본문 바로가기
KERD
논문KCI 등재

상용 오픈소스 취약점 스캐닝 도구의 성능 시험을 위한 효율적 평가 기준 개발 및 적용

A Study on the Development and Application of Efficient Evaluation Criteria for Performance Testing of Commercial Open Source Vulnerability Scanning Tools

최민지|정동재|조호묵|신강식
한국정보보호학회 (Korea Institute Of Information Security And Cryptology)|2022.08|정보보호학회논문지 (Journal of The Korea Institute of Information Security and Cryptology)|제32권 제4호|pp. 709-722|DOI https://doi.org/10.13089/JKIISC.2022.32.4.709

0

조회

0

다운로드

1

인용

0

참고문헌

키워드

opensource vulnerabilitiesopensource analysissbomvulnerabilities scanning tools
주제분류컴퓨터학

초록

최근 “Log4j 보안 취약점 사태” 가 발생함에 따라 오픈소스인 “Log4j”를 활용하는 정보시스템이 취약점에 노출되었다. 이번 사태로 인해 전 세계뿐만 아니라 국내 주요 정부 기관 또는 기업들의 정보시스템에 큰 취약점이 발생하여 오픈소스의 취약점에 대한 문제가 대두되었다. 오픈소스는 여러 장점에도 불구하고 오픈소스를 활용하여 개발하는 현재의 개발 패러다임으로 인해 소프트웨어 보안 취약점이 손쉽게 확산될 수 있다는 문제점이 많아 오픈소스의 안전성 및 신뢰성 확보하기 위해 오픈소스에 대한 취약점 점검이 필요하다. 하지만 오픈소스 취약점 스캐닝 도구는 종류도 많고 지원하는 언어와 기능들이 상이한 다형적인 특징을 가지고 있다. 따라서, 기존 소프트웨어 평가 기준으로는 평가하기 모호하고 장단점을 평가하기 어려우므로 본 논문에서는 오픈소스 취약점 분석 도구에 대한 새로운 평가 기준을 개발하였다.

Abstract

The recent "Log4j Security Vulnerability Incident" has occurred, and the information system that uses the open source "Log4J" has been exposed to vulnerabilities. The incident brought great vulnerabilities in the information systems of South Korea's major government agencies or companies and global information systems, causing problems with open source vulnerabilities. Despite the advantages of many advantages, the current development paradigm, which is developed using open source, can easily spread software security vulnerabilities, ensuring open source safety and reliability. You need to check the open source. However, open source vulnerability scan tools have various languages ​​and functions. Therefore, the existing software evaluation criteria are ambiguous and it is difficult to evaluate advantages and weaknesses, so this paper has developed a new evaluation criteria for the vulnerability analysis tools of open source

참고문헌 (42)

  1. "Apache Log4j Security Vulnerabilitie s"[URL]
  2. "Log4Shell"[URL]
  3. "HeartBleed"[URL]
  4. "Open Source Software"[URL]
  5. 2020 Open Source Security and Risk Analysis Report, "Synopsys", ~ (2020)
  6. whitesourcesoftware, In All About Whit eSource’s 2021 Open Source Security Vulnerabilities Report, , AYALA GOLD STEIN, ~ (2021)
  7. "SBOM"[URL]
  8. U.S. Cybersecurity Executive Or der and Our Countermeasures from a Software Security Perspectiv, "Lee Tae-joon", KISA, ~, pp.KISA Report volume 12 (2021)
  9. "CVE"[URL]
  10. "Semgrep"[URL]
  11. "VisualCodeGrepper"[URL]
  12. "FlawFinder"[URL]
  13. "Bandit"[URL]
  14. "Sparrow SCA"[URL]
  15. "Labrador OSS"[URL]
  16. "WhiteSource Bolt"[URL]
  17. "Snyk"[URL]
  18. "BlackDuck"[URL]
  19. "ParaSoft"[URL]
  20. Jeong-Seok Yoo, "A Study on A nalysis of Open Source Analysis Tools in Web Service", Proceedings of the Ko rea Information Processing Society Co nference, 21(1), pp.475~478 (2014)
  21. 정혜정, "국제표준 ISO", IEC 25023 을 기반으로 한 소프트웨어 품질평가, 2016, pp.7(6), 35~41[DOI]
  22. Jiho Bang, "Comparing Ope n Source Static Security Analysis Tool s based on Software Weakness", Proce edings of the Korean Information Scie nce Society Conference, pp.753~755 (2013)
  23. 이하용, "ISO 품질평가 체계를 적용한 이러닝 소프트웨어의 사용성 품질평가 기준", 디지털융복합연구, 16(5), pp.239~245 (2018), 한국디지털정책학회[DOI]
  24. 강상원, "개방형 소프트웨어의 품질평가 기준 구축", 디지털융복합연구, 11(2), pp.323~330 (2013), 한국디지털정책학회
  25. Shin-wook Heo, "A Study on se curity vulnerability of Open Source", Proceedings of Korea Computer Congr ess (2016)
  26. Rodríguez, "Evaluation of Software Product Functional Suitabili ty : A Case Study", Software Quality Professional, 18(3) (2016)
  27. Deepika Sagar, "STUDYING OPEN SOURCE VULNERABILITY SCANNERS FOR V ULNERABILITIES IN WEB APPLICA TIONS", IIOAB Journal, 9(2), pp.43~49 (2018)
  28. Paz, Freddy, "A systematic mapping review of usability evaluation methods for softw are development process", Internation al Journal of Software Engineering an d Its Applications, 10(1), pp.165~178 (2016)
  29. Arusoaie, Andrei, "A compariso n of open-source static analysis tools for vulnerability detection in c", c++ c ode, 2017 (2017), ~
  30. Miguel, José P., "A review of software quality models for the evaluation of s oftware products", arXiv preprint arXi v:1412.2977, ~ (2014)
  31. Li, Jingyue, "valuation of ope n-source IDE plugins for detecting sec urity vulnerabilities", Proceedings of t he Evaluation and Assessment on Sof tware Engineering, pp.200~209 (2019)
  32. "Guidelines for Evaluating the Techno logical Competencies of Software Busi ness Entities"[URL]
  33. "htmlunit"[URL]
  34. "decompress"[URL]
  35. "xstream"[URL]
  36. "shadowsocks"[URL]
  37. "scikit-learn"[URL]
  38. "react"[URL]
  39. "redis"[URL]
  40. "mongo"[URL]
  41. "opencv"[URL]
  42. "godot"[URL]

관련 논문AI추천

오픈소스 취약점 점검 도구 및 종합 보안 메트릭 설계를 통한 DevSecOps 구축방안 연구강한승, 김동완, 노형준, 박수현, 이주형, 조민재, 조성윤, 최영해한국정보보호학회 · 정보보호학회논문지2023 · 제33권 제4호정보보호제품 평가 위한 취약점 분류체계 및 적용방안김일곤, 방기석, 이준석, 이지연, 최진영한국지식정보기술학회 · 한국지식정보기술학회 논문지2011 · 제6권 제5호보안취약점 중요도 정량 평가 체계 연구안준선, 이은영, 창병모한국정보보호학회 · 정보보호학회논문지2015 · 제25권 제4호Anti-Virus 성능 시험을 위한 평가 기준 수립 연구신강식, 유영락, 이정호, 정동재, 조호묵한국정보보호학회 · 정보보호학회논문지2023 · 제33권 제5호웹 애플리케이션 취약점 분석을 위한 비용 효과적인 능동 보안 검수 프레임워크조훈, 임채호, 한경현, 황성운, Trong-Kha Nguyen한국정보처리학회 · 정보처리학회논문지. 컴퓨터 및 통신시스템2016 · 제5권 제8호ISO/IEC 15408, 18045 기반 소프트웨어 취약성 분석 방법론임재우한국정보보호학회 · 정보보호학회논문지2014 · 제24권 제5호

이 간행물의 다른 논문 (9건)

GIFT-128에 대한 SITM 공격: NIST 경량암호 최종 후보 GIFT-COFB 적용 방안 연구김한기, 박종현, 김종성pp. 607-615양자 컴퓨팅 환경에서의 Ascon-Hash에 대한 Free-Start 충돌 공격백승준, 조세희, 김종성pp. 617-628API 호출 구간 특성 기반 악성코드 탐지 기술최상용, 김동엽pp. 629-635클라우드 네이티브 환경을 위한 오픈소스 기반 모니터링 서비스 간편 배포 및 이미지 서명 검사기 구현응웬부렁, 정수환, 곽송이pp. 637-645준 지도 이상 탐지 기법의 성능 향상을 위한 섭동을 활용한 초구 기반 비정상 데이터 증강 기법정병길, 민동준, 이상근, 권준형pp. 647-660
원문 보기