[논문]STRIDE 위협 모델링 기반 가상 사설망 취약점 분석 및 보안 요구사항 도출

김다현; 민지영; 안준호

doi:10.7472/jksii.2022.23.6.27

STRIDE 위협 모델링 기반 가상 사설망 취약점 분석 및 보안 요구사항 도출
Analyze Virtual Private Network Vulnerabilities and Derive Security Guidelines Based on STRIDE Threat Modeling 원문보기

Journal of Internet Computing and Services = 인터넷정보학회논문지, v.23 no.6, 2022년, pp.27 - 37

김다현 (Dept. of Software, Korea National University of Transportation) , 민지영 (Dept. of Software, Korea National University of Transportation) , 안준호 (Dept. of Software, Korea National University of Transportation)

초록
AI-Helper

디지털 통신 환경 기술이 다양화되고 네트워크 이용 접근성이 높아지고 있으며 보안이 중요한 방산업체, 국방 관련 기관 등 국가의 안보에 관련된 다양한 환경에서 가상 사설망 서비스를 사용한다. 하지만 기술에 발전에 따라 매년 가상 사설망의 취약점을 통한 공격이 증가하고 있다. 본 논문은 가상 사설망에서 발생 가능한 잠재적 취약점 및 신규 취약점에 대해 대비하기 위해 STRIDE 위협 모델링을 통해 보안 요구사항을 도출하였다. STRIDE 위협 모델링은 위협을 총 6가지 범주로 그룹화 위협을 체계적으로 식별한다. 이를 적용하기 위해 가상 사설망의 기능을 분석하고 가상 사설망 서비스가 이루어지는 동안의 자료 흐름도를 생성하였다. 그 후, 가상 사설망에서 발생 가능한 위협을 수집하고 이를 기반으로 STRIDE 위협 모델링을 분석했다. 생성한 가상 사설망의 자료 흐름도는 총 96개의 STRIDE 위협으로 분류되며, 실제 취약점 리스트와 비교 분석하여 분류 결과를 구체화했다. 그 후 위협들의 공격 루트를 파악하기 위해 위협 시나리오를 작성했다. 본 논문은 작성된 시나리오를 기반으로 가상 사설망의 구성요소에 따른 총 30개의 보안 요구사항을 도출했다. 본 논문을 통해 국방부와 같이 보안이 중요한 시설에서 사용하는 가상 사설망의 보안 안정성을 높일 수 있는 보안요구사항을 제시한다.

Abstract ▼ AI-Helper

Virtual private network (VPN) services are used in various environments related to national security, such as defense companies and defense-related institutions where digital communication environment technologies are diversified and access to network use is increasing. However, the number of cyber attacks that target vulnerable points of the VPN has annually increased through technological advancement. Thus, this study identified security requirements by performing STRIDE threat modeling to prevent potential and new vulnerable points that can occur in the VPN. STRIDE threat modeling classifies threats into six categories to systematically identify threats. To apply the proposed security requirements, this study analyzed functions of the VPN and formed a data flow diagram in the VPN service process. Then, it collected threats that can take place in the VPN and analyzed the STRIDE threat model based on data of the collected threats. The data flow diagram in the VPN service process, which was established by this study, included 96 STRIDE threats. This study formed a threat scenario to analyze attack routes of the classified threats and derived 30 security requirements for each element of the VPN based on the formed scenario. This study has significance in that it presented a security guideline for enhancing security stability of the VPN used in facilities that require high-level security, such as the Ministry of National Defense (MND).

주제어

표/그림 (9)

표 (표 1) STRIDE 각 범주별 정의와 보안 속성 (Table 1) STRIDE Definitions and Security Properties for Each Category
그림 (그림 1) 위협 모델링 적용 프로세스 (Figure 1) Threat Modeling Application Process
그림 (그림 2) 가상 사설망 0단계 DFD (Figure 2) VPN Level 0 DFD
표 (표 2) DFD 구성요소 (Table 2) Elements of DFD
그림 (그림 3) 가상 사설망 2단계 DFD (Figure 3) VPN Level 2 DFD
표 (표 3) DFD 구성요소 설명 (Table 3) DFD Component Description
표 (표 4) STRIDE 위협 모델링 분석 결과 (Table 4) STRIDE Analysis Result
표 (표 5) 위협 시나리오 결과 (Table 5) Threat Scenario Result
표 (표 6) 가상 사설망의 보안 요구사항 도출 결과 (Table 6) Deriving Security Requirements for Virtual Private Networks

AI 본문요약
AI-Helper

문제 정의

이때, 가상 사설망과 같은 보안 제품에서 발생하는 취약점은 제품이나 시스템 전체에 영향을 미칠 수 있기에 이를 예방하는 것이 중요하다. 이와 같은 보안 제품에 보안 요구사항을 도출하고 위협을 예방하기 위해 본 논문은 가상 사설망의 보안 요구사항 도출하였다. 본 논문에서는 가상 사설망의 위협을 분석하기 위해 가상 사설망의 DFD를 생성하여 위협을 분석하였으며, STRIDE 각 범주별 총 96개의 식별했다.

제안 방법

이때, 표 4에 표시한 CVE는 전체 중 최근에 발생한 최신 위협만 제시하기 위해 2020년 이후에 발견된 CVE 항목만 삽입하였다. STRIDE를 통해 식별된 취약점을 CVE와 비교 분석하여 STRIDE의 분류 결과를 구체화하며, 해당 STRIDE 식별 결과의 정당성을 증명한다. 또한, 시나리오를 통해 공격 루트, 시간, 대상 등을 구체화했다.
STRIDE를 통한 취약점 식별 결과는 추상적일 수 있어 CVE와 융합하여 식별 결과를 구체화했다. STRIDE와 CVE를 융합한 결과를 바탕으로 공격 시나리오를 작성하여 공격루트 등을 파악하였다. 최종적으로 취약점이 발생 가능한 위치에 따른 보안 요구사항을 도출했다.
공격 루트와 취약점에 대한 시나리오를 바탕으로 내용을 바탕으로 본 연구에서 표 6과 같은 가상 사설망 서비스가 이뤄야 하는 총 30개의 보안 요구사항을 도출하였다. 이때, 가상 사설망을 이루고 있는 각 구성요소에 따른 보안 안정성을 위해 구성요소별 보안 요구사항을 나타낸다.
이와 같은 보안 제품에 보안 요구사항을 도출하고 위협을 예방하기 위해 본 논문은 가상 사설망의 보안 요구사항 도출하였다. 본 논문에서는 가상 사설망의 위협을 분석하기 위해 가상 사설망의 DFD를 생성하여 위협을 분석하였으며, STRIDE 각 범주별 총 96개의 식별했다. STRIDE 식별 결과를 증명하기 위해 CVE에서 실제 가상 사설망과 관련된 취약점 165개의 위협을 분석하여 STRIDE 결과와 비교 분석했다.
분석된 위협에 따라 공격 루트를 구체화하기 위해 본 연구는 위협 시나리오를 작성하였다. 위협 시나리오는 특정 위협들을 연결한 위협 이벤트 집합으로 위협으로 인해 발생하는 결과와 위협 방식, 행위자 등이 포함되어 나타나 진다.
STRIDE 위협 모델링은 위협이 발생하고 영향을 받는 프로세스를 분석하기 위해 DFD 기반에서 취약점을 식별하게 된다. 생성된 DFD 기반으로 STRIDE의 위협을 식별하고 CVE 통해 실제 공개된 가상 사설망의 위협을 취약점을 식별 및 분류했다. STRIDE를 통한 취약점 식별 결과는 추상적일 수 있어 CVE와 융합하여 식별 결과를 구체화했다.
이때, STRIDE 결과의 공격 시나리오를 작성하여 실제 위협이 발생 가능한 방법을 보여준다. 위협 모델링을 통해 식별된 결과와 공격 시나리오를 바탕으로 총 30개의 보안 요구사항을 도출했다. 도출된 보안 요구사항을 통해 가상 사설망을 안전하게 보안할 수 있으며, 한국의 안보에 도움이 될 것이다.
본 연구에서 취약점을 식별하고 분석하기 위한 프로세스 제안하고 있다. 이를 가상 사설망 서비스에 적용하여 가상 사설망의 취약점을 식별 및 분석하고 보안 안정성을 높이기 위한 보안 요구사항을 도출하였다.

데이터처리

본 논문에서는 가상 사설망의 위협을 분석하기 위해 가상 사설망의 DFD를 생성하여 위협을 분석하였으며, STRIDE 각 범주별 총 96개의 식별했다. STRIDE 식별 결과를 증명하기 위해 CVE에서 실제 가상 사설망과 관련된 취약점 165개의 위협을 분석하여 STRIDE 결과와 비교 분석했다. 이때, STRIDE 결과의 공격 시나리오를 작성하여 실제 위협이 발생 가능한 방법을 보여준다.

성능/효과

하지만 본 연구는 기존의 취약점 도출 결과보다 좀 더 유연한 결과를 보여주며, 추상적일 수 있는 도출 결과를 CVE를 통해 구체화하고 있다. 이를 통해 최종적으로 도출한 보안 요구사항은 실제 취약점과 STRIDE 위협 모델링을 통한 잠재적 취약점이 모두 반영된 결과이다.
예를 들어 일반적이고 다양한 제품에서 취약점을 식별하는 경우 STRIDE 위협 모델링이 가장 대표적이다. 하지만 보호해야 할 정보자산이 개인 정보일 때 개인 정보 취약점 식별을 위해 개발된 LINDDUN 위협 모델링을 통해 취약점을 식별하는 것이 더 적합하다. 가상 사설망의 기능을 분석하고 기능에 따른 DFD를 생성한다.

후속연구

도출된 보안 요구사항을 통해 가상 사설망을 안전하게 보안할 수 있으며, 한국의 안보에 도움이 될 것이다. 향후 본 논문을 통해 가상 사설망과 같은 보안 제품의 기존 취약점과 잠재적인 취약점을 분석하고 보안 요구사항을 생성하여 발전하는 기술에 맞는 보안 체계를 수립하기를 기대한다.

참고문헌 (29)

Ministry of National Defense, "Ministry of National Defense, 2020 Defense Reform 2.0 and Smart Defense Innovation Promotion Inspection Meeting", 2020. https://www.mnd.go.kr/user/boardList.action?commandview&page1&boardIdI_7650984&boardSeqI_8449226&titleIdnull&idreform_020100000000&siteIdreform
Defense Acquisition Program Administration, "Comprehensive Plan for Defense Industry Technology Protection," 2021. https://eiec.kdi.re.kr/policy/callDownload.do?num221879&filenum5&dtime20211225083948
SBS News, ""Presidential event data also leaked"... Certain VPNs have been drilled," 2021. https://news.sbs.co.kr/news/endPage.do?news_idN1006376861
Korea Information and Communication Technology Association Information and Communication Terminology, Virtual Private Network http://terms.tta.or.kr/dictionary/dictionaryView.do?subject%EA%B0%80%EC%83%81+%EC%82%AC%EC%84%A4+%ED%86%B5%EC%8B%A0%EB%A7%9D
Dong-A Ilbo, "KAI breached in North Korea did not properly 'network separation' to prevent hacking," 2021. https://www.donga.com/news/Politics/article/all/20210709/107867900/1
KBS, "The Ministry of Defense PC was also hacked... "Possibility of North Korea," 2016. https://news.kbs.co.kr/news/view.do?ncd3245302&refA
Khaleque Md Aashiq Kamal and Sultan Almuhammadi, "Vulnerability of Virtual Private Networks to Web Fingerprinting Attack," Advances in Security, Networks, and Internet of Things, pp 147-165, 2021. https://doi.org/10.1007/978-3-030-71017-0_11
Mazen Juma, Azza Abdel Monem and Khaled Shaalan, "Hybrid End-to-End VPN Security Approach for Smart IoT Objects," Journal of Network and Computer Applications, Vol. 158, pp. 102598, 2020. https://doi.org/10.1016/j.jnca.2020.102598

상세보기
Veroniek Binkhorst, Tobias Fiebig, Katharina Krombholz, Wolter Pieters and Katsiaryna Labunets, "Security at the End of the Tunnel: The Anatomy of VPN Mental Models Among Experts and Non-Experts in a Corporate Context," 31st USENIX Security Symposium, pp. 3433-3450, 2022. https://www.usenix.org/conference/usenixsecurity22/presentation/binkhorst
C. Jie, Y. Xing-Liang, C. Ying, F. Jia-Cheng and C. Chin-Ling, "A VPN-Encrypted Traffic Identification Method Based on Ensemble Learning," Applied Sciences, Vol. 12, No. 13, pp. 6434, 2022. https://doi.org/10.3390/app12136434

상세보기
S. Hernan, S. Lambert, T. Ostwald and A Shostack, "Uncover Security Design Flaws Using The STRIDE Approach," MSDN Magazine, 2006. https://docs.microsoft.com/en-us/archive/msdn-magazine/2006/november/uncover-security-design-flaws-using-the-stride-approach
Tony UcedaVelez, Marco M. Morana, "Risk Centric Threat Modeling: process for attack simulation and threat analysis", Wiley Publishing, 2015.
Kim Wuyts, Wouter Joosen, "LINDDUN privacy threat modeling_ a tutorial", Department of Computer Science, KU Leuven; Leuven, Belgium, 2015.
Mark Curphey, Joel Scambray, Erik Olson, "Improving Web Application Security", Springer, 2014.
Christopher Alberts, Audrey Dorofee, James Stevens, Carol Woody, "Introduction to the OCTAVE Approach", Software Engineering Institute, 2003.
ETSI, European Telecommunications Standard Institute: Telecommunications andf Internet converged Services and Protocols for Advanced Networking (TISPAN); Methods and protocols; Part 1: Method and proforma for Threat, Risk, Vulnerability Analysis, ETSI TS 165-1 V5.2.3, 2017.
P. Jison and K. Seungjoo, "Security Requirements Analysis on IP Camera via Threat Modeling and Common Criteria," KIPS Transactions on Computer and Communication Systems, Vol. 6, No. 3, pp. 121-134, 2017. https://doi.org/10.3745/KTCCS.2017.6.3.121

원문보기 상세보기
S. Shinwoo, I. Sun-young, R. Han-eul, J. Sung-goo and K. Taekyu, "Threat Analysis of the Smart Doorlock Systems Using Threat Modeling," The Journal of Korean Institute of Communications and Information Sciences(JKICS), Vol. 445, No. 11, pp. 1868-1877, 2020. http://doi.org/10.7840/kics.2020.45.11.1868

상세보기
H.Jang, "Derivation of Security Requirements for Cloud Managing Security Services System by Threat Modeling Analysis," IPS Transactions on Computer and Communication Systems, Vol. 10, No. 5, pp. 145-154, 2021. https://doi.org/10.3745/KTCCS.2021.10.5.145

원문보기 상세보기
Yong-Hyun Jo and Young-Kyun Cha, "A Study on Cyber Security Requirements of Ship Using Threat Modeling," Journal of The Korea Institute of Information Security & Cryptology, Vol. 29, No. 3, 2019. https://doi.org/10.13089/JKIISC.2019.29.3.657

원문보기 상세보기
ITSCC, "AXGATE SSL V2.1 Certification Report," 2020. https://www.itscc.kr/certprod/view.do?product_id1043&product_class1
ITSCC, "NetSpliter Certification Report", 2021. https://www.itscc.kr/certprod/view.do?product_id1095&product_class1
ITSCC, "eWalker SSL VPN V10 Certification Report", 2022. https://www.itscc.kr/certprod/view.do?product_id1168&product_class1
H. Sawalmeh, M. Malayshi, S. Ahmad and A. Awad, "VPN Remote Access OSPF-based VPN Security Vulnerabilities and Counter Measurements," International Conference on Innovation and Intelligence for Informatics, Computing, and Technologies (3ICT), pp. 236-241, 2021. https://doi.org/10.1109/3ICT53449.2021.9581512.
S. Rahimi and M. Zargham, "Security Analysis of VPN Configurations in Industrial Control Environments" International Conference on Critical Infrastructure Protection, Vol. 367, pp. 73-88, 2011. https://doi.org/10.1007/978-3-642-24864-1_6
S. Shunmuganathan, R. D. Saravanan and Y.Palanichamy, "Securing VPN from insider and outsider bandwidth flooding attack," Microprocessors and Microsystems, Vol. 79, pp. 103279, 2020. https://doi.org/10.1016/j.micpro.2020.103279.

상세보기
Visual Paradigm Online, "DFD Using Yourdon and DeMarco Notation," https://online.visual-paradigm.com/knowledge/software-design/dfd-using-yourdon-and-demarco
Microsoft Documentation, "Microsoft Threat Modeling Tool," 2020. https://docs.microsoft.com/en-us/azure/security/develop/threat-modeling-tool#feedback
CVE, https://cve.mitre.org/

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증