공통평가기준 기반 정보보호제품 취약성 평가 요구사항 및 프로세스
Requirements and Processes of Vulnerability Assessment for IT Security Products in Common Criteria
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
국제공통평가기준 CC(Common Criteria)에서는 정보보호제품의 보안성을 평가위해 보안 취약점 정보 수집 및 침투시험을 이용한 취약점 정보 분석을 요구하고 있다. 하지만, 공통평가기준은 용어의 복잡성, 평가방법의 추상적 서술, 가이드라인의 부재 등의 한계점으로 인해 개발자 및 품질관리자 들이 쉽게 이해하기 어려운 문제점을 갖고 있다. 따라서, 본 논문에서는 공통평가기준의 취약성 평가 요구사항 및 프로세스를 분석하여, 개발자 및 평가자가 취약성 평가활동에 대한 가이드라인을 제시하고자 한다. 이를 위해, EAL4 등급의 AVA_VAN 보증 패밀리 평가 프로세스를 4가지 측면으로 분류하고, 프로세스 단계별 평가활동을 체계적으로 서술한다.
Abstract
CC(Common Criteria) requires to collect vulnerability information and vulnerability analysis by using penetration testing for evaluating IT security products. However, CC has been criticized from developers or QA managers due to its complexity of terms, abstract description of evaluation methods and non-existence of guidelines. In this paper, we propose a guideline of vulnerability assessment for developers and evaluators by analyzing and summarizing of its requirements and processes defined in CC. To do this, we classify the evaluation process of AVA assurance family into 4 parts and describe each evaluation working systematically unit under every steps.
참고문헌 (18)
- Common Criteria for Information Technology Security Evaluation, Ver 3.1, , ~, pp.CCMB-2006-09-03 (2006)
- "CCRA 포털"[URL]
- "행정안전부 제-2009-51호 정보보호시스템 평가.인증지침"[URL]
- Committee on Government Reform House of Representatives, "Exploring Common Criteria: Can it assure that the federal government gets needed security in software?", pp.108~126 (2003)
- "CVE"[URL]
- "CWE"[URL]
- "NVD"[URL]
- "CAPEC"[URL]
- 김동진, "국가 DB 기반의 국내외 보안 취약점 관리체계 분석", Internet and Information Security, 1(2), pp.130~147 (2010)
- 이진영, "CWE와 7PK 취약점 분류 비교", 정보과학회 학술발표 논문집, 36(2D) (2009)
- 김동진, "정보신기술 보안취약점 활용을 위한 효율적인 취약점 관리체계", 정보과학회 학술발표 논문집, 37(2(B)) (2010)
- Eve Pierre, "AVA-VAN.2 - Performing Vulnerability Analysis Under CC v3", ICCC 2008 (2008)
- Quang Trinh, "Security Tools for Common Criteria Testing", ICCC 2010 (2010)
- Jose Emilio Rico, "CC evaluations driven by the Vulnerability Analysis", ICCC 2010 (2010)
- "ISO", IEC International Standard(IS) 15408, Parts 1,2,3, Aug. 1999, 1999
- 조혜숙, "공통평가기준 v2.3과 v3.1 비교 분석", 한국정보보호학회지, 17(6), pp.9~19 (2007)
- CEM(Common Methodology for Information Technology Security Evaluation), Ver 3.1, , ~, pp.CCMB-2007-09-004 (2007)
- "OWASP TOP 10-2010 : The ten most critical web application seurity risks"[URL]