소프트웨어 개발 수명 주기(SDLC)를 고려한 국내 무기체계 Fuzz Testing 적용 방법 연구
A Study on the Application Method of Fuzz Testing to Domestic Weapon Systems Considering the Software Development Life Cycle (SDLC)
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
현재 국내 무기체계 산업에서는 소프트웨어의 보안 취약점 제거를 위한 규정들이 제/개정되어 적용 중에 있다. 하지만 현재까지 발표된 규정은 알려진 소프트웨어 보안 취약점에 대한 대비만 일부 될 수 있을 뿐이고 알려지지 않은 소프트웨어 보안 취약점에 대해서는 무방비하다. Fuzz testing은 알려지지 않은 소프트웨어 보안 취약점을 분석하는데 가장 많이 사용되고 있는 테스트 기법 중 하나이다. 최근 연구 자료에서는 fuzz testing의 효율을 높이기 위해 fuzzer의 알고리즘 변형 또는 효과적인 seed 값 추출 등의 방법이 많이 제시되고 있다. 하지만 fuzz testing 기법을 SDLC와 연계한 연구 자료는 찾기 힘들다. 본 논문에서는 국내 무기체계 SDLC에서 산출되는 데이터를 fuzz testing에 적용함으로써 효율적인 국내 무기체계 취약점 분석 강화 방안을 제안한다.
Abstract
Currently, regulations for removing security vulnerabilities in software have been enacted/revised and applied in the domestic weapon system industry. However, the regulations published so far can only be part of the preparation for known software security vulnerabilities, and are defenseless against unknown software security vulnerabilities. Fuzz testing is one of the most widely used testing techniques to analyze unknown software security vulnerabilities. In recent research data, many methods such as fuzzer algorithm modification or effective seed value extraction have been suggested in order to increase the efficiency of fuzz testing. However, it is difficult to find research data linking the fuzz testing technique to SDLC. In this paper, we propose a reinforcement method for efficient analysis of weaknesses in domestic weapon systems by applying the data generated by SDLC in the domestic weapon system to fuzz testing.
참고문헌 (17)
- "Risk Management Framework (RMF)for DoD Information Technology (IT)", DoDI 8510.01, ~ (2014)
- "Weapon System Development and Ma nagement Manual", DAPA(Defense Ac quisition Program Administration), ~ (2018)
- "Defence Interoperability Management Instruction", MND(Ministry of Nation al Defense), No.2020-003, ~ (2020)
- "Interoperability Management Guideli ne", DAPA, 673 (2020)
- "Risk Management Framework for Info rmation Systems and Organizations:A System Life Cycle Approach for Sec urity and Privacy", NIST SP 800-37 Rev.2, ~ (2018)
- "Security & Privacy Controls for Fede ral Information Systems and Organiza tions" (2013), NIST
- "Instruction for Supporting the Develo pment of Weapon System Software", DAPA, 626 (2020)
- "National Defense Work Instruction", MND, (2040) (2017)
- "National Defense Cyber Security Inst ruction", MND, (2234) (2018)
- Yeonoh Jeong, "A Study about Develo pment Methodology for Ensure the So ftware Security of Weapon System", The Korean Institute of Information Scientists and Engineers, pp.77~79 (2018)
- Woncheol Lee, "A Study of Software S ecurity of Embedded Weapon Software Development Lifecycle", The Korean I nstitute of Information Scientists and Engineers, 2016(12), pp.92~94 (2016)
- 조현석, "국내 무기체계에 대한 RMF 적용 실 사례 연구", 정보보호학회논문지, 29(6), pp.1463~1475 (2019), 한국정보보호학회[DOI]
- "Fuzzing: Art, science, and e ngineering" (2018)[URL]
- "Recent Papers Related T o Fuzzing" (2021)[URL]
- "To Fuzz or Not to Fuzz: 8 Reasons to Include Fuzz Test ing in Your SDLC" (2020)[URL]
- "Focus on Fuzzing: Fuzzing Within the SDLC" (2020)[URL]
- A. Rebert, "Optimizing seed selectio n for fuzzing", 23rd USENIX Security Symposium (2014)