점을 탐지할 수 있는 SNORT 탐지 정책 기술을 제안한다. 이를 통해 향후 보안 관련 입문자, 보안 담당자 그리고 기업들이 LOG4J 취약점 사태에 대비하여 효율적인 모니터링 운영과 신속하고 능동적인 대처가 가능해질 것으로 기대 한다.

  • PDF

정적 분석 툴을 이용한 비용 기반의 취약점 처리 방안 (Cost Based Vulnerability Control Method Using Static Analysis Tool)

  • 이기현;김석모;박용범;박제호
    • 정보처리학회논문지:소프트웨어 및 데이터공학
    • /
    • 제5권3호
    • /
    • pp.139-144
    • /
    • 2016
  • 소프트웨어 개발 시 보안을 고려한 개발방법의 적용은 추가비용을 발생시키고, 이러한 추가 비용은 많은 개발조직에서 보안을 고려하지 못하는 원인이 된다. 보안을 고려한 개발을 진행 하더라도, 주어진 비용 내에서 처리할 수 있는 취약점 처리량을 산출하는 방법이 부족한 실정이다. 본 논문에서는 보안 취약점 처리 비용을 효율적으로 사용하여 취약점 처리량을 산출하는 방법을 제안한다. 제안한 방법에서는 소프트웨어 개발단계 중 구현 단계에 중점을 두고, 정적 분석 툴을 활용하여 CWE TOP25에 대한 보안 취약점을 찾아낸다. 찾아진 취약점은 CWE의 정보를 활용하여, 각 취약점의 위험도, 처리 비용, 비용 당 위험도를 정의하고, 처리 우선순위를 정의한다. 정의된 우선순위를 통하여 탐지된 취약점 처리에 소모되는 비용을 산출하고, 투입 비용 내에서 취약점 처리량을 제어한다. 본 방법을 적용하면, 투입 비용 내에서 최대의 취약점의 위험도를 처리할 수 있을 것으로 기대된다.

분석적 방법을 적용한 원전디지털자산 취약점 평가 연구 (A Study on Vulnerability Assessment for the Digital Assets in NPP Based on Analytical Methods)

  • 김인경;권국희
    • 정보보호학회논문지
    • /
    • 제28권6호
    • /
    • pp.1539-1552
    • /
    • 2018
  • 원자력 발전소의 디지털화로 인한 사이버위협 노출로 보다 확고한 사이버보안 체계 구축 필요성이 대두되고 있으며 주기적인 취약점 분석 및 평가를 통한 적합한 보안대책 정립이 필요하다. 그러나 원전시스템은 안전성을 최우선으로 둔 특성 및 취약점 분석을 위한 제반사항 구축에 많은 비용 및 시간 등이 필요하여 기존의 취약점 분석 환경 및 분석 도구를 적용하는데 어려움이 있다. 이에 본 연구에서는 원전디지털자산 취약점 분석 시 고려해야 할 사항 및 일반적인 취약점 분석 방법들을 비교하여 기존의 취약점 분석 방법의 한계점을 보완하는 원전디지털자산에 적합한 취약점 평가 방법에 대해 제시하고 시범 적용한 결과를 기술하고자 한다.

웹 취약점 스코어링 기법의 advanced 모델 연구 (A Study On Advanced Model of Web Vulnerability Scoring Technique)

  • 변으뜸;임종인;이경호
    • 정보보호학회논문지
    • /
    • 제25권5호
    • /
    • pp.1217-1224
    • /
    • 2015
  • 웹 취약점 분석은 기업이 웹 애플리케이션의 보안 문제점을 파악하고 개선하는데 도움을 주며 미래창조과학부는 취약점 분석 평가 기준을 배포하여 이를 지원하고 있다. 그러나 기준에서 제시하는 방법으로는 취약 항목에 대한 구분은 가능하지만 취약점 항목의 위험을 분석하기에는 부족하여 효과적인 대응이 어렵다는 문제점이 있다. 본 연구에서는 국내외 취약점 스코어링 기법에 대해 분석하고 올바른 웹 취약점 분석 평가를 위한 스코어링 방법을 제시하고자 한다.