정보시스템에 대한 보안위험분석을 위한 모델링 기법 연구
A Study on the Modeling Mechanism for Security Risk Analysis in Information Systems
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
최근 대부분의 정보시스템은 대규모 및 광역화되고 있으며 이에 따른 사이버 침해사고와 해킹의 위험성이 증대되고 있다. 이를 해결하기 위하여 정보보호기술중에서 보안위험분석 분야의 연구가 활발하게 이루어지고 있다. 하지만 다양한 자산과 복잡한 네트워크의 구조로 인하여 위험도를 현실에 맞게 산정한다는 것이 사실상 불가능하다. 특히, 취약성과 위협의 증가는 시간에 따라 계속 증가하며 이에 대응하는 보호대책은 일정 시간이 흐른뒤 이루어지므로 제시된 결과가 효과적인 위험분석의 결과로 볼 수 없다. 따라서, 정보시스템에 대한 모델링 기법을 통하여 정보시스템의 구조를 단순화하고 사이버 침해의 방향성을 도식화함으로써 위험분석 및 피해 파급 영향 분석을 보호대책 수립의 허용 시간 내에서 이루어질 수 있도록 해야 한다.이에 따라, 본 논문에서는 보안 위험을 분석할 수 있도록 SPICE와 Petri-Net을 이용한 정보시스템의 모델링 기법을 제안하고, 이 모델링을 기반으로 사례연구를 통하여 위험분석 시뮬레이션을 수행하고자 한다.
Abstract
Information systems are today becoming larger and mostly broadband-networked. This exposes them at a higher risk of intrusions and hacking than ever before. Of the technologies developed to meet information system security needs, risk analysis is currently one of the most actively researched areas. Meanwhile, due to the extreme diversity of assets and complexity of network structure, there is a limit to the level of accuracy which can be achieved by an analysis tool in the assessment of risk run by an information system. Also, the results of a risk assessment are most oftennot up-to-date due to the changing nature of security threats. By the time an evaluation and associated set of solutions are ready, the nature and level of vulnerabilities and threats have evolved and increased, making them obsolete. Accordingly, what is needed is a risk analysis tool capable of assessing threats and propagation of damage, at the same time as security solutions are being identified. To do that, the information system must be simplified, and intrusion data must be diagrammed, using a modeling technique.In this paper, we propose a modeling technique for information systems to enable security risk analysis, using SPICE and Petri-net, and conduct simulations of risk analysis on a number of case studies.
참고문헌 (29)
- "Security Risk Analysis Model for Information Systems", pp.~3398
- ""중요핵심기반시설(SCADA)에 대한 보안위험관리 연구"", 30 (2005)
- "Monographs on Theoretical Computer Science" (1985), Springer Verlag
- "Dictionary of Algorithms and Data Structures"
- "The Practitioner's Guide to Coloured Petri Nets.", pp.98~132 (1998), Springer Verlag
- "A Guide to Circuit Simulation and Analysis Using PSpice" (1995), Prentice-Hall
- "ISO", IEC 27005 ISMS Risk Management, 2005, ~
- "A Guide to Security Risk Management for IT Systems" (1996)
- "Steve (EDT) Practical Hazops, Trips and Alarms (Paperback)" (2004), Butterworth-Heinemann
- "OCTAVE(Operationally Critical Threat, Assets and Vulnerability Evalustion)" (2001)
- "KetilStølen. CORASa framework for risk analysis of security critical systems." (2002)
- "The Design and Development for Risk Analysis Automatic Tool", pp.491~3043 499
- "CRAMM(CCTA Risk Analysis and Management Method)."
- "The Buddy System", Countermeasures, Inc.
- "Code of Practice for Information Security Management" (2000)
- "http:", english, pp.gshb, manual[DOI]
- "사이버안전메뉴얼" (2004)
- "A Time-Variant Risk Analysis and Damage Estimation for Large-Scale Network Systems" (2005)
- "A Study on Security Risk Modeling over Information and Communication Infrastructure", pp.249~253 (2004)
- "A Practical Security Risk Analysis Process of Information System", pp.2005~
- "Security Risk Vector for Quantitative Asset Assessment", pp.9~12 (2005)
- "실용적인 위험분석 방법론 설계와 모듈 구현", 27(11C) (2002), 한국통신학회
- "정보시스템의 효율적인 위험관리를 위한 실용적인 위험감소 방법론에 관한 연구", 10-c(2) (2003)
- "The design and Implentation of Risk Analysis Tools and Suitable Countermeasure Choice Algorithm", pp.49~53 (2004)
- "국가 공공기관 정보통신기반시설에 대한 위협 분석시 고려사항" (2003)
- "The Design and Implementation for the Practical Risk Analysis Tools", 2 9.6, pp.11.7(98) (2003), ~
- "PRISM:A Preventive and Risk-Reducing Integrated Security Mana- gement Model Using Security Label", me 33, pp.103~121 (2005)
- "정보통신기반에 대한 피해파급 모델" (2005)
- "US-CERT Vulnerability Notes Database"