• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제2권10호
• /
• pp.445-460
• /
• 2013

최근 증가하는 모바일 어플리케이션은 다양한 모바일 기기 및 사용자 별 모바일 환경에 따라 다양하게 서비스 되고 있다. 그러나 늘어나는 모바일 어플리케이션의 보안 취약성 문제점도 크게 대두되고 있는 실정이다. 이러한 보안 문제점을 효과적으로 검증하기 위해 본 논문에서는 "모바일 앱 구현 단계별 보안성 검증 방안"을 제안하고자 한다. 이는 기존 검증 방안 보다 더욱 구체적인 항목과 넓은 범위를 확인 할 수 있어 확인 되지 않았던 추가적인 항목에 대한 보안성 체크가 가능하며, 도출된 취약점을 바탕으로 해당 취약사항의 원인 및 발생환경 체크가 가능한 개선된 방법이다.

• 융합보안논문지
• /
• 제11권3호
• /
• pp.3-10
• /
• 2011

최근 들어 연이어 발생하고 있는 DDoS 공격의 영향으로 정부, 기관, 기업의 보안대책과 관련 법규 제도가 강화되고 있다. 하지만 대규모 네트워크 침해사고 및 서비스 방해공격들을 앞으로도 다시 발생할 가능성이 많으며 이를 예방하기 위해선 미리 취약성을 예측할 수 있는 연구가 이루어져야 한다. 기존의 연구 방법들은 어떤 데이터를 기반으로 예측하였는지가 명확하지 않아 복잡하거나 모호하다는 한계가 있다. 따라서 본 논문은 공신력 있는 기관에서 제공하는 취약점 데이터를 기반으로 예측에 관련된 기계 학습 기술을 이용하여 이전에 발생했던 취약점을 토대로 향후 발생할 수 있는 취약점에 대해 미리 예측할 수 있는 방법을 제안하고, 실험을 통하여 효율성을 검증하였다.

• 소프트웨어공학소사이어티 논문지
• /
• 제28권1호
• /
• pp.13-22
• /
• 2019

경쟁적이며 급진적으로 오늘날 소프트웨어 개발 산업 현장에 시큐어 코딩 방법론을 효과적으로 적용하기 위해서는 보안 취약점 결함을 자동으로 검출하는 결함 검출기의 효과적이고 효율적인 적용이 필수적이다. 본 논문은 Java 웹 어플리케이션을 대상으로 하여 우리 행정안전부가 정의한 42개의 보안 취약점 진단 기준과 총 323개의 오픈소스 보안 취약점 결함 검출기의 검출 대상 결함 패턴을 비교하여, 동일한 결함 패턴을 대상으로 하는 것이 무엇인지를 명시화한 결과를 소개한다. 조사 결과를 바탕으로, 본 논문에서는 현재 행정안전부 보안 취약점 진단 기준 방법론의 한계점, 오픈소스 보안 결함 검출 프레임워크 간의 결함검출 범위의 비교, 그리고 시큐어 코딩 가이드라인에 기반 한 개발 보안 방법론의 발전 과제를 논의한다.

• 정보보호학회논문지
• /
• 제33권4호
• /
• pp.699-707
• /
• 2023

DevSecOps는 DevOps의 짧은 개발과 운용주기에 대응하기 위해 DevOps의 운용절차에 보안절차를 추가한 개념이다. DevSecOps 구축 시 빠른 개발 및 배포 주기를 지원하면서 안정적으로 보안성을 제공하기 위해 여러 단계의 취약점 점검 절차가 고려되어야 한다. 각 점검 단계별 활용 가능한 여러 오픈소스 취약점 점검 도구들이 존재하고 있으나 도구들이 지원하는 기능이 다양하고 점검결과들이 상이해 통합 운용 시 보안성 수준 평가 및 정보의 중요도 파악에 어려움이 있다. 본 논문은 오픈소스를 활용한 DevSecOps 구축 시에 보안점검 단계별 활용 가능한 오픈소스 취약점 점검 도구의 조합과 점검결과에 대한 통합적인 보안메트릭 설계방안을 제안한다.

• 융합정보논문지
• /
• 제11권10호
• /
• pp.144-150
• /
• 2021

본 논문의 연구목적은 5G 통신네트워크 보안에서 표준화가 진행되고 있는 상황에서 주요 고려 사항인 슬라이싱 보안 정책에 대한 방향을 검토하고, 5G 통신 네트워크 가상화의 보안 취약점 진단 항목들을 도출하며, 위험관리에 대한 주요 논의 사항들을 분석하고 제시하는데 있다. 연구방법은 유럽 핵심보안 연구기관인 ENISA(European Union Agency for Cybersecurity)의 5G 통신네트워크의 가상화 보안 정책 방향과, 국외 주요 관련 저널로부터 5G 통신네트워크의 가상화 보안정책과 취약점 분석 등의 연구 내용을 분석에 활용하였다. 본 논문의 연구 결과에서는 5G 통신 네트워크의 가상화 보안에서 보안구조를 정리하였고, 보안 위협들과 위험관리 요소를 도출하였다. 또한 위험관리 영역에서 보안 서비스별로 취약점 진단 항목들을 도출하였다. 본 연구의 기여도는 여전히 논의 되고 있는 5G 통신 네트워크 가상화 보안에서 보안 위협 항목들을 요약하였다는 것과, 유럽의 5G 통신네트워크 사이버보안 방향을 파악 할 수 있었다는 것, 그리고 5G 통신 네트워크의 가상화 보안에 고려되어야 하는 취약점 진단 항목들을 도출하였다는 데 있다. 아울러 본 연구의 결과는 국내 5G 통신네트워크 가상화 보안을 위한 취약점 진단 항목들을 개발하는데 기초 자료로 활용 될 수 있다. 향후 5G 통신네트워크 가상화 보안의 취약점 진단 항목에 대한 상세한 진단 프로세스를 연구하는 것이 필요하다.

• 한국정보통신학회:학술대회논문집
• /
• 한국해양정보통신학회 2009년도 춘계학술대회
• /
• pp.805-808
• /
• 2009

Security has become a major concern for many real world applications for wireless sensor networks (WSN). In this domain, many security solutions have been proposed. Usually, all these approaches are based on wellknown cryptographic algorithms. At the same time, performance studies have shown that the applicability of sensor networks strongly depends on effective routing decisions or energy aware wireless communication. In this paper, we analyses vulnerability and security mechanisms in wireless sensor networks.

• 융합보안논문지
• /
• 제22권1호
• /
• pp.11-17
• /
• 2022

최근 사이버 공격으로 인해 발생한 우크라이나 대규모 정전 사태를 비롯하여 국가 기반시설에 대한 사이버 공격이 지속해서 발생하고 있다. 이에 따라 ICS-CERT 취약점이 작년보다 두 배 이상이 증가하는 등 원자력 시설 등의 산업제어시스템에 대한 취약점이 날로 증가하고 있다. 대부분의 제어시스템 운영자는 미국의 ICS-CERT에서 제공하는 산업제어시스템 취약점정보원을 바탕으로 취약점 대응 방안을 수립한다. 그러나 ICS-CERT는 연관된 모든 취약점 정보를 포함하지 않으며, 국내 제조사 제품에 대한 취약점을 제공하지 않아 이를 국내 제어시스템 보안에 적용하기 어렵다. 따라서 본 연구에서는 ICS-CERT에서 제공하는 제어시스템 취약점 정보(1,843건)를 기준으로 해당 취약점과 관련된 CVE, CWE, CAPEC, CPE 정보를 통합한 취약점 분석 프레임워크를 제시한다. 또한 원자력 시설의 자산을 CPE를 이용하여 식별하고 CVE와 ICS-CERT를 이용하여 취약점을 분석한다. 기존의 방법론으로 취약점 분석 시 임의의 국내 원자력 시설 자산 중 ICS-CERT에는 단 8%의 자산에 대한 취약점 정보를 탐색하였지만, 제안하는 방법론을 이용하면 70% 이상의 자산에 대해 취약점 정보를 탐색할 수 있다.

• 정보보호학회논문지
• /
• 제27권4호
• /
• pp.803-810
• /
• 2017

최근 소프트웨어 산업의 발달에 따른 사회적 보안 문제가 지속적으로 발생하고 있으며, 소프트웨어 안정성 검증을 위해 다양한 자동화 기법들이 사용되고 있다. 본 논문에서는 소프트웨어 테스팅 기법 중 하나인 동적 기호 실행을 이용해 윈도우 시스템 콜 함수를 대상으로 Use-After-Free 취약점을 자동으로 탐지하는 방법을 제안한다. 먼저, 목표 지점을 선정하기 위한 정적 분석 기반 패턴 탐색을 수행한다. 탐지된 패턴 지점을 바탕으로 관심 밖의 영역으로의 분기를 차단하는 유도된 경로 탐색 기법을 적용한다. 이를 통해 기존 동적 기호 실행 기술의 한계점을 극복하고, 실제 목표 지점에서의 취약점 발생 여부를 검증한다. 제안한 방법을 실험한 결과 기존에 수동으로 분석해야 했던 Use-After-Free 취약점을 제안한 자동화 기법으로 탐지할 수 있음을 확인하였다.

• 한국전자통신학회논문지
• /
• 제12권5호
• /
• pp.725-730
• /
• 2017

원전의 안전 유지를 위한 계측제어계통에 일반적인 IT 자원을 활용하는 사례가 증가하고 있다. 이에 따라 기존 IT 자원이 갖는 잠정적인 보안 취약점으로 인해 원전 사이버 보안 침해 사고가 발생할 수 있으며, 원전의 가동 중단뿐만 아니라 국가적 재난에 이르는 심각한 사고를 야기할 수 있다는 문제가 제기되고 있다. 국내 원자력 규제기관에서는 이에 대응하기 위해 원전 사이버 보안 규제지침을 개발하고 규제 대상 및 범위를 확대시키고 있지만, 원전의 일반적인 보안 문제뿐만 아니라 원전 취약점에 특화된 공격에도 대응할 수 있는 방안이 필요하다. 이에 본 논문에서는 R.G.5.71에서 규정하고 있는 내용 중 취약점 점검과 관련된 42개 항목을 선별하여 5가지의 유형으로 분류 분석하였다. 제안된 분석 내용을 바탕으로 취약점 점검 도구를 개발한다면 원전 사이버 보안 취약점 점검 효율성을 향상시킬 수 있을 것으로 판단된다.

• 정보보호학회논문지
• /
• 제27권3호
• /
• pp.549-562
• /
• 2017

최근 모바일뱅킹 사용의 일상화와 더불어 은행권에서 모바일뱅킹의 사용 비중이 더욱 커져감에 따라 보안 위협도 증가하고 있다. 이에 국내 금융권에서는 뱅킹 어플리케이션 내에 보안 솔루션들을 도입하고, 상시 실행되는지 여부를 확인하기 위하여 보안 검사 지점들을 설정하여 어플리케이션의 안정성을 보장하고 있다. 본 논문에서는 국내 주요 은행들의 안드로이드 뱅킹 어플리케이션 디컴파일(decompile)시 추출되는 중간언어를 정적 및 동적 분석하여 보안 검사 지점들을 우회하는 모바일 백신 프로그램 미작동의 취약점을 보인다. 또한, 결과를 통해 이를 악용할 수 있는 공격을 알아보고 대응 방안을 제시한다.