[논문]사회공학 사이버작전 개념정립 연구

신규용; 강정호; 유진철; 김지원; 강성록; 임현명; 김용주

doi:10.13089/jkiisc.2018.28.3.707

사회공학 사이버작전 개념정립 연구
A Study on the Concept of Social Engineering Based Cyber Operations 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.28 no.3, 2018년, pp.707 - 716

신규용 (육군사관학교) , 강정호 (육군사관학교) , 유진철 (육군사관학교) , 김지원 (육군사관학교) , 강성록 (육군사관학교) , 임현명 (육군사관학교) , 김용주 (육군사관학교)

초록
AI-Helper

최근 사이버 공격기술을 활용해 목표시스템을 직접 공격하는 기술적 사이버작전 대신 목표시스템을 관리하는 사람의 취약점을 이용해 목표시스템에 침입하는 사회공학 기법이 각광을 받고 있다. 이러한 추세에도 불구하고 사이버 작전과 사회공학 기법 사이의 연관관계에 대한 명확한 개념이 정립되어 있지 않아 많은 혼란이 있는 것이 현실이다. 따라서 본 논문에서는 사회공학 사이버작전에 대한 명확한 개념정립을 통해 향후 사회공학 사이버작전에 대한 심도있는 연구를 위한 토대를 마련하고자 한다.

Abstract ▼ AI-Helper

Recently, instead of technical cyber operations that directly attack the target information system by using cyber attack techniques, social engineering techniques that indirectly invade the system by exploiting the vulnerabilities of persons who manage the system are being watched. Despite this trend, there is a lot of confusion because there is no clear concept about the relationship between cyber operations and social engineering techniques. Therefore, this paper aims at establishing a clear concept of a social engineering cyber operation, helping future researchers in this literature.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

또한 최근 유행하고 있는 사회공학 기법에 대한 심도 있는 연구를 통해 기존의 사이버작전에 사회공학 개념을 접목한 ‘사회공학 사이버작전’의 개념을 명확하게 정립하였다. 나아가 사회공학 사이버작전 개념을 최근 사회공학 사이버 공격에 적용해 분석해봄으로써 활용가능성을 확인하였다.
하지만 기존연구들[1, 3-4, 7-10]을 살펴보면 사회공학 기법 및 사이버작전에 대한 용어와 개념이 혼재되어 있어 심도 있는 연구를 위해서는 명확한 개념정립이 필요한 실정이다. 따라서 본 논문에서 우리는 사회공학 사이버작전의 개념을 명확하게 정립하고자 한다.
사회공학 기법에서 활용되는 기술들은 도청(eavesdropping), 어깨너머 훔쳐보기(shoulder surfing), 설득(persuasion), 프리텍스팅(pretexting)등과 같은 전통적 기법에서부터 피싱(phishing), 스피어 피싱(spear phishing), 워터링 홀(watering hole), 파밍(pharming), 베이팅(baiting) 등과 같은 현대적인 기법까지 매우 다양하다[1-3, 7-10]. 본 연구에서는 다양한 사회공학 기법들을 Table 3.에서 보는 바와 같이 물리적 방략⁵⁾, 사회적 방략, 기술적 방략, 혼합 방략으로 구분하여 소개하고자 한다.
사회공학 사이버작전 수행단계에 대한 이해를 돕기 위해 2015년 서울에어쇼에 참가한 방위산업체를 대상으로 한 스피어 피싱 공격 사례를 바탕으로 각 단계에서의 주요 내용을 살펴보고자 한다. 2015년 10월 해커들은 ADEX에 참가하는 방위산업체를 대상으로 항공우주 관련 학회를 사칭하여 악성코드가 포함된 이메일을 발송하였다.
이번 장에서는 기술적 사이버작전의 대안으로 각광받고 있는 사회공학 기법에 대해 자세히 알아본다.
이번 장에서는 사이버작전이 수행되는 공간인 사이버공간(cyberspace), 사이버작전의 수단인 사이버역량(cyber capabilities), 그리고 사이버작전의 목표에 대해 자세히 살펴보기로 한다. 이어서 사이버작전의 수행단계 및 (전통적인) 기술적 사이버작전의 제한사항에 대해 알아본다.
이번 장에서는 사이버작전이 수행되는 공간인 사이버공간(cyberspace), 사이버작전의 수단인 사이버역량(cyber capabilities), 그리고 사이버작전의 목표에 대해 자세히 살펴보기로 한다. 이어서 사이버작전의 수행단계 및 (전통적인) 기술적 사이버작전의 제한사항에 대해 알아본다.
방략선택단계에서 해커들은 획득한 이메일 주소를 활용하여 내부 업무망에 접근하기 위해 기술적 방략 중 하나인 스피어 피싱을 선택하였다. 즉, 방위산업체라는 특정 대상에 대하여 정교한 피싱 메일을 발송함으로써 원하는 정보를 탈취하고자 한 것이다.

제안 방법

메일의 본문은 세미나 초청 메일의 형식과 내용을 준수하였고, 관련 분야의 전문용어들을 포함하는 정교함을 보였다. 또한, 초청장을 가장한 악성파일을 첨부하여 실행을 유도함으로써 대상자의 시스템에 악성코드가 설치되도록 하였다. 해커들은 이러한 스피어 피싱을 통해 방산업체내부 업무망에 침입할 수 있었고, 궁극적으로 그들이 원하는 고가치 방산기술 정보를 획득할 수 있었다.
이번 장에서는 사회공학 사이버작전의 개념을 정립하고, 사회공학 사이버작전의 수행단계에 대해 살펴본 후, 사회공학 사이버작전의 사례를 분석한다.

대상 데이터

사회공학 사이버작전 수행단계에 대한 이해를 돕기 위해 2015년 서울에어쇼에 참가한 방위산업체를 대상으로 한 스피어 피싱 공격 사례를 바탕으로 각 단계에서의 주요 내용을 살펴보고자 한다. 2015년 10월 해커들은 ADEX에 참가하는 방위산업체를 대상으로 항공우주 관련 학회를 사칭하여 악성코드가 포함된 이메일을 발송하였다. 이때 해당 이메일을 열람한 뒤 첨부된 파일(악성코드)을 실행한 다수의 방산업체는 업무망이 해킹되어 내부 자료 일부가 유출되는 등의 피해를 입었다.
정보수집 단계에서 해커들은 국내 방위산업체 및 업체 종사자들을 정보수집 대상으로 선정한 뒤 이들과 관련된 정보들을 수집하였다. 이를 통해 항공 우주분야의 특정 학회가 방산업체와 업무 관련성이 높다는 것과 해당 학회에서 주관하는 세미나에 방산업체들이 높은 관심을 가지고 있다는 것을 확인하였다.

성능/효과

또한 최근 유행하고 있는 사회공학 기법에 대한 심도 있는 연구를 통해 기존의 사이버작전에 사회공학 개념을 접목한 ‘사회공학 사이버작전’의 개념을 명확하게 정립하였다.
’라는 제목으로 메일을 발송하였다. 메일의 본문은 세미나 초청 메일의 형식과 내용을 준수하였고, 관련 분야의 전문용어들을 포함하는 정교함을 보였다. 또한, 초청장을 가장한 악성파일을 첨부하여 실행을 유도함으로써 대상자의 시스템에 악성코드가 설치되도록 하였다.
정보수집 단계에서 해커들은 국내 방위산업체 및 업체 종사자들을 정보수집 대상으로 선정한 뒤 이들과 관련된 정보들을 수집하였다. 이를 통해 항공 우주분야의 특정 학회가 방산업체와 업무 관련성이 높다는 것과 해당 학회에서 주관하는 세미나에 방산업체들이 높은 관심을 가지고 있다는 것을 확인하였다. 또한, 방산업체 및 관련자들과 접촉하기 위해 가장 손쉽게 획득해 활용할 수 있는 공개 이메일 주소를 수집하였다.

후속연구

향후 연구에서 우리는 사회공학 사이버작전에서 핵심적인 역할을 담당하는 다양한 심리적 기제들을 파악하고, 이 심리적 기제들이 사회공학 사이버작전 수행과정 전반에 미치는 영향을 분석함으로써 사회공학 사이버작전 분석모델을 구축할 것이다. 이렇게 구축된 사회공학 사이버작전 분석모델은 다양한 사회공학 사이버 공격 및 방어 시나리오 작성과 사이버작전 사례분석을 위한 준거의 틀로 활용될 수 있을 것이다.
향후 연구에서 우리는 사회공학 사이버작전에서 핵심적인 역할을 담당하는 다양한 심리적 기제들을 파악하고, 이 심리적 기제들이 사회공학 사이버작전 수행과정 전반에 미치는 영향을 분석함으로써 사회공학 사이버작전 분석모델을 구축할 것이다. 이렇게 구축된 사회공학 사이버작전 분석모델은 다양한 사회공학 사이버 공격 및 방어 시나리오 작성과 사이버작전 사례분석을 위한 준거의 틀로 활용될 수 있을 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	사이버 공간에서 보안은 어떻게 분류되는가?	사이버 공간에서의 보안은 크게 기술적 보안과 인적 보안으로 구분할 수 있다. 기술적 보안은 암호, 접근통제, 시스템 보안, 네트워크 보안 기술 등을 통해 목표시스템을 보호하는 것이고, 인적 보안이란 시스템을 관리하는 사람들을 통제하고 보호함으로써 목표시스템을 보호하는 것을 말한다.
	사회공학이란?	세계적인 해커이자 보안 컨설턴트인 케빈 미트닉(Kevin Mitnick)은 해킹, 속임수의 예술 에서 처음으로 사회공학(social engineering)이라는 개념을 통해 인간의 감정이나 인지적 특성을 이용한 해킹사례들을 소개하였다. 여기서 사회공학은 “목표가 되는 사람을 조종해 목표물에게 이익이 될 수도 있고, 아닐 수도 있는 특정 행동을 취하게 하는 기술”을 의미하며, 주로 정보획득, 컴퓨터 접속, 목표물이 특정행동을 취하게 하는 등의 범주를 포함한다[2].
	기존의 사이버 위협에 대한 보안대책을 공략하기 위해 어떤 기법이 나타났는가?	최근 사이버 공격기술을 활용해 목표시스템을 직접 공격하는 기술적 사이버작전 대신 목표시스템을 관리하는 사람의 취약점을 이용해 목표시스템에 침입하는 사회공학 기법이 각광을 받고 있다. 이러한 추세에도 불구하고 사이버 작전과 사회공학 기법 사이의 연관관계에 대한 명확한 개념이 정립되어 있지 않아 많은 혼란이 있는 것이 현실이다.

참고문헌 (11)

Dong Cheon Shin and Young Hoo Park, "Development of Risk Assessment Indices for Social Engineering Attacks," Journal of Security Engineering, 14(2), pp. 143-156, April 2017.

상세보기
Kevin D. Mitnick and William L. Simon, The Art of Deception : Controlling the Human Element of Security, John Wiley & Sons, 2003.
Jungho Kang et. al., "A Study on the Relationship between Social Engineering and Cyberspace Operations," Ministry of Defense, Dec. 2017.
Dept. of Computer Science in Korea Military Academy, Korea Naval Academy, Korea Air Force Academy, and Korea Army Academy at Yeong-Cheon, Introduction to Cyber Warfare, 2nd Ed., Yangseogak, Feb. 2016.
ROK Army Training & Doctrine Command, "FM 1-1 Military Terminology," Republic of Korea Army Headquarters, May 2017.
US Joint Chief of Staff, "JP 3-12(R) Cyberspace Operations," Feb. 2013.
Bryan Skarda, Robert F. Mills, Todd McDonald, Dennis Strouble, "Operationalizing Social Engineering for Offensive Cyber Operations," Technical Report, Air Force Institute of Technology, June 2008.
Wenjun Fan, Kevin Lwakatare and Rong Rong, "Social Engineering: I-E based Model of Human Weakness for Attack and Defense Investigations," Computer Network and Information Security, vol. 9, pp. 1-11, Jan. 2017.
Nabie Y. Conteh1 and Paul J. Schmick, "Cybersecurity : risks, vulnerabilities and countermeasures to prevent social engineering attacks," International Journal of Advanced Computer Research, vol 6, no. 23, pp. 31-38, Feb. 2016.

상세보기
P. S. Maan and Manish Sharma, " Social Engineering: A Partial Technical Attack," International Journal of Computer Science Issues, vol. 9, no. 2, pp. 557-559, March 2012.
John Orbell and Robyn M. Dawes, "A "Cognitive Miser" Theory of Cooperators Advantage," The American Political Science Review, vol. 85, no. 2, pp. 515-528, June 1991.

상세보기

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증