CC에서의 소프트웨어 개발보안 활용에 대한 연구
How to Combine Secure Software Development Lifecycle into Common Criteria
0
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
CC는 평가보증등급에 따라 정보보호제품의 보안취약점을 최소화할 수 있도록 지원하는 제도이다. 소프트웨어 개발보안은 소프트웨어의 개발 생명주기에서 보안취약점을 발생시킬 수 있는 보안약점을 제거하는 방법이다. 하지만CC는 정보보호제품이 인증된 시점 이전의 보안취약점에 대해선 고려하지만 인증된 시점 이후에 발생할 수 있는 새로운 보안취약점에 대해서 고려하지 않기 때문에 정보보호제품의 안전성과 신뢰성에 대한 문제가 발생할 수 있다. 또한,국가 및 공공기관의 정보화사업에 도입되는 정보보호제품은 CC와 소프트웨어 개발보안을 모두 만족시켜야 되기 때문에 개발자, 평가자에게 부담이 된다. 따라서 본 논문은 CC에서 소프트웨어 개발보안을 활용해야하는 당위성을 검증하기 위해 CC와 소프트웨어 개발보안이 제거할 수 있는 보안약점 및 보안취약점의 상관관계를 비교하였다. 또한,CC에서 소프트웨어 개발보안을 활용하기 위한 평가방법을 제안하여 정보보호제품의 안전성과 신뢰성을 극대화하고개발자와 평가자의 부담을 최소화하였다.
Abstract
Common Criteria is a scheme that minimize IT products’s vulnerabilities in accordance with the evaluation assurance level. SSDLC(Secure Software Development Lifecycle) is a methodology that reduce the weakness that can be used to generatevulnerabilities of software development life cycle. However, Common Criteria does not consider certificated IT products’svulnerabilities after certificated it. So, it can make a problem the safety and reliability of IT products. In addition, thedeveloper and the evaluator have the burden of duplicating evaluations of IT products that introduce into the governmentbusiness due to satisfy both Common Criteria and SSDLC. Thus, we researched the relationship among the Common Criteria,the static code analysis tools, and the SSDLC. And then, we proposed how to combine SSDLC into Common Criteria.
참고문헌 (19)
- The Economic Impact of Inadequate Infrastructure for Software Testing Planning Report, "Gregory Tassey", NIST, 169~170 (2002)
- Paul Wood, "Closing The Window of Vulnerability: Exploits And Zero-Day Attacks", Internet Security Threat Report, 17 (2012), Symantec
- Brian McGee, "Vulnerabilities in Enterprise Software", IBM X-Force 2012Mid-year Trend and Risk Report, pp.66~68 (2012)
- Systems and Software Threats, "Gerhard Eschelbeck", Security Threat, 14~16 (2012)
- Theresa Lanowitz, "Now Is the Time for Security at the Application Level", Gartner, pp.2~8 (2005)
- Joe Jarzombek, "Software Assurance:Enabling Security and Resilience throughout the Software Lifecycle", MITRE, pp.3~ (2012)
- "Capability Benchmarking, Softwar e & Supply Chain Assurance-Community Resources and Information Clearinghouse"[URL]
- "Soft ware & Supply Chain Assurance-Commu nity Resources and Information Clearing house"[URL]
- "Common Criteria for Information Technology Security Evaluation Version 3.1 Revision 4", ISO std, ISO, ~ (2012)
- "CVE List, Common Vulnerabilities and Exposures"[URL]
- Software Assurance-Making the Software Ecosystem Rugged, "Richard Struse", U.S Department Homeland Security National Protection &Programs Directorate, ~ (2011)
- Adam O'Brien, "Common Criteria and Source Code Analysis Tools: Competitors or Complement", International Common Criteria Conferences 9th. Conf., pp.23~25 (2008)
- Jeff Jones, "Measurable Improvements at Microsoft, In Introduction to the Microsoft Security Development Lifecycle (SDL)", Microsoft, ~ (2008)
- "Basics of Secure Design Development and Test: Secure Software Made Easier", Microsoft, ~ (2008)
- Ray Potter, "Setting Expectations Common Criteria and the SDLC", International Common Criteria Conferences 9th. Conf., pp.23~25 (2008)
- Mehmet Kara, "Review on Common Criteria as a Secure Software Development Model", International Journal of Computer Science & Information Technology, 4(2), pp.83~94 (2012)
- B. Chess, "Static analysis for security", IEEE Security & Privacy, 2(6), pp.76~79 (2004)
- Bob Martin, "2011 CWE", SANS Top 25 Most Dangerous Software Errors, 2011, ~
- "Assessment and Remediation Tool"[URL]