威脅 시나리오 基盤 脆弱性 分析에 관한 硏究

국문 초록 (Abstract)

정보보호가 중요시되면서 지식경제부가 지정한 지식정보보안 컨설팅 전문업체가 공공 기관, 사기업, 금융 기관 등에 많은 정보보호 컨설팅 업무를 수행하고 있다. 공공 기관, 사기업, 금융기관 등에서 수행하는 정보보호 컨설팅 업무 중 기술적인 보안의 취약성을 개선하기 위한 취약성 분석을 수행함에도 불구하고 해킹사고의 발생이 지속적으로 일어나고 있다. 현재 진단 방식으로는 기술적 진단의 효과성에 한계가 존재한다. 일반적으로 취약성 분석은 자산분석을 통하여 도출된 자산의 속성과 중요도를 바탕으로 자산이 근본적으로 가지고 있는 약점인 취약성을 발굴하고 취약성이 전체적인 위험에 미칠 수 있는 영향을 분석하는 과정이다. 본 논문에서는 취약성 분석의 효과성에 초점을 맞춘 위협 시나리오 기반 취약성 분석 방법을 제시한다. 일반적인 취약성 분석과 비교하여 제시한 위협 시나리오의 기반의 취약성 분석의 경우는 현재까지 발생한 사고사례 기반으로 위협 시나리오를 도출하고 업무담당자와의 인터뷰 및 시스템에 대한 깊이 있는 현황 분석을 위해서 진단자도 대상에 대한 모든 정보를 알고 있고 진단대상 또한 공격자에 대한 모든 정보를 알고 있는 crystal box test 형태로 진행한다. 사전 분석단계를 거쳐서 최대한 많은 위협 시나리오를 작성한 후에 이를 검증 하는 형태로 진행하는 위협 시나리오 기반 취약성 분석이 일반적인 취약성 분석 방법보다 기술적인 측면에서 더 많은 취약점을 찾아서 위험을 도출 해낼 수 있는 효과성을 가지고 있음에 대한 연구의 결과를 제시한다.

다국어 초록 (Multilingual Abstract)

At the increasing importance of information security, the information security consulting firms designed by Ministry of Knowledge Economy are carrying out various types of information protection consulting services for public agencies, private companies, financial institutions, etc. Among these types of consulting services on information protection provided, security vulnerability analysis is being conducted for improving technical security vulnerability. In spite of this, hacking accidents are occurring continuously. The current diagnostic methods have limitations in the effectiveness of technical diagnosis. In general, vulnerability analysis is a process of discovering the fundamental weakness of asset vulnerability based on the attributes and importance level of asset deduced through asset analysis and analyzing the potential effects of vulnerability on the overall risk. In this thesis, a threat scenario-based security vulnerability analysis with the focus on the effectiveness of vulnerability diagnosis is presented. In the case of the threat scenario-based vulnerability analysis in comparison with general vulnerability analysis, it is conducted in the crystal box test type in which the target also knows every type of information on the attacker and the diagnostician also knows every type of information on the target for in-depth analysis on the current circumstance of the system through interview with the staff in charge, and threat scenarios is deduced based on the accident cases that have occurred thus far. The result of the study will be presented on the fact that threat scenario-based vulnerability analysis, which is conducted in the way of creating as many threat scenarios as possible through preliminary analysis step and verifying them, is more effective than general vulnerability analysis method in the technical aspect of finding more vulnerabilities and deducing risks.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구목적 1
• 제2절 연구방법 1
• 제2장 정보자산의 식별 및 가치 평가 3
• 제1절 자산 식별 3
• 1. 식별 대상 3
• 2. 식별 기준 3
• 제2절 자산 평가 4
• 1. 평가 기준 4
• 2. 평가 방법 5
• 제3장 일반적인 취약성 분석·평가 7
• 제1절 시스템 진단 8
• 1. 진단 개요 8
• 2. 진단 절차 8
• 3. Windows 계열 운영체제 진단 항목 9
• 4. UNIX 계열 운영체제 진단 항목 10
• 5. 진단 방법 10
• 제2절 Web application 진단 15
• 1. 진단 개요 15
• 2. 진단 절차 15
• 3. 진단 항목 16
• 제3절 모의 해킹 진단 16
• 1. 진단 개요 16
• 2. 진단 절차 17
• 제4장 위협 시나리오 기반 취약성 분석 21
• 제1절. 진단 개요 및 프로세스 21
• 제2절. 검증 절차 23
• 1. 분석 단계 23
• 2. 검증/평가 단계 24
• 3. 대책 수립 단계 28
• 4. 보호 대책 이행 30
• 제3절. 위협 시나리오 작성 가이드라인 31
• 1. 사고사례 분석 31
• 2. 기술 문서 분석 32
• 3. 환경 분석 및 시나리오 선정 33
• 제5장 취약성 분석의 결과 및 검토 34
• 제1절 일반적인 취약성 분석 결과 34
• 제2절 위협 시나리오 기반 취약성 분석 결과 38
• 제3절 분석 결과 비교 42
• 제6장 결 론 49
• 참고문헌 50
• ABSTRACT 51