[논문]STRIDE 및 HARM 기반 클라우드 네트워크 취약점 탐지 기법

조정석; 곽진

doi:10.13089/jkiisc.2019.29.3.599

STRIDE 및 HARM 기반 클라우드 네트워크 취약점 탐지 기법
STRIDE and HARM Based Cloud Network Vulnerability Detection Scheme 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.29 no.3, 2019년, pp.599 - 612

조정석 (아주대학교 컴퓨터공학과 정보보호응용및보증연구실) , 곽진 (아주대학교 사이버보안학과)

초록
AI-Helper

클라우드 네트워크는 다양한 서비스 제공을 위해 활용된다. 클라우드 네트워크를 활용한 서비스 제공이 확대되면서, 다양한 환경과 프로토콜을 활용하는 자원들이 클라우드에 다수 존재하게 되었다. 하지만 이러한 자원들에 대한 보안 침입이 발생하고 있으며, 클라우드 자원에 대한 위협들이 등장함에 따라 클라우드 네트워크 취약점 탐지에 대한 연구가 요구된다. 본 논문에서는 다양한 환경과 프로토콜을 활용하는 자원들에 대한 취약점 탐지를 위해 STRIDE와 HARM을 활용한 취약점 탐지 기법을 제시하고 취약점 탐지 시나리오 구성을 통해 클라우드 네트워크 취약점 탐지 기법에 대해 제안한다.

Abstract ▼ AI-Helper

Cloud networks are used to provide various services. As services are increasingly deployed using cloud networks, there are a number of resources in the cloud that leverage a variety of environments and protocols. However, there is a security intrusion on these resources, and research on cloud network vulnerability detection is required as threats to cloud resources emerge. In this paper, we propose a vulnerability detection scheme using STRIDE and HARM for vulnerability detection of resources utilizing various environments and protocols, and present cloud network vulnerability detection scheme through vulnerability detection scenario composition.

주제어

표/그림 (17)

표 Table 1. Gartner Cloud Service Forecast
그림 Fig. 1. CVE-2019-7304 Exploit code
그림 Fig. 2. CVE-2017-10661 Exploit code
표 Table 2. CVE List
그림 Fig. 3. CVE-2019-6111 Exploit code
그림 Fig. 4. CVE-2019-5418 Exploit code
그림 Fig. 5. CVE-2018-6389 Exploit code
그림 Fig. 6. CVE-2017-16995 Exploit code
그림 Fig. 7. Network Graph based vulnerabilities
그림 Fig. 8. Attack Graph
그림 Fig. 9. Compute Attack Graph using HARM
표 Table 3. Section Information
그림 Fig. 10. Cloud Network Vulnerability Detection
표 Table 4. STRIDE Classification
그림 Fig. 11. Scenario Example
표 Table 5. (Step 3,4.)Vulnerabilities Analysis
그림 Fig. 12. T(CVE-2017-10661) Attack Graph

참고문헌 (23)

Symantec, "2019 Internet Security Threat Report", 2019.
Gartner, "Gartner Forecasts Worldwide Public Cloud Revenue to Grow 17.5 Percent in 2019", 2019.
Wang, L., Yao, C., Singhal, A., Jajodia, S., "Interactive analysis of attack graphs using relational queries.," Proceedings of 20th IFIP WG 11.3 Working Conference on Data and Applications Security(DBSec 2006), pp. 119-132, 2006.
Jin Hong, Dong-Seong Kim, "HARMs: Hierarchical Attack Representation Models for Network Security Analysis," Australian Information Security Management Conference, pp. 73-81, Dec. 2012.
Tieming Chen, Qingyu Mao1, Mingqi Lv, Hongbing Cheng, Yinglong Li, "DroidVecDeep: Android Malware Detection Based on Word2Vec and Deep Belief Network," KSII TRANSACTIONS ON INTERNET AND INFORMATION SYSTEMS vol. 13, no. 4, pp. 2180-2197, Apr. 2019.

원문보기 상세보기
CVE, "https://cve.mitre.org/about/faqs.html#what_is_cve_id", May 15, 2019.
CVE, "https://cve.mitre.org/index.html", May 15, 2019.
Exploitdatabase, "https://www.exploit-db.com/exploits/46362", May 15, 2019.
Exploitdatabase, "https://www.exploit-db.com/exploits/43345", May 15, 2019.
Exploitdatabase, "https://www.exploit-db.com/exploits/46193", May 15, 2019.
Exploitdatabase, "https://www.exploit-db.com/exploits/46585", May 15, 2019.
Exploitdatabase, "https://www.exploit-db.com/exploits/43968", May 15, 2019.
Exploitdatabase, "https://www.exploit-db.com/exploits/45010", May 15, 2019.
STRIDE threat model of Microsoft. [Online]. Available : https://docs.microsoft.com/en-us/previous-versions/commerce-server/ee823878(vcs.20) Accessed on : May 15, 2019.
Wesam S. Bhaya, Samraa A. AlAsady, "Prevention of Spoofing Attacks in the Infrastructure wireless networks," Journal of Computer Science, vol. 8, no. 10, pp. 1769-1779, 2012.

상세보기
Kavisankar L, Chellappan C, Sivasankar P, Ashwin Karthi, Srinivas A,, "A pioneer scheme in the detection and defense of DrDoS attack involving spoofed flooding packets," KSII TRANSACTIONS ON INTERNET AND INFORMATION SYSTEMS vol. 8, no. 5, pp. 1726-1743, May. 2014.

원문보기 상세보기
Christian S. Collberg, Clark Thomborson, "Watermarking, Tamper-Proofing, and Obfuscation-Tools for Software Protection," IEEE Transactions on Software Engineering, vol. 28, no. 8, pp. 735-746, Nov. 2002.

상세보기
Seul-Ki Choi, Chung-Huang Yang, and Jin Kwak, "System Hardening and Security Monitoring for IoT Devices to Mitigate IoT Security Vulnerabilities and Threats," KSII TRANSACTIONS ON INTERNET AND INFORMATION SYSTEMS vol. 12, no. 2, pp. 906-918, Feb. 2018.

원문보기 상세보기
Adam Shostack, threat modeling-designing for security, 1st Ed, WILEY, Feb. 2014.
Adrien Bonguet, Martine Bellaiche, "A Survey of Denial-of-Service and Distributed Denial of Service Attacks and Defenses in Cloud Computing," Future internet, Aug. 2017.
Pradeepthi K.V, Kannan A., "Cloud Attack Detection with Intelligent Rules," KSII TRANSACTIONS ON INTERNET AND INFORMATION SYSTEMS vol. 9, no. 10, pp. 4204-4222, Oct. 2015.

원문보기 상세보기
Ananth A. Jillepalli, Daniel Conte de Leon, Stuart Steiner, Jim Alves-Foss, "Analysis of Web Browser Security Configuration Options," KSII TRANSACTIONS ON INTERNET AND INFORMATION SYSTEMS vol. 12, no. 12, pp. 6139-6160, Dec. 2018.

원문보기 상세보기
A. Karahasanovic, P. Kleberger, M. Almgren, "Adapting Threat Modeling Methods for the Automotive Industry," Proceeding of the 15th ESCAR Conference, 2017.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증