보안취약점 중요도 정량 평가 체계 연구
Quantitative Scoring System on the Importance of Software Vulnerabilities
0
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
본 논문에서는 소프트웨어 보안취약점의 중요도를 정량적으로 산출할 수 있는 중요도 정량 평가 체계를 제안한다. 제안된 평가 체계는 국내 소프트웨어 이용 환경을 고려한 보안취약점의 파급도, 위험도, 소프트웨어 점유율, 시스템에서의 사용 정도 등을 복합적으로 반영하여 보안취약점에 대한 심각성을 적절히 평가할 수 있는 평가 척도와 이를기반으로 한 중요도 계산식으로 구성된다. 논문에서는 제안된 소프트웨어 보안취약점 평가 체계를 국내의 보안취약점에 시범적으로 적용하고 그 효용성을 CVSS 및 CWSS 등과 비교, 분석하였으며, 제안된 평가 체계의 활용 방안을 제시하였다.
Abstract
We proposed a new scoring system on software vulnerabilities, which calculates quantitatively the severity of software vulnerabilities. The proposed scoring system consists of metrics for vulnerability severity and scoring equations; the metrics are designed to measure the severity of a software vulnerability considering the prevalence of the vulnerability, the risk level of the vulnerability, the domestic market share of the software and the frequency of the software. We applied the proposed scoring system to domestically reported software vulnerabilities, and discussed the effectiveness of the scoring system, comparing it with CVSS and CWSS. We also suggested the prospective utilization areas of the proposed scoring system.
참고문헌 (15)
- "Now is the time for security at application level" (2005)[URL]
- 박찬규, "변종 악성코드 유사도 비교를 위한 코드영역의 함수 분할 방법", 정보보호학회논문지, 25(2), pp.321~330 (2015), 한국정보보호학회[DOI]
- 조민재, "안드로이드 암시적 인텐트의 보안 취약점에 대한 연구", 정보보호학회논문지, 24(6), pp.1175~1184 (2014), 한국정보보호학회[DOI]
- 박진석, "CC에서의 소프트웨어 개발보안 활용에 대한 연구", 정보보호학회논문지, 24(1), pp.171~182 (2014), 한국정보보호학회[DOI]
- "Common Weakness Enumeration(CWE)"[URL]
- "Common Vulnerabilities and Exposures(CVE)"[URL]
- "National Vulnerability Database(NVD)"[URL]
- "2011 CWE/SANS Top 25 Most Dangerous Software Errors"[URL]
- "OWASP (The Open Web Application Security Project) Top 10" (2010)[URL]
- "Guideline for governmental software systems"[URL]
- "Korea Internet & Security Agency Ko rea Internet Security Center (KISC)"[URL]
- "Common Weakness Scoring System(CWSS)"[URL]
- "Common Vulnerability Scoring System(CVSS-SIG)"[URL]
- "CAPEC-Common Attack Pattern Enumeration and Classification"[URL]
- Research on Software Vulnerability Scoring Systems, "Joonseon Ahn", Korea Internet & Security Agency, ~ (2013)