IoT 소프트웨어 및 네트워크 취약점 평가체계 연구 (A Study on the IoT software and network vulnerability assessment system)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 11권 / 3호 / 1 ~ 12페이지
· 저자명 : 장대일, 유창훈, 김환국

초록

NVD를 비롯하여 OWASP 등 다양한 기관에서는 알려진 취약점에 대한 위험도를 표현하기 위해 취약점에 대한 평가 체계를 구축하고 있다. CVSS나 CWSS 등이 가장 대표적인 취약점의 위험도를 점수로 산정한 체계로 점수가 높을수록 더 위함한 취약점이라고 판단하게 된다. 하지만 이러한 평가 체게는 범용적으로 적용하기 위한 것으로 특정한 환경에서는 그 의미가 달라져야 한다. 특히 IoT와 같이 일반적인 환경과는 다른 특수성이 존재할 경우 환경적인 영향을 고려하여 취약점에 대한 평가 체계를 구축해야 한다. 이에 본 논문에서는 IoT 소프트웨어 및 네트워크 취약점의 중요도를 정량적으로 산출할 수 있는 취약점 평가체계를 제안하였다. 제안된 평가체계는 기존 CVSS 평가체계를 기반으로 IoT 환경을 고려한 보안취약점의 접근성, 개인정보보안, 복잡도, 범위, 영향도 등을 복합적으로 반영하여 보안취약점의 중요도를 평가할 수 있는 평가 요소와 계산식으로 구성된다. 또한 제안한 평가체계를 기반으로 알려진 IoT 디바이스 취약점을 시범적으로 평가하여 CVSS 계산 결과와 비교하여 제안한 평가체계가 효율적임을 보였다.

영어초록

Various organizations, including NVD and OWASP, are building assessment systems for vulnerabilities in order to present the risks of known vulnerabilities. CVSS or CWSS is a system that calculates the risk of the most typical vulnerabilities as a score. However, these assessment system is intended for general application of traditional coputing environment and require modification to be applied in special environment especially IoT. In this paper, we propose a vulnerability assessment system that can quantitatively evaluate the importance of IoT software and network vulnerabilities. Our assessment system is based on CVSS, and it is considered about accessibility, privacy, complexity, scope of IoT environment. And it consists of evaluation factors and calculation formulas that can evaluate the importance of security vulnerabilities. Also, we demonstrate that our proposed assessment system is efficient by evaluating the vulnerability of known IoT devices and comparing it with the CVSS results.

참고자료

· 없음