• 한국소프트웨어감정평가학회 논문지
• /
• 제8권2호
• /
• pp.45-51
• /
• 2012

본 논문은 SOA 보안 취약점을 분석하기 위해 서비스 계층 구조상의 특징을 고려하여 취약점을 식별하고 평가한다. 제안된 분석방법은 모델기반 접근방법으로써, 안전한 서비스 모델을 도출하기 위해, 비즈니스 모델에서 보안요구사항을 표현하는 방법과 서비스의 취약점 식별 과정을 정의한다. 분석적 검증을 통해 제안된 방법이 유용성을 평가하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2012년도 추계학술발표대회
• /
• pp.1001-1004
• /
• 2012

IT 기술이 점점 발전함에 따라 이동식 저장매체는 가격대비 고용량 및 높은 휴대성을 제공하고 다양한 방식으로 접근하여 많은 사용자 계층을 확보하고 있다. 이러한 이동식 저장매체의 분실 및 도난을 통하여 각종 개인 정보 유출 사건사고와 같은 2차 피해가 빈번하게 발생됨에 따라 보안 솔루션이 개발되어 사용자들에게 제공되고 있다. 하지만 기존에 개발되어 제공되는 이동식 저장매체 보안 솔루션은 보안 취약점이 발견되고, 부족한 사용자 편의성으로 인해 더욱 안전하고 사용자 편의를 제공하는 보안 솔루션의 필요성이 증가되고 있다. 따라서 본 논문에서는 기존의 이동식 저장매체 보안 솔루션과 차별화되어 2차 피해 발생을 예방하고, 더욱 안전한 보안성 및 사용자 편의성을 제공하는 이동식 저장 매체 보안 솔루션을 설계하고 구현한다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2017년도 추계학술대회
• /
• pp.561-562
• /
• 2017

소프트웨어 정의 네트워킹 기술은 네트워크 처리 부분과 제어 부분을 분리하여 중앙집중적이고 강력하게 네트워크를 제어할 수 있다. 하지만 소프트웨어 정의 네트워킹 기술은 강력함과 함께 보안 위협이 크고 영향도 크다. 대부분의 소프트웨어 정의 네트워킹에 대한 보안 연구는 네트워크 취약점을 발견하고 방어하는 데 중점을 두고 있다. 하지만 이러한 기술 자체에 대한 보안 연구는 많지 않다. 본 논문에서는 이러한 네트워킹 기술에서 발생할 수 있는 보안 취약점들을 분석하고 보안도를 높이기 위해 필요한 사항을 제안한다. 가장 큰 위협은 컨트롤러에 대한 서비스 거부 공격 및 보안 위협들이며 컨트롤러와 스위치간 신뢰성 문제도 있으며 설정 정보를 조작하여 오동작하게 하는 공격을 탐지하기 위한 기법도 필요하다.

• 정보보호학회지
• /
• 제26권1호
• /
• pp.9-19
• /
• 2016

프로그램 개발단계에서 개발자의 실수로 인한 소스코드 내의 보안약점을 제거하여 정보시스템의 안전성을 강화하려는 노력이 이루어지고 있는 가운데, 의도적으로 삽입된 악의적인 보안 약점에 대한 대응의 필요성이 증가하고 있다. 본 논문에서는 상용 및 공개 소프트웨어의 의도적 보안약점에 의한 침해 사례 및 관련 취약점의 주요 형태와 모바일 앱의 의도적 보안약점 개요 및 관련 사례를 기술한다. 이를 통하여 의도적 보안약점에 대한 개괄적 내용을 제시하고 이에 대한 대응방안을 모색하고자 한다.

• 정보보호학회논문지
• /
• 제32권4호
• /
• pp.709-722
• /
• 2022

최근 "Log4j 보안 취약점 사태" 가 발생함에 따라 오픈소스인 "Log4j"를 활용하는 정보시스템이 취약점에 노출되었다. 이번 사태로 인해 전 세계뿐만 아니라 국내 주요 정부 기관 또는 기업들의 정보시스템에 큰 취약점이 발생하여 오픈소스의 취약점에 대한 문제가 대두되었다. 오픈소스는 여러 장점에도 불구하고 오픈소스를 활용하여 개발하는 현재의 개발 패러다임으로 인해 소프트웨어 보안 취약점이 손쉽게 확산될 수 있다는 문제점이 많아 오픈소스의 안전성 및 신뢰성 확보하기 위해 오픈소스에 대한 취약점 점검이 필요하다. 하지만 오픈소스 취약점 스캐닝 도구는 종류도 많고 지원하는 언어와 기능들이 상이한 다형적인 특징을 가지고 있다. 따라서, 기존 소프트웨어 평가 기준으로는 평가하기 모호하고 장단점을 평가하기 어려우므로 본 논문에서는 오픈소스 취약점 분석 도구에 대한 새로운 평가 기준을 개발하였다.

• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 1996년도 종합학술발표회논문집
• /
• pp.55-64
• /
• 1996

인터넷 및 정보통신망의 기술 추세에 편승하여 국ㆍ내외적으로 전산망 해킹과 역기능은 국가 사회적으로 매우 심각한 문제로 인식되고 산다. 국내의 경우 전산망 시스템 관리자 및 사용자의 부주의에 의한 전산망 보안 취약성이 해킹의 많은 원인을 제공하고 있는 실정이다. 또한 국제적으로 많은 보안도구들이 개발되어 있으나 국내의 경우 보급·운영되고 있는 국산주전산기에 대한 보안도구들의 호환성이 검증되지 않아 실무 적용에 어려움이 많다. 따라서 본 논문에서는 빈번하게 발생한 해킹 사례를 중심으로 시스템 관리자가 전산망 시스템 보안 문제점을 점검하고 조치할 수 있도록 하는 전산망 안전진단 소프트웨어 SecuDr를 소개한다. 개발된 SecuDr는 국산 주전산기인 타이컴 및 톨러런트와 UNIX를 운영체제로 하는 SUN, HP, IBM 등에서 동작 가능하다.

• 정보와 통신
• /
• 제33권3호
• /
• pp.87-93
• /
• 2016

무선공유기에 대한 공격은 오픈 소스(Open Source) 소프트웨어 도구(Software Tool)가 널리 공개되어 실행하기 수월해진 반면, 이러한 보안 위협에 대한 탐지 및 대응 기술은 알려진 바가 적다. 본고에서는 무선공유기에 대한 보안 공격의 유형과 그에 대한 무선네트워크의 취약성을 알아봄으로써 무선 침입 탐지시스템의 필요성을 살펴보고, 소규모 네트워크에는 적합하지 않은 상용 무선침입방지시스템의 대안으로 오픈 소스 소프트웨어 도구를 제시하였다. 모의 침투를 통해 오픈 소스 소프트웨어 도구의 성능을 분석하고 상용도구와 비교함으로써 추후의 개발 방향과 가능성을 제시하였다.

• 정보보호학회논문지
• /
• 제22권5호
• /
• pp.1191-1204
• /
• 2012

정보보안시스템을 무력화하는 공격이 나타남에 따라, 정보보안제품의 취약성을 분석하는 보안 테스팅에 대한 관심이 높아지고 있다. 보안제품 개발의 주요 단계인 침투 테스팅은, 공격자가 악용할 수 있는 취약성을 찾기 위해 컴퓨터 시스템을 실제적으로 테스팅하는 것이다. 침투 테스팅과 같은 보안 테스팅은 대상 시스템에 대한 정보 수집, 가능한 진입점 식별, 침입 시도, 결과 보고 등의 과정을 포함한다. 따라서 취약성 분석 및 보안 테스팅에서 일반성, 재사용성, 효율성을 극대화하는 것이 매우 중요하다. 본 논문에서는, 정보보호제품이 자신의 보안 기능을 무력화하거나 우회하는 공격에 대응할 수 있는 자체보호기능 및 우회불가성을 제공하는 가를 평가할 수 있는 위협분석 기반의 소프트웨어 보안 테스팅을 제안한다. 위협분석으로 취약성을 식별한 후, 보안 테스팅의 재사용성과 효율성을 개선하기 위해 소프트웨어 모듈과 보안 기능에 따라 테스팅 전략을 수립한다. 제안기법은 위협 분석 및 테스팅 분류, 적절한 보안테스팅 전략 선정, 보안 테스팅으로 구성된다. 사례연구와 보안테스팅을 통해 제안 기법이 보안 시스템을 체계적으로 평가할 수 있음을 보였다.

• 한국통신학회논문지
• /
• 제38C권10호
• /
• pp.831-840
• /
• 2013

최근 소프트웨어 보안성 강화를 위해 소프트웨어 개발단계에서 보안취약점의 원인인 보안약점을 제거하기 위한 정적분석 기반의 도구를 많이 활용하고 있다. 따라서, 보안약점 진단도구는 다양한 보안약점을 진단할 수 있는 진단규칙을 보유하는 것이 필요하다. 2011년부터 2012년까지 국내 주요 정보화사업으로 개발된 소프트웨어에서 발견된 상위 5개의 보안약점은 연도별 상위 10개 보안약점의 76%에 해당된다. 소프트웨어 개발시 상위 5개의 보안약점만 적절히 조치하여도 소프트웨어 보안성이 많이 개선될 수 있다. 본 논문은 많이 활용되고 있는 공개용 진단도구인 PMD를 대상으로 주요 보안약점에 대한 진단규칙과 이에 대한 성능시험 결과를 제시한다.

• 정보처리학회논문지D
• /
• 제13D권1호
• /
• pp.67-74
• /
• 2006

소프트웨어 개발 과정에서 보안 요구사항 식별은 그 중요성으로 최근에 관심이 주목되고 있다. 그러나 기존 방법들은 보안 요구사항 식별 방법과 절차가 명확하지 않았다. 본 논문에서는 소프트웨어 개발자가 보안 위협 위치의 상태전이도로부터 보안 요구사항을 식별하는 절차를 제안한다. 이과정은 상태전이도를 작성하는 부분과 어플리케이션 의존적인 보안 요구사항을 식별하는 부분으로 구성된다. 상태전이도 작성은 1) 공격자가 소프트웨어 취약성을 이용하여 자산을 공격한다는 것에 기반하여 기존에 발생했던 보안 실패 자료를 이용하여 소프트웨어의 취약성을 위협하는 위치를 식별하고, 2) 식별된 위협 위치에 해당하는 소프트웨어 취약성을 방어, 완화시킬 수 있는 상태전이도를 작성하는 과정으로 이루어진다. 어플리케이션 의존적인 보안 요구사항 식별과정은 1) 기능 요구사항을 분석 한 후, 위협 위치를 파악하고, 각 위협 위치 에 해당하는 상태전이도를 적용하고, 2) 상태전이도를 어플리케이션 의존적인 형태로 수정한 후, 3) 보안 요구사항 추출 규칙을 적용하여 보안요구사항을 작성하는 과정으로 구성된다. 제안한 방법은 소프트웨어 개발자가 소프트웨어 개발 초기에 모델을 적용하여 쉽게 보안 요구사항을 식별하는데 도움을 준다.