정보보호제품 평가 위한 취약점 분류체계 및 적용방안 (Classification Criteria and Application Methodology for Evaluating IT Security Products)

서지정보

· 발행기관 : 한국지식정보기술학회
· 수록지 정보 : 한국지식정보기술학회 논문지 / 6권 / 5호 / 105 ~ 112페이지
· 저자명 : 방기석, 김일곤, 이지연, 이준석, 최진영

초록

취약점 분류체계는 공격자의 위협 행동 패턴을 이해하고 보호 대상 자산에 대한 피해를 야기시키는 취약점 유형 및 경향을 분석하여, 보안사고를 미연에 방지 하는데 중요한 역할을 담당한다. 이런 이유로, 정보보호제품을 평가하기 위한 국제표준인 공통평가기준에서는 취약점 정보를 수집하고 침투시험을 수행하는 과정을 요구하고 있다. 하지만, 방대한 취약점 정보로부터 해당 정보보호제품의 잠재적인 취약점을 수집 및 필터링하기 위해서는 개발자 또는 평가자가 직관적으로 이해하고 적용할 수 있는 취약점 분류 체계 및 적용방안이 마련되어야 한다. 본 논문에서는 정보보호제품 구성요소, 보안구조, 보안기능 및 소스코드 관점에서 보안취약점을 분류하고 적용하는 방안을 제시한다. 이를 위해, 공통평가기준에 적용할 수 있는 보안 취약점 분류체계 동향을 조사하고 차이점을 분석한다. 또한, 개발자 또는 평가자가 정보보호제품 개발 또는 평가에 실용적으로 적용할 수 있는 새로운 취약점 분류 체계 및 적용방안을 제시하고자 한다.

영어초록

CC(Common Criteria) requires to collect vulnerability information and vulnerability analysis by using penetration testing for evaluating IT security products. However, CC has been criticized from developers or QA managers due to its complexity of terms, abstract description of evaluation methods and non-existence of guidelines. In this paper, we propose a guideline of vulnerability assessment for developers and evaluators by analyzing and summarizing of its requirements and processes defined in CC. To do this, we classify the evaluation process of AVA assurance family into 4 parts and describe each evaluation working systematically unit under every steps.

참고자료

· 없음