• 정보보호학회논문지
• /
• 제15권5호
• /
• pp.35-45
• /
• 2005

최근 증가하고 있는 피싱 공격은 사용자의 실수를 유발해 개인정보를 공격자에게 노출시켜 공격자가 경제적 이득을 취하는 공격이다 유사 메일이나 유사 주소로 사용자를 속이던 이 기법은, 메일주소 위조, 도메인 주소 위조 등으로 점점 다양해지며 기술적으로 발전해 왔다. 최근에 이르러서는 몇몇 웹 브라우저에서 발생한 취약점, 정상적인 스크립트, HTML, DNS 스니핑 등을 이용한 RUL 스푸핑 공격을 피싱 공격에 이용하면서 그 피해가 크게 늘고 있다. 본 논문에서는 피싱 공격에 사용되는 고도화된 기법인 URL 스푸핑을 이용한 피싱 공격에 대해서 논의하고 이에 대한 검사방법과 예방책, 더 나아가 피싱 공격을 근본적으로 제한할 수 있는 스킴을 제안한다.

• 정보보호학회논문지
• /
• 제22권2호
• /
• pp.283-293
• /
• 2012

최신의 변종 악성코드는 백신에 의해 쉽게 탐지 되지 않아 장시간에 걸쳐 개인정보와 같은 다양한 데이터를 유출시키기도 한다. 일반적으로 인젝션, 취약한 인증과 세션관리, 크로스 사이트 스크립팅(XSS), 안전하지 않은 직접 객체 참조 등의 웹 취약점을 활용한 거점 좀비 PC를 이용하여 네트워크 연계를 통하여 정보 유출형 악성코드가 빈번히 설치되고 있다. 악성코드가 실행되면 임의의 서비스와 프로세스로 등록되고, 등록된 악성코드는 이를 기반으로 공격자가 정보를 수집하는 사이트로 주기적으로 정보를 유출한다. 본 논문에서는 2011년 1월부터 빈번하게 발생한 악성코드 중에서 유용한 사례로 웜 형태의 신종 악성코드인 소위 "winweng"의 체계적인 분석을 통해서 감염경로 및 정보유출의 과정과 방법에 대하여 분석하고 이에 대한 대응 방안을 연구하였다.

• 융합보안논문지
• /
• 제23권4호
• /
• pp.33-41
• /
• 2023

최근 지능형 지속위협(APT) 공격조직은 국가핵심기술을 보유한 기업이나 기관을 대상으로 다양한 취약점 및 공격기법을 악용해서 랜섬웨어를 유포한 후 금전을 요구하거나 국가적으로 중요한 산업기밀 자료를 절취해서 암시장(다크웹)에 유통시키거나 제3국에 판매 또는 기술격차를 줄이는데 활용하는 등 국가차원의 보안대비가 필요하다. 이 논문에서는 Kimsuky, Lazarus 등 한국을 대상으로 APT 공격으로 산업기밀유출 피해를 입혔던 공격조직의 공격수법을 MITRE ATT&CK 프레임워크로 분석하고, 기업의 보안시스템이 추가적으로 갖추어야 할 사이버 보안관련 관리적, 물리적 및 기술적 보안요구사항 26개를 도출하였다. 또한, 보안 요구사항을 실제 보안업무에 활용할 수 있도록 보안 프레임워크 및 시스템 구성방안도 제안하였다. 이 논문에서 제시한 보안요구 사항은 보안시스템 개발 및 운영자들이 기업의 산업기밀 유출 방지를 위한 보안업무에 활용할 수 있도록 실질적인 방법 및 프레임워크를 제시했으며 향후 이 논문을 기반으로 다양한 APT 공격그룹의 고도화·지능화된 공격을 분석하고 관련 보안대책 연구가 추가적으로 필요하다.

• 한국컴퓨터정보학회논문지
• /
• 제17권12호
• /
• pp.169-177
• /
• 2012

응용 시스템 개발 과정에 있어서 중요하고 핵심을 이루는 작업은 분석과 설계 작업이며 아울러 대부분의 응용 시스템은 데이터베이스 기반으로 구축된다. 또한, IT 시스템들 간 상호 연결이 증가되면서 응용 시스템들은 외부공격에 쉽게 노출되어 지고 있기 때문에 보안과 관련된 처리 과정 역시 중요하다. 보안은 시스템에서 많은 부분과 상호작용을 하는 복잡한 비기능적 요구사항이다. 하지만 이러한 보안은 대부분 개발 마지막 과정에서 고려하기 때문에 보안에 취약한 응용 시스템이 개발될 가능성이 매우 높다. 따라서 개발 초기에 보안을 반영한 분석 및 설계 과정이 매우 중요하다. J2EE는 웹 응용 시스템을 위한 보안 방안을 제공하고, 아울러 객체-관계형 데이터베이스도 보안을 위하여 역할기반 접근제어를 지원하고 있지만 객체-관계형 데이터베이스 및 J2EE의 역할기반 접근제어를 활용하는, 요구사항 수집부터 구현까지 개발 단계 전체에 걸친 보안을 고려한 일관된 개발방법론은 전무한 실정이다. 따라서 본 논문에서는 보안 요구사항을 요구사항 수집부터 분석 및 설계 그리고 마지막 구현 단계까지 반영하여 J2EE 기반의 웹 응용 시스템을 개발하기 위한, 보안을 고려한 일관된 통합 분석 설계 방법론을 제안한다.

• 인터넷정보학회논문지
• /
• 제18권4호
• /
• pp.69-78
• /
• 2017

최근 우리나라에서 활발하게 도입되고 있는 공인인증서 기반의 오픈 뱅킹은 표준 통신 프로토콜과 웹 호환성 지원을 통해 기존 공인인증서 기반의 폐쇄형 뱅킹의 갈라파고스화 문제를 상당 부분 해소할 수 있을 것으로 기대되고 있다. 그러나 새로운 오픈 뱅킹이 기존 폐쇄형 뱅킹에 대해 제기되어온 안전성 문제와 사용자 편의성 문제를 어느 정도 해소할 지에 대해서는 의문으로 남아있다. 본 논문은 기존의 공인인증서 기반의 폐쇄형 뱅킹과 오픈 뱅킹의 구현 방식 차이를 분석하고, 오픈 뱅킹이 폐쇄형 뱅킹이 안고 있는 보안성과 편의성 문제를 어느 정도 해소하고 있는지 분석하는데 초점을 맞추고자 한다. 이 분석은 기존 폐쇄형 뱅킹이 15년 이상 서비스를 제공하는 과정에서 제기된 보안성 취약점, 보안성 강화를 위해 적용된 대응책, 대응책의 편의성에 대한 영향을 먼저 분석하고, 폐쇄형 뱅킹과 오픈 뱅킹의 구현 방식 차이를 통해 오픈 뱅킹의 보안성과 편의성을 추론하는 방식으로 진행되었다. 분석 결과 오픈 뱅킹이 여전히 안고 있는 보안성과 편의성 문제를 해소하기 위해 향후 오픈 뱅킹이 어떻게 개선되어야 하는지에 대해서도 간략하게 논의하고자 한다.