공격 결과 기반의 웹 취약점 위험도 평가 모델 연구: 사이버 킬체인 중심으로
A Study on Web Vulnerability Risk Assessment Model Based on Attack Results : Focused on Cyber Kill Chain
0
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
보통의 웹 서비스는 불특정 다수에게 허용을 해야하는 접근 통제 정책으로 인하여, 지속적으로 해커들의 공격 대상이 되어 왔다. 이러한 상황에 대응하고자 기업들은 주기적으로 웹 취약점 점검을 실시하고, 발견된 취약점의 위험도에 따라 조치를 취하고 있다. 이러한 웹 취약점 위험도는 국내외 유관기관의 사전 통계 및 자체적인 평가를 통해 산정되어 있다. 하지만 웹 취약점 점검은 보안설정 및 소스코드 등의 정적 진단과는 달리 동적 진단으로 이루어진다. 동일한 취약점 항목일지라도 다양한 공격 결과를 도출할 수 있으며, 진단 대상 및 환경에 따라 위험도가 달라질 수 있다. 이러한 점에서 사전 정의된 위험도는 실제 존재하는 취약점의 위험도와는 상이할 수 있다. 본 논문에서는 이러한 점을 개선하고자 사이버 킬체인 중심으로 공격 결과 기반의 웹 취약점 위험도 평가 모델을 제시한다.
Abstract
Common web services have been continuously targeted by hackers due to an access control policy that must be allowed to an unspecified number of people. In order to cope with this situation, companies regularly check web vulnerabilities and take measures according to the risk of discovered vulnerabilities. The risk of these web vulnerabilities is calculated through preliminary statistics and self-evaluation of domestic and foreign related organizations. However, unlike static diagnosis such as security setting and source code, web vulnerability check is performed through dynamic diagnosis. Even with the same vulnerability item, various attack results can be derived, and the degree of risk may vary depending on the subject of diagnosis and the environment. In this respect, the predefined risk level may be different from that of the actual vulnerability. In this paper, to improve this point, we present a web vulnerability risk assessment model based on the attack result centering on the cyber kill chain.
참고문헌 (15)
- European Union Agency for Network and Information Security, "ENISA Threat Landscape 2020 - List of top 15threats", ~ (2020)
- Korean Statistical Information Service, "Status of Informatization Statistics Survey Websites (Homepage, etc.)", ~ (2020)
- OWASP, "OWASP Top 10 – 2017", ~ (2017)
- Ministry of Science and ICT, "Detailed Guide to Analysis and Evaluation Method of Technical Vulnerability of Major Information and Communication Infrastructure", ~ (2021)
- 변으뜸, "웹 취약점 스코어링 기법의 advanced 모델 연구", 정보보호학회논문지, 25(5), pp.1217~1224 (2015), 한국정보보호학회[DOI]
- Korea Internet & Security Agency, "Guide to Homepage Vulnerability Diagnosis and Removal for Information System Developers and Operators", ~ (2013)
- National Cyber Security Center, "Homepage Security Management Manual", ~ (2005)
- Eric M Hutchins, "Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains", Leading Issues in Information Warfare & Security Research, 1(1), pp.113~125 (2011)
- 신규용, "사회공학 사이버작전을 고려한 사회공학 사이버킬체인 개념정립 연구", 정보보호학회논문지, 28(5), pp.1247~1258 (2018), 한국정보보호학회[DOI]
- 한은혜, "효율적인 APT 대응 시스템 운영 모델", 정보보호학회논문지, 27(3), pp.501~519 (2017), 한국정보보호학회[DOI]
- 김광제, "사이버킬체인에 기반한 사이버 방어체계 발전방안", 예술인문사회 융합 멀티미디어 논문지, 7(1), pp.277~285 (2017), 사단법인 인문사회과학기술융합학회[DOI]
- 이정식, "사이버 킬체인 기반 사이버 지휘통제체계 방어 및 공격 모델 연구", 인터넷정보학회논문지, 22(1), pp.41~50 (2021), 한국인터넷정보학회
- Dafydd Stuttard, "The Web Application Hacker's Handbook:Finding and Exploiting Security Flaws", pp.999~1078 (2011), Wiley
- Wilson Bautista, "Practical Cyber Intelligence", pp.64~65 (2018), Packt
- 조성영, "취약점의 권한 획득 정도에 따른 웹 애플리케이션 취약성 수치화 프레임워크", 정보보호학회논문지, 22(3), pp.601~613 (2012), 한국정보보호학회