정보보호제품 평가 위한 취약점 분류체계 및 적용방안
Classification Criteria and Application Methodology for Evaluating IT Security Products
0
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
취약점 분류체계는 공격자의 위협 행동 패턴을 이해하고 보호 대상 자산에 대한 피해를 야기시키는 취약점 유형 및 경향을 분석하여, 보안사고를 미연에 방지 하는데 중요한 역할을 담당한다. 이런 이유로, 정보보호제품을 평가하기 위한 국제표준인 공통평가기준에서는 취약점 정보를 수집하고 침투시험을 수행하는 과정을 요구하고 있다. 하지만, 방대한 취약점 정보로부터 해당 정보보호제품의 잠재적인 취약점을 수집 및 필터링하기 위해서는 개발자 또는 평가자가 직관적으로 이해하고 적용할 수 있는 취약점 분류 체계 및 적용방안이 마련되어야 한다. 본 논문에서는 정보보호제품 구성요소, 보안구조, 보안기능 및 소스코드 관점에서 보안취약점을 분류하고 적용하는 방안을 제시한다. 이를 위해, 공통평가기준에 적용할 수 있는 보안 취약점 분류체계 동향을 조사하고 차이점을 분석한다. 또한, 개발자 또는 평가자가 정보보호제품 개발 또는 평가에 실용적으로 적용할 수 있는 새로운 취약점 분류 체계 및 적용방안을 제시하고자 한다.
Abstract
CC(Common Criteria) requires to collect vulnerability information and vulnerability analysis by using penetration testing for evaluating IT security products. However, CC has been criticized from developers or QA managers due to its complexity of terms, abstract description of evaluation methods and non-existence of guidelines. In this paper, we propose a guideline of vulnerability assessment for developers and evaluators by analyzing and summarizing of its requirements and processes defined in CC. To do this, we classify the evaluation process of AVA assurance family into 4 parts and describe each evaluation working systematically unit under every steps.
참고문헌 (18)
- "스턱스넷 : 국가기간망 공격"[URL]
- "Common Criteria for Information Technology Security Evaluation, Ver 3.1, CCMB-2006-09-03", ~ (2006)
- Exploring Common Criteria: Can it assure that the federal government gets needed security in software?, "Committee on Government ReformHouse of Representatives", ~, pp.Serial No. 108-126 (2003)
- "ISO", IEC International Standard(IS) 15408, Parts 1,2,3, Aug. 1999
- "CVE"[URL]
- "CWE"[URL]
- "CAPEC"[URL]
- K. Tspipenyuk, "Seven Pernicious Kingdom:s: A Taxonomy of Software Security Errors", Proc. of the NIST Workshop of Software Security Assurance Tools, Techniques, andMetrics(SSATTM) (2005)
- 이진영, "CWE와 7PK 취약점 분류 비교", 정보과학회 학슬발표 논문집, 36(2(D)) (2009)
- 김동진, "국가 DB 기반의 국내외 보안 취약점 관리체계 분석", Internet and Information Security, 1(2), pp.130~147 (2010)
- "OWASPTOP10,-2010:Thetenmost criticalwebapplicationseurityrisks"[URL]
- "NVD"[URL]
- 조혜숙, "공통평가기준 v2.3과v3.1 비교 분석", 정보과학회지, 17(6) (2007)
- "SecurityFocus"[URL]
- "Citrix XenServer"[URL]
- "Citrix MetaFrame Presentation Server 3.0"[URL]
- 김동진, "정보 신기술 보안 취약점 활용을 위한 효율적인 취약점 관리체계", 정보과학회 학술발표논문집, 37(2(B)) (2010)