• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2018년도 제57차 동계학술대회논문집 26권1호
• /
• pp.85-86
• /
• 2018

본 논문에서는 사이버공격의 주요 대상인 웹 애플리케이션의 보안을 위하여 취약점진단 및 제거, 이행점검의 웹 통합보안관리 플랫폼을 제안한다. 이 플랫폼은 동적진단엔진, 취약점제거보안모듈, UI를 제공하는 통합관리시스템, 진단 결과를 저장하는 결과 및 통계 DB, 와 진단을 위한 관련 정보를 저장하는 진단 및 보안정보 DB로 구성되며, 동적진단결과에 대한 상관관계분석 기능과 취약점 개선 활동 시 스마트 보안모듈을 통해 빠르고 손쉬운 취약점 제거수정, 완화할 수 있는 통합플랫폼 연구를 통하여 웹 애플리케이션보안을 효율적으로 할 수 있다.

• 한국통신학회논문지
• /
• 제38C권10호
• /
• pp.831-840
• /
• 2013

최근 소프트웨어 보안성 강화를 위해 소프트웨어 개발단계에서 보안취약점의 원인인 보안약점을 제거하기 위한 정적분석 기반의 도구를 많이 활용하고 있다. 따라서, 보안약점 진단도구는 다양한 보안약점을 진단할 수 있는 진단규칙을 보유하는 것이 필요하다. 2011년부터 2012년까지 국내 주요 정보화사업으로 개발된 소프트웨어에서 발견된 상위 5개의 보안약점은 연도별 상위 10개 보안약점의 76%에 해당된다. 소프트웨어 개발시 상위 5개의 보안약점만 적절히 조치하여도 소프트웨어 보안성이 많이 개선될 수 있다. 본 논문은 많이 활용되고 있는 공개용 진단도구인 PMD를 대상으로 주요 보안약점에 대한 진단규칙과 이에 대한 성능시험 결과를 제시한다.

• 정보와 통신
• /
• 제31권5호
• /
• pp.39-45
• /
• 2014

기업활동에서 IT에 대한 의존도가 증가함에 따라 기업들은 다양한 소프트웨어 및 하드웨어 플랫폼에서 제공되는 서비스들을 운영하고 있다. 서비스들이 보급, 확대되는 과정에서 새로운 보안 취약점들이 나타나고, 이들 취약점을 악용한 기업정보의 유출 및 해킹 등 보안사고의 발생도 비례하여 증가하고 있다[1]. 특히 다양한 유형의 사업을 운영하는 지주회사 또는 대기업 그룹사의 경우, 사업영역별로 운영 중인 IT 인프라의 보안 취약점이 네트워크로 연결된 타 사업용 IT 인프라에 대한 사이버 침해의 통로로 악용될 가능성이 있다. 이 같은 문제의 해결을 위해 기업들은 사업영역 별로 보유한 IT 인프라의 보안 취약점 진단과 대응을 위한 솔루션들을 도입, 운영해 오고 있다. 하지만 기업의 보안 거버넌스 관점에서 보안 취약점 관리도 전사적인 보안 정책과의 연계 강화, 투자 중복의 방지, 효과적인 관리와 통제에 대한 필요성이 대두되기 시작했다. 보안 거버넌스 체계 강화에 대한 기업의 요구변화에 맞춰 보안 취약점의 통합관리를 지원하는 상용 솔루션들이 일부 출시되고 있으나 기업들이 기 운영하고 있는 개별 취약점 진단 솔루션과의 연동, 로그관리 및 기업이 요구하는 특화된 기능 구현 등의 어려움이 도입에 장애가 되고 있다. 따라서, 대기업을 중심으로 개별 보안 취약점 진단 솔루션들을 연동하여 기업보안 거버넌스를 효과적으로 지원할 수 있도록 취약점 관리업무 프로세스의 재설계와 함께 취약점 진단 통합관리 체계를 구축하고 있다[2][3][4]. 본고는 보안 취약점 관리업무의 문제점을 소개하고, 최근 대 기업을 중심으로 활발히 구축이 추진되고 있는 웹 기반의 취약 점 진단 통합관리 체계의 개념, 기능 및 운영 프로세스를 소개한다. 아울러, 기업 IT 인프라에 대한 보안 취약점 진단 데이터를 축적하여 기업 내부의 보안위험 요소를 사전예측하고, 정보보호의 투자 대비 효과(ROSI: Security Return on Investment)를 효과적으로 산정하는 인프라로서 활용 가치를 소개한다.

• 한국정보통신학회논문지
• /
• 제21권5호
• /
• pp.945-950
• /
• 2017

소프트웨어의 취약점으로 인하여, 국가의 사이버 인프라와 실물 금융자산 에 대한 해킹 공격이 발생하고 있다. 소프트웨어는 인터넷 정보제공과 사이버 금융결제 및 사이버 인프라를 통제하고 운영하는, 운영체제 및 실행시스템을 구성하는 필수요소이기 때문이다. 이러한 소프트웨어 취약점을 분석하고, 보안성을 강화해야 사이버 인프라의 보안성이 강화되고, 실제 국가와 국민의 실제 생활에 보안성이 강화된다. 소프트웨어 개발보안 제도 분석과 소프트 웨어 개발보안 진단 분석 및 소프트웨어 취약점의 보안성 강화를 위한 연구를 한다. 또한 소프트웨어 취약점 진단원 양성 및 보수교육을 위한 교재개발과 진단원 시험문제 개발 및 진단원의 파일럿 테스트, 그리고 진단원의 투입인력 비용기준을 연구한다. 본 논문의 연구는 소프트웨어 취약점 진단원을 양성하는 교육과정과 진단가이드를 제시하여, 국가와 국민 생활의 사이버 인프라의 소프트웨어 보안성을 강화하는 데 목적이 있다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2020년도 제62차 하계학술대회논문집 28권2호
• /
• pp.449-450
• /
• 2020

최근 블록체인이 많은 분야에서 활용되고 있다. 본 연구에서는 블록체인과 관련된 개발 도구에 포함된 보안약점을 분석하고 그 보안약점을 진단하기 위한 정보를 기반으로 분류한다. 또한 일부 보안약점의 예를 통하여 진단하기 위한 알고리즘을 llvm의 Clang 도구에 적용하기 위한 방법을 연구한다. 이를 통하여 블록체인과 관련된 보안약점을 분류하고 그에 대한 진단 방법을 연구하였다. 향후 기존 정적 분석 도구를 확장함으로써 진단 성능을 높일 수 있을 것이며, 줄리엣 코드와 같은 벤치마크 테스트를 통해 그 결과를 비교해볼 수 있을 것이다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2014년도 춘계학술발표대회
• /
• pp.475-478
• /
• 2014

최근 인터넷이 발전함에 따라 월드와이드웹(World Wide Web) 기반의 웹 서비스가 급격한 발전을 이루었다. 또한 이 웹 서비스를 바탕으로 다양한 컨텐츠들과 이를 이용하는 사용자의 수도 함께 증가하였다. 그러나 이와 같은 웹 서비스의 보편화가 증대될수록 이를 악용하려는 사이버 범죄 또한 비례하여 증가하고 있다. 최근에는 공격자들이 스마트폰을 대상으로 악성코드를 전파하기 위한 방법으로 웹 서비스를 활용하기 시작하면서 웹 서비스의 보안에 대한 중요성이 더욱 강조되고 있다. 이러한 웹 서비스 보안의 필요성을 인지하고, 많은 사람들이 무료로 쉽게 웹 서비스 보안취약점을 진단 할 수 있도록 여러 오픈소스 기반의 보안 취약점 진단도구가 연구, 개발되고 있다. 하지만 웹 서비스의 보안약점을 진단하는 도구의 적합성 평가 및 기능 분류가 명확하지 않아서 진단도구를 선택하고 활용함에 있어 어려움이 따른다. 본 논문에서는 OWASP에서 위험도에 따라 선정한 웹 서비스의 보안 취약점 Top 10 항목과 소프트웨어 보안약점 진단가이드 등을 통해 웹 서비스 보안 취약점을 진단하는 도구에 대한 분석 기준을 제시한다. 이후 오픈소스로 공개된 테스트 기반 취약점 탐지도구와 소스 기반 취약점 진단도구들에 대해 제시한 기준을 이용하여 분석한다. 본 논문의 분석결과로 웹 서비스의 안전성을 평가하기 위해 활용할 수 있는 진단 도구에 대한 분석정보를 제공함으로써 보다 안전한 웹 서비스의 개발과 운영에 기여할 것으로 기대한다.

• 한국항해항만학회:학술대회논문집
• /
• 한국항해항만학회 2022년도 추계학술대회
• /
• pp.398-399
• /
• 2022

스마트선박 및 자율운항선박에 탑재될 선박 네트워크 보안장비에 대한 모의 공격 방법 및 정보통신망 보안진단 절차에 관하여 이해한다. 선박사이버보안 침해시험을 통하여 보안사고 예방을 통한 선박의 운항 안전성을 확보 하고자 합니다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2014년도 춘계학술발표대회
• /
• pp.518-521
• /
• 2014

최근 개인정보 유출 등으로 인해 정보시스템의 보안약점 및 소스코드 품질에 대한 관심이 높으며, 특히 개인자산과도 관련된 금융 정보 시스템의 경우에는 더욱 높다. 해당 시스템의 보안성 강화를 위해서는 개발단계에서부터 보안취약점과 코드의 품질을 높일 수 있는 정적분석 기반의 진단도구 활용이 중요하다. 많은 분야에서 진단도구의 활용이 이루어지고 있지만 금융 정보시스템의 경우 다른 SW 와 특성이 다르기 때문에 추가적인 진단규칙이 반영된 진단도구의 활용이 필요하다. 본 논문은 여러 진단도구 중 전자정부개발에 사용하고, 비교적 진단규칙 추가가 용이한 PMD 에 추가 진단규칙을 반영한 후 생명보험 정보시스템에 적용하고 이에 대한 PMD 검출 계수를 분석한다.

• 융합정보논문지
• /
• 제11권10호
• /
• pp.144-150
• /
• 2021

본 논문의 연구목적은 5G 통신네트워크 보안에서 표준화가 진행되고 있는 상황에서 주요 고려 사항인 슬라이싱 보안 정책에 대한 방향을 검토하고, 5G 통신 네트워크 가상화의 보안 취약점 진단 항목들을 도출하며, 위험관리에 대한 주요 논의 사항들을 분석하고 제시하는데 있다. 연구방법은 유럽 핵심보안 연구기관인 ENISA(European Union Agency for Cybersecurity)의 5G 통신네트워크의 가상화 보안 정책 방향과, 국외 주요 관련 저널로부터 5G 통신네트워크의 가상화 보안정책과 취약점 분석 등의 연구 내용을 분석에 활용하였다. 본 논문의 연구 결과에서는 5G 통신 네트워크의 가상화 보안에서 보안구조를 정리하였고, 보안 위협들과 위험관리 요소를 도출하였다. 또한 위험관리 영역에서 보안 서비스별로 취약점 진단 항목들을 도출하였다. 본 연구의 기여도는 여전히 논의 되고 있는 5G 통신 네트워크 가상화 보안에서 보안 위협 항목들을 요약하였다는 것과, 유럽의 5G 통신네트워크 사이버보안 방향을 파악 할 수 있었다는 것, 그리고 5G 통신 네트워크의 가상화 보안에 고려되어야 하는 취약점 진단 항목들을 도출하였다는 데 있다. 아울러 본 연구의 결과는 국내 5G 통신네트워크 가상화 보안을 위한 취약점 진단 항목들을 개발하는데 기초 자료로 활용 될 수 있다. 향후 5G 통신네트워크 가상화 보안의 취약점 진단 항목에 대한 상세한 진단 프로세스를 연구하는 것이 필요하다.

• 한국통신학회논문지
• /
• 제38C권4호
• /
• pp.335-343
• /
• 2013

SW 개발단계에서 사이버침해사고의 주요 원인인 SW 보안약점을 진단하여 제거하면 사이버침해사고를 효과적으로 예방할 수 있다. 국내의 경우, SW 개발보안 적용이 의무화되어 SW 보안약점을 제거하는 것이 필수사항이 되었다. 효과적으로 SW 보안약점을 진단하여 제거하기 위해서는 신뢰된 SW 보안약점 진단도구의 도움이 필요하다. 따라서, 본 논문은 국내환경에 적합한 진단도구 기능 요구사항과 진단도구의 신뢰성을 보증할 수 있는 평가방법론을 제안한다. 그리고, 제안된 평가체계의 효과를 분석하기 위한 시범 적용한 결과 및 절차를 제시한다.