• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제10권10호
• /
• pp.4933-4956
• /
• 2016

Use-After-Free (UAF) is a common lethal form of software vulnerability. By using tools such as Web Browser Fuzzing, a large amount of samples containing UAF vulnerabilities can be generated. To evaluate the threat level of vulnerability or to patch the vulnerabilities, automatic deduplication and exploitability determination should be carried out for these samples. There are some problems existing in current methods, including inadequate pertinence, lack of depth and precision of analysis, high time cost, and low accuracy. In this paper, in terms of key dangling pointer and crash context, we analyze four properties of similar samples of UAF vulnerability, explore the method of extracting and calculate clustering eigenvalues from these samples, perform clustering by fast search and find of density peaks on a large number of vulnerability samples. Samples were divided into different UAF vulnerability categories according to the clustering results, and the exploitability of these UAF vulnerabilities was determined by observing the shape of class cluster. Experimental results showed that the approach was applicable to the deduplication and exploitability determination of a large amount of UAF vulnerability samples, with high accuracy and low performance cost.

• 대한전기학회:학술대회논문집
• /
• 대한전기학회 2008년도 제39회 하계학술대회
• /
• pp.107-108
• /
• 2008

This paper surveys areas of vulnerability to voltage sags in KEPCO system. The area of vulnerability can be defined as the region where the occurrence of faults will lead to voltages lower than the sensitivity threshold of equipment. The analysis of the area of vulnerability is essential for estimating system voltage sag performance and establishing efficient countermeasures for voltage sag problems. In this paper, two buses in KEPCO system were randomly selected and the areas of vulnerability for the buses were calculated by using dedicated software.

• Journal of Information Technology Applications and Management
• /
• 제13권4호
• /
• pp.237-255
• /
• 2006

This study was exploratively performed to demonstrate the management behavior of the public software project in korea. In this study, 167 auditing reports on the public software project which were carried out during $1999{\sim}2003$, were employed and surveyed. Survey reveals that quality management was the most neglected in process of software project management relative to other 12 management areas. And configuration management, risk management, time management, and scope management follow up in order in its vulnerability in software project management.

• 한국전자통신학회논문지
• /
• 제13권4호
• /
• pp.813-818
• /
• 2018

본 논문에서는 가뭄에 의한 용수, 가뭄에 의한 수질과 폭염에 의한 온열질환에 대한 취약성 평가 항목에 대한 선정 배경을 기술하였고, 선정된 취약성 평가 항목에 대해 취약성 평가 가중치 산정을 수행하였다. 또한 취약성 평가절차에서는 단계적으로 적용되는 계산 방법과 실제 사례를 함께 서술하였다. 취약성 평가 데이터베이스 구축에 대해 분석하고, 이러한 취약성 평가 절차를 적용한 폭염과 가뭄을 위한 기후변화 취약성 평가 시스템을 설계하였다.

• 한국산학기술학회논문지
• /
• 제18권7호
• /
• pp.1-8
• /
• 2017

IT 환경 발전되고 융합서비스가 제공됨에 따라서 다양한 보안위협이 증가하고 있으며, 이로 인해 사용자들로부터 심각한 위험을 초래하고 있다. 대표적으로 DDoS 공격, 멀웨어, 웜, APT 공격 등의 위협들은 기업들에게 매우 심각한 위험요소가 될 수 있으므로 반드시 적절한 시간 내에 적절한 조치 및 관리가 되어야 한다. 이에 정부는 '정보통신기반보호법'에 따라 국가안보 및 경제사회에 미치는 영향 등을 고려하여 중요 시스템에 대해 주요정보통신기반시설로 지정 관리하고 있다. 특히 사이버침해로부터 주요정보통신기반시설을 보호하기 위하여 취약점 분석 평가, 보호대책 수립 및 보호조치 이행 등의 지원과 기술가이드 배포 등의 관리감독을 수행하고 있다. 현재까지도 '주요정보통신기반시설 기술적 취약점 분석 평가방법 가이드'를 베이스로 보안컨설팅이 진행되고 있다. 적용하고 있는 항목에서 불필요한 점검항목이 존재하고 최근 이슈가 되는 APT공격, 악성코드, 위험도가 높은 시스템에 대해 관리부분이 취약하다. 실제 보안 위험을 제거하기 위한 점검은 보안관리자가 따로 기획해서 전문업체에게 발주를 주고 있는 것이 현실이다. 즉, 현재의 시스템 취약점 점검 방법으로는 해킹 및 취약점을 통한 공격에 대비하기 어려움이 존재하여 기존의 점검방법과 항목으로는 대응하기가 힘들다. 이를 보완하기 위해서 본 논문에서는 시스템 취약점 점검의 고도화 필요성을 위해 효율적인 진단 데이터 추출 방법, 최근 트렌드를 반영하지 못한 점검 항목을 최신 침입기법 대응에 관하여 기술적 점검 사례와 보안위협 및 요구사항에 대해서 관련 연구를 수행하였다. 국내 외의 보안 취약점 관리체계 및 취약점 목록을 조사 후 이를 기반으로, 효율적인 보안취약점 점검 방법을 제안하며 향후, 제안방법을 강화하여 국외의 취약점 진단 항목을 국내 취약점 항목에 연관되도록 연구하여 개선하고자 한다.

• 소프트웨어공학소사이어티 논문지
• /
• 제28권1호
• /
• pp.13-22
• /
• 2019

경쟁적이며 급진적으로 오늘날 소프트웨어 개발 산업 현장에 시큐어 코딩 방법론을 효과적으로 적용하기 위해서는 보안 취약점 결함을 자동으로 검출하는 결함 검출기의 효과적이고 효율적인 적용이 필수적이다. 본 논문은 Java 웹 어플리케이션을 대상으로 하여 우리 행정안전부가 정의한 42개의 보안 취약점 진단 기준과 총 323개의 오픈소스 보안 취약점 결함 검출기의 검출 대상 결함 패턴을 비교하여, 동일한 결함 패턴을 대상으로 하는 것이 무엇인지를 명시화한 결과를 소개한다. 조사 결과를 바탕으로, 본 논문에서는 현재 행정안전부 보안 취약점 진단 기준 방법론의 한계점, 오픈소스 보안 결함 검출 프레임워크 간의 결함검출 범위의 비교, 그리고 시큐어 코딩 가이드라인에 기반 한 개발 보안 방법론의 발전 과제를 논의한다.

• 정보보호학회논문지
• /
• 제30권6호
• /
• pp.1225-1236
• /
• 2020

퍼징은 예상되는 범위를 벗어난 입력값을 무작위로 생성해 소프트웨어를 동적으로 테스팅 하는 방법으로, 취약점 분석을 자동화하기 위해 주로 쓰인다. 현재 한국인터넷진흥원에서는 국내 표준 암호 알고리즘들에 대한 소스코드를 공개하고 있으며, 많은 암호모듈 개발업체들이 이 소스코드를 이용하여 암호모듈을 개발하고 있다. 만약 이러한 공개 소스코드에 취약점이 존재할 경우, 이를 참고한 암호 라이브러리는 잠재적 취약점을 가지게 되어 향후 막대한 손실을 초래하는 보안 사고로 이어질 수 있다. 이에 본 연구에서는 SEED, HIGHT, ARIA와 같은 블록암호 소스코드의 안전성을 검증하기 위한 적절한 보안 정책을 수립하였고, 차분 퍼징을 이용해 안전성을 검증하였다. 최종적으로 스택 버퍼 오버플로우와 널 포인터 역참조를 포함하는 메모리 버그 항목과 오류 처리 항목에서 총 45개의 취약점을 발견하였으며, 이를 해결할 수 있는 취약점 개선 방안을 제시한다.

• 한국산학기술학회논문지
• /
• 제20권6호
• /
• pp.541-547
• /
• 2019

최근 자동화 되는 해킹 및 분석 기술의 발전으로 인하여 수많은 소프트웨어 보안 취약점이 빠르게 발표되고 있다. 대표적인 취약점 데이터베이스인 NVD(National Vulnerability Database)에는 2010년부터 2015년까지 보안 취약점(CVE: Common Vulnerability Enumeration) 약 8만 건이 등록되었으며, 최근에도 점차 증가하고 있는 추세이다. 보안 취약점은 빠른 속도로 증가하고 있는 반면, 보안 취약점을 분석하고 대응하는 방법은 전문가의 수동 분석에 의존하고 있어 대응 속도가 느리다. 이런 문제점을 해결하기 위해 자동화된 방법으로 보안 취약점을 탐색하고, 패치하여 악의적인 공격자에게 공격 기회를 줄 수 있는 보안 취약점을 사전에 대응 할 수 있는 기술이 필요하다. 본 논문에서는 복잡도 분석을 통해 취약점 탐색 대상 바이너리의 특징을 추출하고, 특징에 적합한 취약점 탐색 전략을 선정하여 취약점을 자동으로 탐색하는 기술을 제안한다. 제안 기술은 AFL, ANGR, Driller 도구와 비교 검증 하였으며 코드 커버리지는 약 6% 향상, 크래시 개수는 약 2.4배 증가, 크래시 발생율 약 11% 향상 효과를 볼 수 있었다.

• 정보보호학회논문지
• /
• 제24권3호
• /
• pp.535-545
• /
• 2014

최근 소프트웨어 산업의 발전과 더불어 소프트웨어 취약점을 이용한 공격이 사회적으로 많은 이슈가 되고 있다. 특히, 웹 브라우저 취약점을 이용한 공격은 윈도우 보호메커니즘을 우회할 수 있기 때문에 주요 공격 대상이 될 수 있다. 이러한 보안위협으로부터 웹 브라우저를 보호하기 위한 퍼징 연구가 지속적으로 수행되어 왔다. 하지만 기존 웹 브라우저 퍼징 도구에서는 대부분 DOM 트리를 무작위로 변형시키는 단순한 형태의 퍼징 방법을 사용하고 있다. 본 논문에서는 알려진 취약점에 대한 패턴 분석과 기존 웹 브라우저 퍼징 도구의 분석을 통해 최신 웹 브라우저 취약점을 보다 효과적으로 탐지하기 위한 이벤트 및 커맨드 기반 퍼징 방법을 제안한다. 기존 퍼징 도구 3종과 제안하는 방법을 비교한 결과 이벤트 및 커맨드 기반의 퍼징 도구가 더욱 효과적이라는 것을 볼 수 있었다.

• 정보보호학회논문지
• /
• 제22권5호
• /
• pp.1169-1178
• /
• 2012

최근 대부분의 소프트웨어는 인터넷 환경에서 네트워크를 중심으로 데이터를 교환하기 때문에, 소프트웨어 자체의 보안성이 큰 이슈로 다루어지고 있다. 또한 소프트웨어 개발 과정에서 시큐어 코딩 규칙을 적용하여 소프트웨어의 취약점을 최소화하고 안전성이 높은 코드로 개발하려는 노력이 이루어지고 있다. 하지만 소프트웨어 취약점을 이용한 공격 사례들이 한 가지 공격이 아닌 복합 공격의 형태를 띠고 있어 단일 특성 분석으로는 소프트웨어 취약점 분석에 한계가 있다. 본 연구에서는 소프트웨어의 다양한 특성 중에 하나인 결합도를 기반으로 복합 소프트웨어 취약점을 이용한 공격에 대응하고자 하였다. 더불어 여러 공격 방법의 조합을 이용한 복합 공격 패턴을 사전 분석하여 소프트웨어 내의 모듈간의 파급력과 연관관계에 있는 모듈의 공격 가능한 패턴을 예측하고 이에 대한 소프트웨어 취약점을 분석할 수 있는 방법을 제시한다.