[논문]임무 기반의 무기체계 사이버보안 시험평가 적용 연구

김익재; 강지원; 신동규

doi:10.7472/jksii.2021.22.6.71

[국내논문] 임무 기반의 무기체계 사이버보안 시험평가 적용 연구
A study on the application of mission-based weapon system cybersecurity test and evaluation 원문보기

Journal of Internet Computing and Services = 인터넷정보학회논문지, v.22 no.6, 2021년, pp.71 - 81

김익재 (Dept. of Computer Science and Engineering, Sejong Univ.) , 강지원 (Dept. of Computer Science and Engineering, Sejong Univ.) , 신동규 (Dept. of Computer Science and Engineering, Sejong Univ.)

초록
AI-Helper

본 논문은 미국 등 선진국에서 적용하고 있는 무기체계 전 수명주기 동안에 사이버보안을 향상 시킬수 있는 방안에 대해 현재까지 진행되고 있는 연구에 대해 알아보고, 국내 무기체계 획득시의 제한사항을 분석하여 효과적인 보안평가 방안을 제시하였다. 국내 실정에 맞는 사이버보안 시험평가 방안에 임무 기반의 위험평가를 획득 전 단계에서 일관성있게 수행함으로써 주요 의사결정 조직에 주요한 정보를 적시에 제공하여 의사결정을 지원하고, 사이버보안 측면에서 식별된 취약점에 대해 보호대책을 검증할 수 있도록 교전규칙을 설정하여 모의침투를 수행하는 방안을 제안하였다. 또한 제안하는 사이버보안 시험평가 체계를 국내 무기체계 시험평가와 비교 평가를 수행하였다. 이를 통하여 지금까지 진행된 사이버보안 시험평가체계 연구에 임무 기반의 위험평가 요소를 접목하여 획득 사업간 적시에 위험을 식별하여 주요 의사결정을 지원하는 역량을 보완하였다.

Abstract ▼ AI-Helper

This paper examines the ongoing research on ways to improve cybersecurity during the entire life cycle of weapons systems applied in advanced countries such as the United States, analyzes restrictions on obtaining domestic weapons systems, and presents effective security evaluation measures. By consistently performing mission-based risk assessment in the cybersecurity test and evaluation plan suitable for domestic circumstances at all stages of acquisition, important information is provided to major decision-making organizations in a timely manner to support decision-making, and to respond to identified vulnerabilities in cybersecurity. It is proposed to set the rules of engagement so that the protection measures can be verified, and a simulated invasion is proposed. In addition, the proposed cybersecurity test and evaluation system was compared with the domestic weapon system test and evaluation. Through this, the mission-based risk assessment element was grafted into the cybersecurity test and evaluation system research conducted so far to identify risks in a timely manner between acquisition projects, thereby supplementing the capability to support major decision-making.

주제어

표/그림 (17)

표 (표 1) 평가팀별 시험평가 항목 (Table 1) Test evaluation items by evaluation team
표 (표 2) 개발시험평가(DT&E) 평가 항목 (Table 2) Development test and evaluation (DT&E) evaluation items
표 (표 3) 운용시험평가(OT&E) 평가 항목 (Table 3) Operational test and evaluation (OT&E) evaluation items
표 (표 4) 한국군 무기체계 정보보호 시험평가 항목 (Table 4) ROK Military Weapon System Information Security Test Evaluation Items
그림 (그림 1) CALIT (Figure 1) CALIT
그림 (그림 2) 위험/위협 모델링(예) (Figure 2) Risk/threat modeling (example)
그림 (그림 3) 무기체계의 공격표면 식별 (Figure 3) Identification of the attack surface of a weapon system
표 (표 5) 사이버보안 시험평가 단계 구분 (Table 5) Classification of cybersecurity test and evaluation stages
그림 (그림 4) 사이버 의존적인 임무의 공격표면 식별 (Figure 4) Identify the attack surface of cyber-dependent missions
그림 (그림 5) 공격표면 취약점 분석·평가에 따른 취약점 식별 (Figure 5) Identification of vulnerabilities according to attack surface vulnerability analysis and evaluation
표 (표 6) 수준별 위협 시나리오 (Table 6) Threat Scenarios by Level
그림 (그림 6) 취약 자산에 대한 보호대책 도출 (Figure 6) Deriving protection measures for vulnerable assets
그림 (그림 7) 보호대책을 통한 취약점 완화 (Figure 7) Mitigation of vulnerabilities through protection measures
그림 (그림 8) 제안한 방안 적용시 개선 사항 (Figure 8) Improvements when applying the proposed method
그림 (그림 9) 침입탐지가 검토없이 기록된 경우의 위험평가 계산 (Figure 9) Calculation of risk assessment when intrusion detection is recorded without review
그림 (그림 10) 침입탐지가 검토되고 기록된 경우의 위험평가 계산 (Figure 10) Risk assessment system where intrusion detection is reviewed and recorded
표 (표 7) 국내 무기체계시험평가와 비교 (Table 7) Comparison with domestic weapon system test and evaluation

AI 본문요약
AI-Helper

제안 방법

이를 통해 최초 식별된 공격표면의 취약점을 이용해 위협 시나리오를 따라 모의침투를 수행하여 강구된 보안 대책의 실효성을 검증한다. 교전규칙 기반의 모의침투를 통해 자산 및 데이터, 기능, 임무의 위험 완화 상태를 검 증하고 그 결과를 토대로 임무 기반의 위험평가를 수행한다. 이때 취약점이 지속적으로 확인될 경우에는 보안대책을 보완한 후 재시험을 통해 재검증하여 전력화 이전에 안전한 상태를 보장한다.
따라서, 본 논문에서는 사이버보안 시험평가를 수행함에 있어 기술적, 관리적 취약점을 식별하여 보완하는 것뿐만 아니라 사업관리를 위한 의사결정 조직에 적시에 적절한 정보를 제공하여 의사결정을 지원할 수 있도록 임무 수준의 위험평가를 수행하여 정책결정자와 원활하게 의사소통할 수 있는 프로세스 개선을 제안한다.
본 논문에서는 미국의 사이버보안 시험평가를 토대로 앞서 연구된 국내 실정에 맞는 사이버보안 시험평가 방안에 임무 기반의 위험평가를 획득 전 단계에서 일관성 있게 수행함으로써 주요 의사결정 조직에 주요한 정보를 적시에 제공하여 의사결정을 지원하고, 사이버보안 측면에서 식별된 취약점에 대해 보호대책을 검증할 수 있도록 교전규칙을 설정하여 모의침투를 수행하는 방안을 제안하였다.

성능/효과

그럼에도 불구하고 본 논문은 미국 및 선진국에서 추구하는 무기체계 전 수명주기 동안에 사이버보안 활동을 강화하고 위험을 관리하기 위한 노력이 지속되고 있음을 고려할 때 국내 무기체계에 적용할 수 있는 사이버보안 시험평가를 위한 하나의 방법론 구체화에 기여하였다고 할 수 있다.
본 논문에서 제안한 임무 기반의 사이버보안 시험평가 체계는 OWASP 위험평가 계산식에 의해 침입탐지 지수를 향상시킬 수 있다. 그림 9와 그림 10은 가상의 위험평가에서 논문에서 제안한 프로세스를 통해 침입탐지 지수가 향상된 경우 전체 위험평가 결과가 향상되는 결과를 보여주고 있다.
이는 획득단계 전반에서 관련 조직간의 의사소통을 원활하게 할 수 있으며, 정보공유를 통해 취약점을 보완하고 그 실효성을 검증하며 미흡한 경우에는 재시험할 수 있도록 제도화하여 획득하는 무기체계의 사이버보안 능력을 향상시킬 것으로 판단된다.

후속연구

그러나 본 논문의 제한사항은 장기간 소요되는 무기체계 획득기간에 사업관리자와 무기체계 소요군 및 사이버 보안 책임자의 원활한 의사소통을 위한 방법은 지속 발전시킬 필요가 있다. 그런 측면에서 미국에서 사용하고 있는 CTT(Cyber Table Top) 방식의 단순화된 구술 워게임 방식은 비용적인 측면에서 효과적인 의사소통 수단이 될 수 있을 것으로 판단된다.
또한 식별된 취약점에 대한 보호 대책 수립 우선순위에 대한 연구도 구체화가 필요하며, 최적의 보호대책을 대상으로 모의침투에 대한 교전규칙 설정이 필요하다고 할 수 있다.
그런 측면에서 미국에서 사용하고 있는 CTT(Cyber Table Top) 방식의 단순화된 구술 워게임 방식은 비용적인 측면에서 효과적인 의사소통 수단이 될 수 있을 것으로 판단된다. 향후 추가되는 연구에서는 CTT를 접목하여 의사소통하는 방안과 위험평가를 위한 세부 방법론의 구체화가 요구된다.

참고문헌 (18)

Ji-seop Lee, Sung-yong Cha, Seung-soo Baek, Seung-joo Kim, " Research for Construction Cybersecurity Test and Evaluation of Weapon System", Journal of The Korea Institute of information Security & Cryptology Vol.28, No.3, Jun. 2018. https://doi.org/10.13089/JKIISC.2018.28.3.765

원문보기 상세보기
THE WHITE HOUSE WASHINGTON, "National Security Presidential Directive-54/Homeland Security Presidential Directive-23", January 8. 2008.
Jong Wan Park, "The Action of the Reliability Enhancement in Test and Evaluation of the Weapon Systems", Journal of Applied Reliability Vol. 15-2, pp. 108-123, 2015.
Congressional Research Sercive, Defense Acquisitions: How DOD Acquires Weapon Systems and Recent Efforts to Reform the Process. May 23, 2014.
"Guide for Conducting Risk Assessment", NIST SP 800-30 Rev.1. 2012.
"Guide for Applying the Risk Management Framework to Federal Information systems", NIST SP 800-37 Rev.1. 2010.
"Managing Information Security Risk", NIST SP 800-39, 2011.
"Security & Privacy Controls for Federal Information Systems and Organizations", NIST SP 800-53 Rev.4, 2013.
"Guide for Assessing the Security Controls in Federal Information Systems and Organizations", NIST SP 800-53A Rev.1, 2010.
"Cybersecurity & Acquisition Lifecycle Integration Tool(CALIT)", DAU ver 3.1, sep 2018.
Hyun-suk Cho, Sung-yong Cha, Seung-joo Kim, "A Case Study on the Applicaion of RMF to Domestic Weapon System", Journal of The Korea Institute of Information Security & Cryptology Vol.29, No.6, Dec.2019.
Sungyong Cha, Seungss Baek, Sooyoung Kang and Seungjoo Kim, "Security Evaluation Framework for Military IoT Devices", Security and Communication Networks. Vol. 2018, Article ID 6135845, 12 pages, Jul. 2018.

상세보기
Department of Defense, "Cybersecurity Test and Evaluation Guidebook", 2015.
Jung-Sik Lee, Sung-Young Cho, Heang-Rok Oh, Myung-Mook Han, "A Study on Defense and Attack Model for Cyber Command Control System based Cyber Kill Chain", Journal of Internet Computing and Services Vol. 22, No. 1, pp. 41-50, Feb. 2021. https://doi.org/10.7472/jksii.2021.22.1.41

원문보기 상세보기
Uihyeon Song, Donghwa Kim, Myung Kil Ahn, "Layered Authoring of Cyber Warfare Training Scenario", Journal of Internet Computing and Services, Vol. 21, No. 1, pp. 191-199, Feb. 2020. https://doi.org/10.7472/jksii.2020.21.1.191

원문보기 상세보기
"National Defense Power Generation Business Instruction", Ordinance of the Ministry of National Defense, 2021.
"Defense Interoperability Management Directive", Ministry of National Defense, Jan. 2021.
https://javaierolmedo.github.io/OWASP-Calculator, 2021.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증