• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2002.11a
• /
• pp.459-462
• /
• 2002

기존의 개별적 보안 사항에 맞추어 서비스를 제공하는 여러 보안 솔루션들이 급변하는 네트워크 환경에 적절한 대응을 못하고 있는 실정이다. 단순한 보안 문제에 대한 특화된 솔루션에 의존을 해왔기 때문에 해당 네트워크와 시스템 환경에 맞는 적절한 대응책을 마련하지 못하고 있으며, 그 이전에 취약성 분석조차도 미비하기 때문이다. 그러므로 적절한 취약성 분식에 대한 방법론 제시가 필수적이다. 사이버 공격과 방어 메커니즘 분석을 통해 얻어지는 시스템의 각 요소들을 Modeling하고, 시뮬레이션 기법을 이용하여 취약성을 평가하고 다시 재구성하여 적용해보는 취약성 분석 방법을 기술하고자 한다. 다양한 공격들로부터 전체 시스템을 보호하고, Survivability를 증가시키기 위해서는 취약성 분석이 기반이 되어야 하며, 그 시스템은 취약성에 의한 결함이나, 공격에 의한 장애에도 불구하고, 고유의 기능을 완전하게 제공하기 위해서 지속적으로 수행되는 속성을 유지해야 할 것이다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2005.11a
• /
• pp.73-75
• /
• 2005

최근 Windows 관련 취약점으로 인한 피해는 매우 커지고 있다. 그러나 그에 대한 조치는 사후처리식의 수동적 형태였다. 따라서 본 논문에서는 Windows 관련 취약점에 능동적으로 대처하기 위하여 Windows 관련 취약점 공격 유형을 분석하고, 그 정보를 바탕으로 주요 취약점의 동작 원리를 분석하여 사전에 예상되는 취약점의 취약성유무를 검증하는 기법을 제안한다.

• Proceedings of the Korea Society for Simulation Conference
• /
• 2002.11a
• /
• pp.17-21
• /
• 2002

네트워크 보안의 중요성과 필요성이 증대됨에 따라 많은 조직들이 다양한 보안 시 스템을 네트워크에 적용하고 있다. 침입 차단 시스템, 침입 탐지 시스템, 취약점 스캐너와 같은 보안 시스템들이 취약성 정보를 공유하게 되면 일관된 통합 보안 환경을 구축할 수 있다. 본 연구진은 통합 보안 시뮬레이션 환경의 구축을 위해 여러 보안 시스템 모델들이 사용할 수 있는 취약성 정보들을 집약시킴으로써 보안 시스템간의 정보 공유를 쉽게 할 수 있는 SVDB (Simulation based Vulnerability Data Base)를 구축하였다. 네트워크의 한 구성요소인 SVDB는 보안 시스템 모델의 구성에 필요한 다양한 정보를 담고 있어 한 호스트나 네트워크가 갖는 취약성을 조기에 발견할 수 있다. 또한 SVDB는 침입 탐지 시스템과 같은 보안 시스템이 존재하는 네트워크를 시뮬레이션 하는데 필요한 보안 정보를 제공한다. 보안시스템을 위한 시뮬레이션 모델은 DEVS (Discrete EVent system Specification) 방법론을 사용하여 구성하였다. 또한 이렇게 구축된 시뮬레이션 모델들이 SVDB와 연동하기 위한 인터페이스 모듈을 구현하였다. 취약성 스캐너, 침입 탐지 시스템, 침임 차단 시스템이 정보를 공유함으로써 공격에 효과적인 대응하는 것을 시뮬레이션을 통해 보인다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2022.05a
• /
• pp.198-201
• /
• 2022

본 논문에서는 소프트웨어에 내장된 취약점의 패턴을 인식하여 찾아내는 딥러닝 기반 취약점 탐색 기술에 대해 소개한다. 특정 소프트웨어의 소스 코드 혹은 바이너리 코드를 분석하여 취약점을 찾아내는 여러 기법들을 살펴본 다음, 딥러닝 기반 바이너리 취약점 탐색 기술의 향후 연구 방향을 조망하고자 한다.

• Journal of Information Technology and Architecture
• /
• v.9 no.4
• /
• pp.401-411
• /
• 2012

There has been increased interest for cloud computing services that can promote cost savings while increasing investment in information resources. Cloud computing, however, has a disadvantage physically located in the external information resources to take advantage of the economic benefits, the advantages and increase the vulnerability of information protection and control of information assets. In this study, due to the unique properties of the new services, including vulnerability, the vulnerability of cloud computing derive the vulnerability of cloud computing and control items were derived through the mapping between vulnerability and control items, that are not being managed to identify vulnerabilities Cloud computing risk factors are presented.

• Information Systems Review
• /
• v.19 no.3
• /
• pp.201-228
• /
• 2017

Vulnerability information, which can cause serious damage to information assets, has become a valuable commodity, thereby leading to the creation of a vulnerability market. Vulnerability information is traded on the vulnerability market from several hundred dollars to hundreds of thousands of dollars depending on its severity and importance, and the types and scope of the vulnerability markets are varying. Based on previous studies on vulnerability markets and hackers, this study empirically analyzed the effects of the security researcher's vulnerability research motivation on his/her vulnerability market use intention. The results are discussed as follows. First, vulnerability research self-efficacy had a significant effect on flow and on white and black market use intention but not on perceived benefit. Second, flow had a significant effect on perceived benefit and on black market use intention but had no effect on white market use intention. Third, perceived profit had a significant effect on white and black market use intention. Fourth, vulnerability research self-efficacy had a significant effect on perceived benefit through flow. Fifth, flow had a significant effect on white and black market use intention through perceived profit. These findings can be used to predict the behavior of security researchers who have experience in exploiting vulnerabilities.

• 한국디지털정책학회:학술대회논문집
• /
• 2005.06a
• /
• pp.239-252
• /
• 2005

본 논문에서는 이론적, 실무적 선행연구들에 대한 검토를 토대로 통합적인 정보격차 요인모형을 제시하고 정보격차 요인모형에서 도출된 변수들과 기존정책들을 중심으로 표적집단심층면접법(Focus Group Interview, FGI)를 이용하여 정보취약계층인 장애인, 노인층, 저소득층을 대상으로 정보활용기회를 확대하기 위한 방안들을 실증적으로 도출하였으며 또한 기존 정책에 대한 만족도 및 효과성을 측정하였다. FGI 조사결과 취약계층별로 차별화된 정책적 요구사항이 도출되었으며, 통합적으로 정보접근, 정보이용, 정보활용을 지원할 수 있는 통합적 지원체계가 가장 절실한 것으로 나타났다. 또한, 취약계층별 개별 대상자의 개별적인 정보화수준 및 요구사항을 반영하기 위하여 개별 인적자원에 대한 통합관리가 필요한 것으로 나타났다. 아울러, 정보접근정책 및 정보이용지원정책, 정보활용지원정책별로 포괄적인 만족도 조사를 실시한 결과 공히 만족도 수준이 보통이하인 것으로 나타나 개별 정책에 대한 지원전략의 수정이 필요한 것으로 나타났다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.22 no.3
• /
• pp.601-613
• /
• 2012

It is required to design and implement secure web applications to provide safe web services. For this reason, there are several scoring frameworks to measure vulnerabilities in web applications. However, these frameworks do not classify according to seriousness of vulnerability because these frameworks simply accumulate score of individual factors in a vulnerability. We rate and score vulnerabilities according to probability of privilege acquisition so that we can prioritize vulnerabilities found in web applications. Also, our proposed framework provides a method to score all web applications provided by an organization so that which web applications is the worst secure and should be treated first. Our scoring framework is applied to the data which lists vulnerabilities in web applications found by a web scanner based on crawling, and we show the importance of categorizing vulnerabilities according to privilege acquisition.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.32 no.2
• /
• pp.243-253
• /
• 2022

Recently, cyber attacks on national infrastructure facilities have continued to occur. As a result, the vulnerabilities of ICS-CERTs have more than doubled from last year, and the vulnerabilities to industrial control systems such as nuclear facilities are increasing day by day. Most control system operators formulate vulnerability countermeasures based on the vulnerability information sources of industrial control systems provided by ICS-CERT in the United States. However, it is difficult to apply this to the security of domestic control systems because ICS-CERT does not contain all relevant vulnerability information and does not provide vulnerabilities to domestic manufacturer's products. In this research, we will utilize publicly available vulnerability-related information such as CVE, CWE, ICS-CERT, and CPE to discover vulnerabilities that may exist in control system assets and may occur in the future. I proposed a plan that can predict possible vulnerabilities and applied it to information on major domestic control systems.

• Review of KIISC
• /
• v.5 no.2
• /
• pp.49-63
• /
• 1995

본 논문은 정보시스템 보안관리에 대한 개념적 모형을 INFORSEC 및 한국전산원이 제시한 모형을 중심으로 기술했으며 보안관리의 표준적인 분류체계를 근거로 BDSS의 위협. 자산, 취약성의 분류체계를 비교함으로써 위협, 자산, 취약성의 관련성을 탐색 하고자 했다. 특히 위협의 원천과 가해자 측면에서 BDSS와 CRAMM의 경우를 비교함으로써 분류체계의 장단점을 파악하고자 했다.