$\require{mediawiki-texvc}$

연합인증

연합인증 가입 기관의 연구자들은 소속기관의 인증정보(ID와 암호)를 이용해 다른 대학, 연구기관, 서비스 공급자의 다양한 온라인 자원과 연구 데이터를 이용할 수 있습니다.

이는 여행자가 자국에서 발행 받은 여권으로 세계 각국을 자유롭게 여행할 수 있는 것과 같습니다.

연합인증으로 이용이 가능한 서비스는 NTIS, DataON, Edison, Kafe, Webinar 등이 있습니다.

한번의 인증절차만으로 연합인증 가입 서비스에 추가 로그인 없이 이용이 가능합니다.

다만, 연합인증을 위해서는 최초 1회만 인증 절차가 필요합니다. (회원이 아닐 경우 회원 가입이 필요합니다.)

연합인증 절차는 다음과 같습니다.

최초이용시에는
ScienceON에 로그인 → 연합인증 서비스 접속 → 로그인 (본인 확인 또는 회원가입) → 서비스 이용

그 이후에는
ScienceON 로그인 → 연합인증 서비스 접속 → 서비스 이용

연합인증을 활용하시면 KISTI가 제공하는 다양한 서비스를 편리하게 이용하실 수 있습니다.

안전한 소프트웨어 개발을 위한 시큐어 SDLC 동향 원문보기

情報保護學會誌 = KIISC review, v.26 no.1, 2016년, pp.34 - 41  

박난경 (고려대학교 정보보호대학원) ,  임종인 (고려대학교 정보보호대학원)

초록
AI-Helper 아이콘AI-Helper

최근 사이버 공격은 분야와 대상을 막론하지 않고 곳곳에서 발생하고 있으며 소프트웨어의 보안 취약점을 이용한 지능적인 수법으로 지속적인 공격을 수행하는 APT 공격 또한 확산하고 있다. 이와 같은 공격을 예방하기 위해서는 공격에 직접 이용되는 소프트웨어 보안 취약점을 사전에 제거해야 한다. 소프트웨어 보안 취약점(vulnerability)의 원천 원인은 소프트웨어 허점, 결점, 오류와 같은 보안 약점(weakness)이다. 그러므로 소프트웨어에서 보안 약점은 개발 단계에서 완전히 제거하는 것이 가장 좋다. 이를 위해 소프트웨어 개발 생명주기(SDLC:Software Development Life Cycle) 전반에 걸쳐 보안성을 강화하는 활동을 수행한다. 이는 소프트웨어 배포 이후에 발생할 수 있는 보안 취약점에 대한 보안 업데이트 및 패치에 대한 비용을 효과적으로 감소시키는 방안이기도 한다. 본 논문에서는 소프트웨어 개발 단계 보안을 강화한 소프트웨어 개발 생명주기로서 시큐어 SDLC에 대한 주요 사례를 소개한다.

AI 본문요약
AI-Helper 아이콘 AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

  • 국내 대기업에서 적용한 개발 보안 활동 사례로서 기업 내 정보시스템을 구축하는 프로젝트에서 적용하였던 개발단계 보안 강화 프로세스 (P-SDLC)를 소개한다.[5]
  • - 사전 보안 검토: 프로젝트 추진계획과 기업 정보시스템 특징을 반영한 아키텍처 점검사항에 대한 개발팀의 답변을 토대로 사전 보안 검토를 수행한다. 또한, 보안 요구사항 및 위협요인을 식별하여 개인정보보호등 보안규제 준수, 보안 타당성을 검토한다. 보안 규제를 준수하기 위해 비즈니스 요건을 확인하고 기업내 아키텍처 구조를 수용할 수 있도록 프로젝트 개발에 필요한 비용을 분석한다.
  • 공격모델이란 기존에 알려진 공격 유형을 구체적으로 적용하는 것이다. 요구사항과 위협을 명세하여 각각의 공격방법을 적용 가능할지 확인해본다. MS의 STRIDE 모델이나 공격 패턴이 유용하다.

가설 설정

  • - 공격표면 확인: 검증 대상은 통상 요구사항과 설계단계에서 제작한 기능 및 설계 사양과 차이가 난다. 코드를 완료하면 설계나 구현의 변화로 인해 발생하는 새로운 공격 벡터를 반영할 수 있도록 위협 모델과 공격표면을 재검토해야 한다.
  • 특히 자동차나 의료기기 등과 같이 안전 중요 시스템에서 보안 취약점으로 인해 사이버 공격이 현실화됨에 따라 대상 소프트웨어의 보안성은 안전성, 신뢰성과 함께 더욱 중요하게 되었다. [7] 소프트웨어의 보안성을 강화하기 위해서는 해킹 등에 이용되는 소프트웨어 보안 취약점을 사전에 제거해야 한다. 소프트웨어 보안 취약점(vulnerability)의 근본원인은 소프트웨어 허점, 결점, 오류와 같은 보안 약점(weakness)이다.
본문요약 정보가 도움이 되었나요?

질의응답

핵심어 질문 논문에서 추출한 답변
소프트웨어의 보안성이 더욱 중요해진 이유는 무엇인가? 본격적인 스마트 시대의 진입을 앞두고 스마트 기기를 구성하고 있는 소프트웨어에 대한 보안성이 중요하게 되었다. 특히 자동차나 의료기기 등과 같이 안전 중요 시스템에서 보안 취약점으로 인해 사이버 공격이 현실화됨에 따라 대상 소프트웨어의 보안성은 안전성, 신뢰성과 함께 더욱 중요하게 되었다. [7] 소프트웨어의 보안성을 강화하기 위해서는 해킹 등에 이용되는 소프트웨어 보안 취약점을 사전에 제거해야 한다.
소프트웨어 보안 취약점의 원인에는 무엇이 있는가? 이와 같은 공격을 예방하기 위해서는 공격에 직접 이용되는 소프트웨어 보안 취약점을 사전에 제거해야 한다. 소프트웨어 보안 취약점(vulnerability)의 원천 원인은 소프트웨어 허점, 결점, 오류와 같은 보안 약점(weakness)이다. 그러므로 소프트웨어에서 보안 약점은 개발 단계에서 완전히 제거하는 것이 가장 좋다.
소프트웨어 보안 약점을 제거하기 위해 사용하는 소프트웨어 개발 생명주기는 어떤 방안으로도 활용이 가능한가? 이를 위해 소프트웨어 개발 생명주기(SDLC:Software Development Life Cycle) 전반에 걸쳐 보안성을 강화하는 활동을 수행한다. 이는 소프트웨어 배포 이후에 발생할 수 있는 보안 취약점에 대한 보안 업데이트 및 패치에 대한 비용을 효과적으로 감소시키는 방안이기도 한다. 본 논문에서는 소프트웨어 개발 단계 보안을 강화한 소프트웨어 개발 생명주기로서 시큐어 SDLC에 대한 주요 사례를 소개한다.
질의응답 정보가 도움이 되었나요?

참고문헌 (8)

  1. G. McGraw, "Software Security: Building Securi ty In", Addison Wesley, 2006. 

  2. Microsoft, "Security Development Lifecycle," https://www.microsoft.com/en-us/sdl/default.aspx, 2016 

  3. Microsoft, "Simplified Implementation of the MS SDL", updated Nov. 4. 2010, http://www.microsoft.com/en-us/download/details.aspx?id12379 

  4. David Ladd, Frank Simorjay, Georgeo Pulikkath ara, Jeff Jones, Matt Miller , Steve Lipner, Tim Rains, "Progress reducing software vulnerabilitie s and developing threat mitigations at Microsoft 2004 - 2010", http://www.microsoft.com/en-us/download/details.aspx?id14107, 2011 

  5. 박난경, 최진영,임종인, "국내 기업의 SW 개발 보안 적용 사례 분석", 한국소프트웨어공학학술대회, Jan. 2016 

  6. Microsoft, https://msdn.microsoft.com/en-us/library/windows/desktop/cc307406.aspx 

  7. Cadie Thompson, "The 14 scariest hacks of 2015, Techinsider," http://www.techinsider.io/14-of-t he-scariest-hacks-in-2015-8, Dec. 13, 2015 

  8. P. Mohan, A. Udaya Shankar, K. JayaSriDevi, " Quality Flaws: Issues and Challenges in Softwar e Development, " Computer Engineering and Int elligent Systems, ISSN 2222-1719 (Paper) ISSN 2222-2863 (Online), Vol 3, No.12, 2012, http://www.iiste.org/Journals/index.php/CEIS/article/viewFile/3533/3581 

저자의 다른 논문 :

관련 콘텐츠

이 논문과 함께 이용한 콘텐츠

저작권 관리 안내
섹션별 컨텐츠 바로가기

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

AI-Helper 아이콘
AI-Helper
안녕하세요, AI-Helper입니다. 좌측 "선택된 텍스트"에서 텍스트를 선택하여 요약, 번역, 용어설명을 실행하세요.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.

선택된 텍스트

맨위로