• 정보보호학회논문지
• /
• 제30권5호
• /
• pp.909-928
• /
• 2020

미국 정부는 1970년대 초반부터 모의해킹만으로는 제품의 보안 품질을 향상시킬 수 없다는 것을 인지하기 시작하였다. 모의해킹팀의 역량에 따라 찾을 수 있는 취약점이 달라지며, 취약점이 발견되지 않았다고 해서 해당 제품에 취약점이 없는 것은 아니기 때문이다. 제품의 보안 품질을 향상시키기 위해서는 결국 개발 프로세스 자체가 체계적이고 엄격하게 관리되어야 함을 깨달은 미국 정부는 1980년대부터 보안내재화(Security by Design) 개발 방법론 및 평가 조달 체계와 관련한 각종 표준을 발표하기 시작한다. 보안내재화란 제품의 요구사항 분석 및 설계 단계에서부터 일찍 보안을 고려함으로써 제품의 복잡도(complexity)를 감소시키고, 궁극적으로는 제품의 신뢰성(trustworthy)을 달성하는 것을 의미한다. 이후 이러한 보안내재화 철학은 Microsoft 및 IBM에 의해 Secure SDLC라는 이름으로 2002년부터 민간에 본격적으로 전파되기 시작하였으며, 현재는 자동차 및 첨단 무기 체계 등 다양한 분야에서 활용되고 있다. 하지만 문제는 현재 공개되어 있는 Secure SDLC 관련 표준이나 가이드라인들이 매우 일반적이고 선언적인 내용들만을 담고 있기 때문에 이를 실제 현장에서 구현하기란 쉽지 않다는 것이다. 따라서 본 논문에서 우리는 Secure SDLC를 기업체가 원하는 수준에 맞게 구체화시키는 방법론에 대해 제시한다. 우리가 제안하는 CIA(functional Correctness, safety Integrity, security Assurance)-Level 기반 보안내재화 프레임워크는 기존 Secure SDLC에 증거 기반 보안 방법론(evidence-based security approach)을 접목한 것으로, 우리의 방법론을 이용할 경우 첫째 경쟁사와 자사간의 Secure SDLC 프로세스의 수준 차이를 정량적으로 분석할 수 있으며, 둘째 원하는 수준의 Secure SDLC를 구축하는데 필요한 상세한 세부 활동 및 산출해야 할 문서 등을 쉽게 도출할 수 있으므로 실제 현장에서 Secure SDLC를 구축하고자 할 때 매우 유용하다.

• 디지털융복합연구
• /
• 제16권6호
• /
• pp.205-212
• /
• 2018

본 연구에서는 국가 전략적 차원에서 보안 거버넌스를 효율화시키기 위한 새로운 개념의 정보보안 거버넌스 모델 설계 방법을 제안한다. 이를 위해 우리의 운영 경험을 진단하고, 새로운 모델 설계 방법을 도출하였다. 그동안 국가 정보보안 활동은 지식 전달 위주로 인식되었고 활동의 동기 부여와 실행력 확보가 취약하였다. 결과적으로 보안 사각 지대가 늘어나고 대형 보안 사고가 빈발하여 해결이 필요한 과제로 대두되었다. 국가 사이버보안 거버넌스는 국가 리더의 책임하에 상단의 정책에서 하단의 실행까지 총체적으로 시스템화되어야 한다. 본 연구는 이같은 접근 방법에 기반하여 한국형 보안 거버넌스 모델의 종합 프레임워크를 제시하고 이를 비전, 목표, 과정, 수행 등 4개의 아키텍처 설계로 구체화시킴으로써 국가 거버넌스 모델 설계의 기반을 도출하였다. 라이프 사이클 흐름상의 문제점 진단, 환경변화에 기초한 보안 정책, 모든 주체의 참여가 반영되는 새로운 틀에 대하여는 계속적인 연구가 필요하다.

• 디지털콘텐츠학회 논문지
• /
• 제19권2호
• /
• pp.293-300
• /
• 2018

본 연구에서 4차 산업 시대에서의 보안의 트랜드 변화와 보안위협, 4차 산업 시대의 보안 시스템 등 4차 산업 시대의 보안 시스템에 대해서 나타내었다. 4차 산업 시대는 ICT에서 IoT로 CPS보안으로 위협요소가 변화되며, 이에 따른 보안 패러다임 변화와 보안 시스템도 변화하여야 한다. 특히 CPS 보안을 해결하기 위해서는 환경적 보안과 관리적 보안이 더 중요하다. 4차 산업 시대 보안은 개별시스템에 대한 맞춤형 보안으로 변화하여야 제품 생산 설계에서 하드웨어와 소프트웨어가 융합된 보안 기술이 개발 초기부터 변화하여야 한다고 제안한다. 4차 산업의 보안 시스템은 네트워크와 같은 단일 시스템에서의 보안 시스템에서 개별시스템으로 다양한 기기들과 플랫폼들을 수용할 수 있는 보안 시스템으로 CPS 보안 시스템으로 설계 및 구현을 제안한다.

• 융합보안논문지
• /
• 제4권3호
• /
• pp.37-46
• /
• 2004

본 논문에서는 IPSec(IP Security) 환경에서 이동 에이전트 시스템을 이용한 보안정책 협상모델을 설계하고자 한다. 기존의 IP 보안 시스템들은 약간의 문제점들이 있다. 각 보안영역과 구현환경에 따라 각기 다른 보안정책을 내부적으로 정의하여 사용하고 있다. 이로 인하여 패킷 전송시 보안 영역간 정책 요구사항이 서로 달라 패킷이 목적지까지 전달되지 않을 수도 있고, 패킷이 양방향으로 같은 경로를 따라 전송되고 같은 정책으로 보호되는지 보장할 수 없는 문제점을 내포하고 있다. 본 논문에서는 이러한 문제들을 이동 에이전트를 이용하여 해결할 수 있는 모델을 설계하였다. 각각의 보안 영역별로 보안정책의 협상이 필요하다면, 이동 에이전트는 보안정책 협상결과를 패스포트 형태로 관리하고, 이 패스포트를 이용하여 서로간의 인증 및 신뢰성을 보증해 준다.

• 전자공학회논문지
• /
• 제52권11호
• /
• pp.164-168
• /
• 2015

인터넷 사용이 보편화되면서 웹을 통한 광고, 사이버 쇼핑, 인터넷 뱅킹 등 다양한 서비스가 네트워크를 이용하여 제공되면서 웹 보안에 대한 필요성이 증가하고 있다. 또한, 시스템을 다양한 유형의 해킹 위협과 외부의 불법적인 침입으로부터 정보자산의 보호를 위한 보안시스템을 요구하게 된다. 본 논문의 웹 침입 탐지 도구는 웹에 대한 개별적인 모니터링을 통해 소요되는 자원 및 인력의 손실을 방지할 수 있도록 하여 보안 수준을 향상시켜는 것이다. 웹 보안 시스템은 웹 환경에서의 보안 취약성과 정보 노출에 대한 문제점의 원인을 분석하고 보안의 빠른 지원을 결정하기 위해서 모니터링을 이용하여 정보 보안 취약성과 정보 노출을 보호할 목적으로 보안 시스템을 설계하고자 한다.

• 한국전자거래학회지
• /
• 제20권4호
• /
• pp.177-191
• /
• 2015

최근 국내 기업에서 보안사고가 지속적으로 증가함에 따라 기업의 특성과 환경을 고려한 체계적인 보안관리체계의 필요성이 대두되고 있다. 그러나 기업별 보안수준 측정의 대상, 목적, 방법 등이 다름에도 불구하고 현재 다수의 기업이 기존의 정보보호 관리체계인 K-ISMS를 단편 일률적으로 적용하고 있는 것이 실정이며, 이에 따른 보안관리체계 도입에 대한 실효성에 대해서도 많은 문제가 제기되어지고 있다. 본 논문에서 선행연구 분석을 통해 정보보호, 산업보안, 연구보안에 대한 개념을 정립하고, 정보보호 관리체계, 산업보안관리체계, 연구보안관리 체계의 통제항목을 비교 분석하여 산업 전반의 보안을 수행할 수 있는 보안수준 평가항목 개발하였다. 또한 세부적으로 기 존재하는 보안수준평가 모형을 분석하여, 산업의 특성을 고려한 산업 중심의 보안수준평가 모형 설계 방향성을 제시하였다.

• 한국콘텐츠학회논문지
• /
• 제20권2호
• /
• pp.15-26
• /
• 2020

보안부팅은 부팅 단계에서 컴퓨터 시스템의 무결성에 대한 검증을 수행하고 그 결과에 따라 부팅 과정을 제어하는 보안 기술이다. 컴퓨터 시스템은 보안부팅을 통해 커널과 커널의 권한을 노리는 각종 악성코드의 위협으로부터 안전한 실행 환경을 구축할 수 있으며, 유사시 시스템의 복구를 지원하기도 한다. 보안부팅은 최근 해커의 공격으로부터 사용자의 정보를 보호하고, 악성 사용자로 인한 자사 제품의 악용을 방지하기 위해 현대의 다양한 컴퓨터 제조사에서 채택하기 시작하였다. 본 논문에서는 다양한 기업과 단체에서 개발하고 있는 보안부팅을 플랫폼별로 분류하여 알아보고, 각 보안부팅의 설계구조와 개발목적에 대한 분석과 설계상의 한계에 대해 조사를 수행하였다. 이는 시스템 보안 설계자에게 보안부팅 개발 방식의 다양한 정보와 시스템의 보안 설계에 참고자료로 활용될 수 있다.

• 한국시뮬레이션학회논문지
• /
• 제23권2호
• /
• pp.25-33
• /
• 2014

본 논문은 에이전트 기반 모델링 및 시뮬레이션 개념과 그 플랫폼인 MANA를 적용한 연구이다. 유전학적 알고리즘을 이용하여 획득한 근사 최적화된 침투하는 적의 행동을 바탕으로 병력, 감시, 통신 시스템들로 이루어진 GOP 경계시스템의 효과를 평가하였다. 경계시스템의 효과 분석을 위해 4가지의 효과척도를 이용하였고, 모델을 구성하는 다수의 경계 자산을 고려하기 위해 NOLH 디자인을 적용하였다. NOLH 디자인을 적용함으로써, 시뮬레이션을 효과적으로 수행할 수 있었다. 이 연구의 결과는 경계시스템을 구성하는 경계자산의 효과적인 구성과 소초에 적정한 병력배치 등을 결정하는데 좋은 자료를 제공할 수 있을 것으로 기대한다.

• IEIE Transactions on Smart Processing and Computing
• /
• 제3권2호
• /
• pp.65-73
• /
• 2014

An overall responding security-centered framework is necessary required for infringement accidents, failures, and cyber threats. On the other hand, the correspondence structures of existing administrative, technical, physical security have weakness in a system responding to complex attacks because each step is performed independently. This study will recognize all internal and external users as a potentially threatening element. To perform connectivity analysis regarding an action, an intelligent convergence security framework and road map is suggested. A suggested convergence security framework was constructed to be independent of an automatic framework, such as the conventional single solution for the priority defense system of APT of the latest attack type, which makes continuous reputational attacks to achieve its goals. This study suggested the next generation convergence security framework to have preemptive responses, possibly against an APT attack, consisting of the following five hierarchical layers: domain security, domain connection, action visibility, action control, and convergence correspondence. In the domain, the connection layer suggests a security instruction and direction in the domains of administrative, physical and technical security. The domain security layer has consistency of status information among the security domain. A visibility layer of an intelligent attack action consists of data gathering, comparison and decision cycle. The action control layer is a layer that controls the visibility action. Finally, the convergence corresponding layer suggests a corresponding system of before and after an APT attack. The administrative security domain had a security design based on organization, rule, process, and paper information. The physical security domain is designed to separate into a control layer and facility according to the threats of the control impossible and control possible. Each domain action executes visible and control steps, and is designed to have flexibility regarding security environmental changes. In this study, the framework to address an APT attack and load map will be used as an infrastructure corresponding to the next generation security.

• 한국정보과학회논문지:정보통신
• /
• 제30권6호
• /
• pp.776-786
• /
• 2003

보안평가 시스템은 다양한 요소로 구성된 대규모 네트워크 도메인 전체의 보안성을 평가하고 이를 바탕으로 보안 관리자 혹은 보안관리 시스템이 네트워크 보안관리를 수행하는데 필요한 의사결정을 지원하는 시스템이다. 이 시스템은 보안상 취약점들로 인한 공격을 방지하기 위해 어떻게 네트워크의 보안 관련 설정을 해주어야 하는지에 관한 의사결정을 지원해 준다. 보안평가 시스템은 네트워크의 “현재 상태”를 분석하고 공격 가능성을 찾아내어 불법적인 침해 행위를 사전에 예방하도록 보안관리의 의사결정을 지원해 준다. 본 논문에서는 다양한 요소로 구성된 대규모 네트워크의 보안성 평가를 자동화하고 침해사고 예방을 위해 보안관리의 의사결정을 도와주는 보안평가 시스템에 대한 요구 사항을 분석하고 이를 반영한 보안평가 시스템을 설계한다.