효과적인 웹 취약점 자동점검 방안에 대한 연구

김태섭 배재대학교 일반대학원 2024 국내박사

인공지능(AI)의 급속한 발전과 이용자 증가로 인해 우리는 AI를 활용하여 이미지 생성, 언어 번역, 지식 검색 등을 쉽게 수행할 수 있는 사회에 살고 있다. 또한, 클릭 몇 번으로 웹 애플리케이션을 손쉽게 개발할 수 있게 되었으나, 이에 따른 공격과 정보유출 사고 역시 증가하고 있다. 이러한 사이버 위협에 대응하기 위해 웹 애플리케이션에 대한 취약점 점검이 필수적이며, 수동점검(모의 해킹)을 통해 취약점을 발견하고 조치하는 방식이 주로 사용되고 있다. 그러나 웹 애플리케이션의 증가로 인해 수동점검만으로는 시간과 비용이 많이 소요되며, 점검 간격이 길어 실시간으로 발생하는 취약점에 효과적으로 대응하기 어렵다. 이를 보완하기 위해 웹 취약점 자동점검을 도입해야 하며, 자동점검이 실제 업무에 적용 가능한지를 검증할 필요가 있다. 신규구축 및 기존운영 중인 웹사이트를 대상으로 수동점검과 자동점검을 수행하여 결과를 비교분석하고, 개선점을 파악하여 자동점검이 수동점검을 얼마나 대체할 수 있는지 연구하고자 한다. With the rapid development of artificial intelligence (AI) and the increase in its users, we now live in a society where tasks such as image generation, language translation, and knowledge retrieval can be easily performed using AI. Additionally, web applications can be developed effortlessly with just a few clicks; however, this has led to a rise in attacks and information leakage incidents. To address these cyber threats, vulnerability inspections for web applications are essential, and the primary method has been identifying and addressing vulnerabilities through manual inspections (penetration testing). However, due to the increasing number of web applications, manual inspections alone are time-consuming and costly, and the long intervals between inspections make it difficult to effectively respond to vulnerabilities that occur in real time. To overcome these limitations, the adoption of automated web vulnerability inspections is necessary, and it is important to verify whether automated inspections can be applied effectively in real-world scenarios. This study aims to perform and compare both manual and automated inspections on newly developed and existing operational websites, analyze the results, identify areas for improvement, and evaluate how much automated inspections can replace manual inspections.

취약점 데이터베이스 기반 개선된 보안관제 모델의 효과성 연구

현석우 연세대학교 정보대학원 2019 국내석사

In recent years, many agencies have conducted periodic vulnerability diagnosis and incident response training to ensure confidentiality, integrity, and availability of information systems, but often fail to take timely action due to problems such as service availability and system compatibility. In addition, the security operation control managers who are required to respond to all logs generated by the information security equipment are severely under-worked and there is a lack of monitoring associated with the vulnerability of information assets. In this paper, what are the limitations of the existing security operation system, and the new security operation model based on the vulnerability database for efficient monitoring and its effectiveness are studied. Thus, the existing vulnerability database and the security operation system were analyzed to propose a security operation model with improved detection by giving weight to high-risk vulnerabilities, allowing history management from verification of vulnerability information on managed targets to completion of follow-up measures on identified vulnerabilities. The vulnerability database allows integrated management of periodically collected information on public vulnerabilities, and status of assets held by the organization as well as vulnerability analysis results for the information system. The evaluation of the model was done by setting up a simulated attack scenario in a pre-built virtual infrastructure. In contrast to the traditional method of analyzing detection logs sequentially, it was able to respond quickly to the threat of attacks specific to the security vulnerabilities of the asset, and found redundancy between detection rules with a security agent in conjunction with the vulnerability database, and developed optimal detection rules, to improve its ability to respond to cyber threats. 최근 다수의 기관이 정보시스템의 기밀성, 무결성, 가용성 확보를 위해 주기적인 취약점 진단과 침해사고 대응훈련을 시행하고 있지만, 서비스 가용성, 시스템 호환성 등의 문제로 적시에 조치하지 못하는 경우가 많다. 그뿐만 아니라 정보보호 장비에서 발생하는 모든 로그에 대응해야 하는 관제 인력의 업무과중이 심각하고 정보자산이 가지고 있는 보안 취약점과 연계한 모니터링이 부족한 실정이다. 본 논문에서는 기존 보안관제의 한계점은 무엇이며, 효율적인 모니터링을 위한 취약점 데이터베이스 기반의 새로운 보안관제 모델과 그 효과성을 연구한다. 이에 기존의 취약점 데이터베이스, 보안관제 모델에 관한 연구를 분석하여 관리대상의 취약점 정보 확인부터 식별된 취약점의 후속조치 완료 시까지의 이력 관리가 가능하고 고위험 취약점에 대한 가중치를 부여하여 정탐률이 향상된 보안관제 모델을 제안하였다. 제안한 모델은 로그 탐지를 위한 정보보호 장비, 취약점 데이터베이스, 탐지 로그와 취약점 데이터베이스 연동 결과를 시각화하여 제공하는 대시보드로 구성하였으며, 취약점 데이터베이스를 통하여 정보시스템에 대한 취약점 분석 결과뿐만 아니라 주기적으로 수집하는 공개 취약점 정보, 조직의 보유 자산 현황 등을 통합 관리할 수 있다. 모델의 평가는 사전에 구축한 가상 인프라에서 모의공격 시나리오를 설정하여 효과를 분석하였다. 모의실험 결과 탐지 로그를 차례대로 분석하는 기존의 방식과 달리 자산이 가지고 있는 보안 취약점에 특화된 공격 위협에 신속히 대응할 수 있었으며, 취약점 데이터베이스와 연계한 보안관제로 탐지 규칙 간의 중복을 발견하여 최적의 탐지 규칙을 작성하는 등 사이버 위협에 대한 대응능력이 향상됨을 확인하였다.

제어시스템 관리·물리적 취약점 분석·평가 기준 개선 방안에 관한 연구

박동연 고려대학교 정보보호대학원 2014 국내석사

과거 제어시스템은 특화된 소프트웨어, 하드웨어, 자체 통신 프로토콜 사용 및 일반 인터넷 망과 분리시켜 격리되어 있는 폐쇄망으로 운영되었으나 최근에는 경영관리의 효율화 및 일반적인 IT 시스템과의 호환성을 위해 외부 네트워크와 연동하고, 범용 소프트웨어 및 하드웨어를 사용하는 등 개방화, 표준․범용화 되어가고 있으며, 이로 인해 기존의 제어시스템에 내재되어 있는 보안 취약점뿐만이 아닌 일반적인 IT 시스템의 보안 취약점까지 더해지고 있는 상황이다. 교통, 수자원, 에너지 등 국가 중요 인프라 분야와 관련된 전자적 제어시스템 및 정보통신망 중에서 국가 안전보장 및 경제적 파급효과, 기관의 업무 수행 중요도, 의존도 등을 고려하여 중앙행정기관에서는 정보통신기반보호법에 의해 주요정보통신기반시설로 지정․운영 중이다. 정보통신기반보호법에서는 주요정보통신기반시설의 보호를 위한 대책을 수립하기 위해 취약점 분석‧평가를 정기적으로 수행하도록 하였으며 도출된 취약점을 보완하기 위한 조직 확충, 인력 증원, 교육훈련, 정보보호 예산 증액 등과 같은 보안통제 항목들로 구성된 보호대책을 수립하게 된다. 본 연구는 국가 주요정보통신기반시설로 지정된 제어시스템을 보호하기 위해 매년 수립하는 보호대책에 실효성을 제고하기 위한 방안으로 다양한 주요정보통신기반시설에 공통적으로 적용하는 관리․물리적 분야 취약점 분석․평가 기준을 해외 제어시스템 보안 기준과 비교 분석하고 국내 관련 지침, 기준 등을 검토 분석하여 주요정보통신기반시설중 제어시스템을 운영하는 기관에 특화된 효과성 있는 관리․물리적 취약점 분석․평가 기준을 제안하였다.

정보통신기반시설 취약점 관리체계 개선방안 연구 : 주요정보통신기반시설 취약점 분석평가에 대하여

노희관 숭실대학교 정보과학대학원 2013 국내석사

주요정보통신기반시설의 취약점 분석·평가는 최근 전문·고도화되는 사이버 위협에 대응하고 체계적이고 안전한 대응체계를 만들기 위하여 도입된 제도이다. 주요정보통신기반시설에 대한 효과적인 보호를 위해서는 발견된 취약점을 조치하고 잠재위험을 관리할 수 있어야 한다. 효과적인 주요정보통신기반시설 취약점 분석·평가를 수행하기 위해서는 취약점 원인에 대한 분석이 필요하다.. 취약점의 원인을 분석하면 기반시설 관리기관의 잠재위험을 파악할 수 있기 때문이다. 따라서, 주요정보통신기반시설의 취약점 분석·평가 체계에서 원인분석 프로세스를 도입하여 근본원인을 규명하고 정책적 관리방안을 마련해야 한다. 본 연구에서는 취약점 분석·평가 수행 시 취약점 발생 원인에 대하여 각 취약점 항목별, 카테고리별, 점검 분야별로 통계를 산출하고, 해당 관리기관이 가진 문제점들을 파악할 수 있도록 정량적인 개선 순위를 도출하였다. 이러한 방법으로 기존의 방법론에서 제시되지 못했던 관리기관의 내부 문제점에 대해 정책적 개선방향을 제시할 수 있었다. 주요정보통신기반시설의 취약점 분석·평가는 발견된 취약점이 무엇이며, 그 잠재적인 문제점은 무엇인지를 파악하고 근본적인 문제를 해결할 수 있도록 수행되어야 해야 한다. 기반시설 관리기관은 이러한 잠재위험을 인지하고 장기적인 관점에서 접근하여 문제점을 해결해 나가야 한다. Vulnerability Analysis and Evaluation of Major Information and Communications Infrastructure was introduced in order to make systematic and safe system to respond to the recent professional and sophisticated cyber threats. To protect the national infrastructure the causes of vulnerability must be eliminated and potential dangers to the infrastructure should be timely managed. To carry out an effective Vulnerability Analysis and Evaluation of Major Information and Communications Infrastructure, what can harm the infrastructure should be analysed first. With the results we can know in advance the potential dangers the management agencies have. Accordingly, root cause analysis should be used to verify the causes and prepare plans in the Vulnerability Analysis and Evaluation in case something happens to the infrastructure. In this study I collected statistics for the causes of vulnerability in a way that those causes are classified according to where and how they are found and found out what should be taken care of in terms of the repetition rate. In this way, I came up with the methods for dealing with the problems stemming from the management agencies. The Vulnerability Analysis and Evaluation should detect the vulnerability and the potential dangers and can get rid of the root causes. Management agencies of the infrastructure should be well aware of the dormant dangers and try to solve problems in the long term.

자동화 진단 시스템을 이용한 효율적인 취약점 진단 방안

전민성 숭실대학교 정보과학대학원 2020 국내석사

인터넷 환경의 IT 서비스 인프라들은 항시 외부의 공격에 노출되어 있다. 그 중 취약점을 이용한 공격들은 항상 존재하였으며 앞으로도 그 빈도가 줄어들지 않을 거라는 예측은 보안을 다루는 업무를 수행하다 보면 쉽게 예측해 볼 수 있다. 취약점을 이용한 공격에 대비한 가장 효율적인 방법은 취약점을 진단하고 조치하는 것이며 조치를 취할 수 없는 상황에 환경이라면 존재하는 취약점에 대해 알고 이를 대응 할 수 있는 다른 방안을 대체 하는 것이다. 하지만 현재 많은 취약점 진단에 업무는 정보보호 컨설턴트에 의존하여 연 1-2회 많게는 3-4회 등 하나의 사업으로 수행하는 형식으로 수행 되고 있고 이는 상시 변하는 인프라 환경에서 새로 생긴 취약점, 변경된 취약점 등에 빠른 대응을 하기가 어려운 상황이다. 공격자는 취약점을 발견하면 새롭게 컨설턴트가 들어와서 진단하고 조치 할 기회를 줄만큼 자비로운 사람들이 아니기에 우리는 인프라 취약점에 대해 상시 진단하고 조치 할 수 있는 프로세스로 이러한 위협에 대응하여야 한다. 본 논문은 이러한 프로세스를 수립하는데 있어 가장 큰 역할을 할 자동화 취약점 진단 시스템에 대한 내용을 다루고 있으며 기존 진단 방법에 단점을 극복 할 수 있는 방안에 대해 설명한다. IT service infrastructures in the Internet environment are always exposed to external attacks. Among them, attacks using vulnerabilities have always existed, and predictions that the frequency will not decrease in the future can be easily predicted when they are engaged in security tasks. The most efficient way to prepare for an attack using a vulnerability is to diagnose and take action on a vulnerability, and if the environment is in a situation where it can not take action, it will know about the vulnerability that exists and replace other measures to cope with it. However, the current work is performed in a form of one project, such as 1-2 times a year, 3-4 times, depending on the information security consultant, and it is difficult to respond quickly to new vulnerabilities and changed vulnerabilities in the ever-changing infrastructure environment. As attackers are not gracious enough to give new consultants the opportunity to come in, diagnose and take action when they discover vulnerabilities, we must respond to these threats with a process that allows them to constantly diagnose and take action against infrastructure vulnerabilities. This thesis deals with the automation vulnerability diagnosis system which will play the biggest role in establishing this process and explains the way to overcome the disadvantages of existing diagnosis method.

PC보안 강화를 위한 취약점 점검항목 개선연구

김상현 건국대학교 정보통신대학원 2019 국내석사

PC보안 강화를 위한 취약점 점검항목 개선연구 정보통신기술의 발전으로 언제 어디서든 인터넷에 접속이 가능하다. 금융, 공공기관, 교통, 학교 등 모든 시설의 정보통기술 및 서비스 의존도가 높아지면서 언제 어디서나 편리하게 서비스를 제공받을 수 있다. 정보통신기술의 발전과 함께 이들의 취약점을 악용하여 개인정보침해, 해킹, 바이러스, 스팸, 피싱 등의 사이버침해도 매년 증가하였다. 기업 및 기관은 이러한 침해사고를 방지 및 예방을 위해 백신, 방화벽, DLP, DRM 등 다양한 보안솔루션을 도입 운영하고 있으나 사이버 공격의 변화 다양한 서비스, S/W를 대상으로 침해 활동으로 인해 보안솔루션 만으로의 방어는 쉽지 않다. 사이버 공격의 대상이 되는 서버, 네트워크 장비, 보안장비, PC 등을 정보통신기반보호법, ISMS 등 제도에 의해 취약점 점검을 하여 취약점을 제거하기 위한 노력을 하고 있다. 그러나 취약점 점검은 서버, 네트워크 장비, 보안장비, PC 등의 설정 값을 위주로 점검한다. 외부인터넷 사용이 가능한 PC는 사용자의 성향에 따라 다양한 사이버침해에 노출되어 있기 때문에 현재의 PC취약점 점검항목으로는 다양한 위협에 대응하기 부족하다. 본 논문에서는 국내 PC취약점 점검항목 기준을 분석하고 부족한 점을 도출하여 신규 PC취약점 점검항목을 제안하였다. 또한 기존 PC취약점 점검항목과 신규 PC취약점 점검항목을 이용하여 특정 기업에 취약점 점검을 수행 및 결과를 비교·분석하여 신규 PC취약점 점검항목의 실효성을 검증하였다. A Study on the Improvement of Vulnerability Checklist for Enhanced PC Security With the advancement of information and telecommunication technology, we can connect to the Internet at any place and time. As the facilities of financial, public, traffic organizations and schools increase the dependence on information and telecommunication technology and its services, people can get the services conveniently at any place and time. While the information and telecommunication technology improved, vulnerability such as individual information violation, hacking, virus infection, spams and phishing, have also increased every year. Companies and organizations operate security solutions such as vaccines, firewalls, DLP and DRM to prevent any infections. But it isn’t easy to protect their systems just with security solutions because of diversity of cyberattack and activities of infecting S/W. They try to remove vulnerability by checking vulnerability of information and telecommunication protection law and ISMS system for servers, network equipment, security equipment and PC that are targets of cyberattack. But they usually check the set values of servers, network equipment, security equipment and PC when they check the vulnerability. It isn’t enough to correspond to variety of threats with the current checking items for PC vulnerability, as PCs which are connected to the Internet are exposed to many cyberattack depending on the characteristics of PC users. This paper suggests checking items for new PC vulnerability by analyzing the domestic PC vulnerability checking item standard and extracting lacking points. It also uses PC vulnerability item and new PC vulnerability checking item to compare and analyze performance and result of vulnerability checking for specific companies and prove the efficiency of new PC vulnerability checking items.

분산 네트워크 환경에 적합한 통합 보안 취약점 관리도구 개발

백승엽 韓南大學校 大學院 2006 국내석사

취약점이란, 시스템의 보안 정책을 위반하여 공격 되어지는 시스템의 설계, 구현, 운영 및 관리상의 약점이라고 정의 할 수 있다[RFC2828]. 이런 취약점을 가지고 있는 시스템들은 로컬(local) 또는 네트워크(network) 상에서의 침입에 큰 손상을 입을 잠재적인 위험을 가지고 있다. 컴퓨터 시스템 공격의 성공 여부는 시스템이 가지고 있는 취약점의 위험도(severity)나 공격의 강도, 대응 수단의 효율성에 따라 결정된다. 취약점 자체로서는 직접적인 위험을 초래하지 않지만 위험을 발생시킬 환경을 제공하게 되는데 일반적으로 대응방법이 늘어날수록 취약점은 감소하지만 대응 자체 역시 완벽할 수 없으므로 잠재적인 취약점은 항상 지니고 있다고 할 수 있다. 시스템의 취약성을 사전에 탐지하기 위한 도구인 취약점 진단 도구의 종류로는 크게 호스트기반 진단 도구, 네트워크기반 진단 도구, 하이브리드 방식의 진단 도구 그리고 특정 응용프로그램을 대상으로 취약점을 진단하는 어플리케이션 진단 도구 등이 있다. 이러한 취약성 진단 도구들은 주로 능동적 진단 방법인 스크립트 언어 등으로 작성된 공격코드(exploit)를 실행하여 시스템상의 취약점을 탐지한다. 그러나 각각의 취약성 도구들은 취약점 탐지에 있어 각각의 진단 도구마다 공통된 기준을 적용하지 않으며, 취약점 진단스크립트 또한 다양한 언어를 사용하여 구현하기 때문에 어떤 도구가 정확한 진단 결과를 제공하는지 판단하기가 힘들며 진단 결과에 대한 신뢰도 및 정확도에서 문제점을 들어내고 있다. 이러한 문제들을 해결하기 위해 본 논문에서 구현한 SVMT는 오픈소스인 Nessus와 미국의 비영리 단체인 MITRE에서 제안한 OVAL을 이용하여 시스템 및 네트워크의 취약점을 탐지한다. Nessus는 오픈소스라는 장점도 있지만 전 세계적으로 많은 보안 관리자들이 가장 많이 사용하는 스캐너이며, 진단 스크립트의 업데이트가 많은 개발자들에 의해 주기적으로 업데이트된다. 또한 OVAL은 시스템의 특성 및 설정 정보를 대상으로 하여 로컬 시스템상의 취약점을 탐지 할 수 있는 표준 언어로써, 기본적으로 CVE의 취약점을 XML로 정의하며 이를 바탕으로 질의 문을 구성하고 실행함으로서 취약점을 찾아내는 방식을 취한다. 본 논문에서는 분산 네트워크 환경에서 네트워크 및 시스템의 취약점 탐지가 가능한 진단 도구를 구현하였다. 본 논문에서 개발된 취약점 진단 도구(SVMT)를 사용하면 로컬 호스트 상의 모든 시스템에 대하여 CVE 표준에서 정의하고 있는 모든 보안취약점의 진단이 가능하다.

웹취약점 자동진단 개선방안

김태섭 배재대학교 일반대학원 2022 국내석사

스마트폰 기술의 발전으로 인하여 2020년 기준 전 국민의 91.9%가 인터넷 이용하여 수시로 홈페이지와 모바일 앱을 통해 정보를 습득하고 있다. 정보제공을 담당하는 홈페이지의 수가 점점 늘어남에 따라 홈페이지의 안전성을 진단하는 웹취약점 진단 신청수도 매년마다 증가하고 있는 상황이다. 기존 웹취약점 점검은 진단원이 수작업으로 홈페이지를 모의 해킹하여 취약점을 진단했기 때문에 진단대상 홈페이지 수에 비례하여 진단인력이 늘어나야한다. 하지만 현실적으로 웹취약점 진단인력 확보에 한계가 있고, 진단인력을 늘렸을 경우 많은 비용이 발생한다. 이러한 문제점 해결을 위해 자동진단 도구를 사용하여 수동진단의 일부를 대체하고 있다. 본 논문에서는 현재의 자동진단 범위를 확대하기 위한 방안을 새롭게 제안하였다. 즉, 웹취약점 진단항목의 영향도를 분석하여 자동진단 가능 항목을 도출하고, 실제 운영 중인 홈페이지에 수동 및 자동진단을 수행하여 진단결과에 대한 비교 분석을 통해 자동진단 가능항목을 파악하였다. 또한 자동진단 개선방안을 제시하여 자동진단 도구 개선을 통해 모든 취약점 항목은 아니지만 가능한 항목에 대해서 수동진단을 대체할 수 있다. 이를 통해서 진단 및 정밀진단이 필요한 부분에 집중하여 안전한 홈페이지 운영환경 조성에 기여할 수 있을 것이다. Due to the development of smartphone technology, as of 2020, 91.9% of people use the Internet to frequently acquire information through websites and mobile apps. As the number of homepages in charge of providing information is increasing every year, the number of applications for web vulnerability diagnosis, which diagnoses the safety of homepages, is also increasing. In the existing web vulnerability check, the number of diagnostic personnel should increase in proportion to the number of homepages that need diagnosis because the diagnosticians manually test the homepages for vulnerabilities. In reality, however, there is a limit to securing a web vulnerability diagnosis manpower, and if the number of diagnosis manpower is increased, a lot of costs are incurred. To solve these problems, an automatic diagnosis tool is used to replace a part of the manual diagnosis. This paper explores a new method to expand the current automatic diagnosis range. In other words, automatic diagnosis possible items were derived by analyzing the impact of web vulnerability diagnosis items. Furthermore, automatic diagnosis identified possible items through comparative analysis of diagnosis results by performing manual and automatic diagnosis on the website in operation. In addition, it is possible to replace manual diagnosis for possible items, but not all vulnerability items, through the improvement of automatic diagnosis tools. This paper will explore some suggestions that can help improve plans to support and implement automatic diagnosis. Through this, it will be possible to contribute to the creation of a safe website operating environment by focusing on the parts that require precise diagnosis.

보안취약점 공개제도 입법방안에 관한 연구

이현진 성균관대학교 일반대학원 2022 국내석사

최근 4차 산업혁명과 비대면, 디지털 전환 시대를 맞이하여 디지털 환경이 급변함에 따라 사이버 위협도 증가하고 있다. 초창기 사이버 공격은 단순 해킹 능력을 가시하기 위해 불특정 다수를 대상으로 이루어졌으나, 최근 사이버 위협은 명확한 목적을 가지고 특정 공격 대상을 공략하고 개인을 대상으로 한 공격에서 기업과 국가를 대상으로 규모가 확대되고 있다. 사이버 보안의 중요성이 강조되는 환경 속에서 국가 안보와 기업과 개인의 재산을 지키기 위해서는 보유하고 있는 자산과 해당 자산이 내재한 보안취약점을 사전에 인지하고 조치하여 공격 위협을 차단하는 것이 중요하다. 이에 따라 국제 사회에서는 급증하는 보안취약점에 대응하기 위해 보안취약점 공개제도의 필요성을 언급하고 관련 정책을 수립하기 위한 논의들이 활발하게 이루어지고 있다. 2014년 국제표준화기구(ISO; International Oraganization for Standardization)에서 제품과 온라인 서비스의 취약점 공개에 관한 표준을 발간하였고, 미국은 2016년부터 국방부에서 취약점 공개제도(VDP)을 시행하고 있으며, 국토안보부(DHS, Department of Homeland Security)의 사이버 인프라보안국(CISA) 차원에서 보안취약점 정보를 체계적으로 관리 및 공개하고 있다. 또한, 유럽연합(EU)은 유럽네트워크정보보안청(ENISA)에, 일본은 정보처리추진기구(IPA)에 취약점을 신고 받아 해당 기업에 전달하여 조치할 수 있는 법적 권한을 부여하여 대응하고 있다. 우리나라도 「정보통신기반보호법」등에 취약점 분석 및 평가 규정을, 「소프트웨어 진흥법」에 소프트웨어 개발 보안을, 「정보통신망법」에 침해사고의 예방 및 확산 방지를 위한 취약점 대응 조치와 침해사고와 관련된 취약점 조치를 권고할 수 있도록 규정하고 있다. 하지만, 해당 법률들은 보안전문가들에게 취약점을 신고받고 이를 대응하여 취약점 공개제도를 운영하기 위한 법적 근거로 보기에는 다소 미비한 부분이 있다. 따라서 본 연구에서는 조정 공개 방식의 보안취약점 공개제도를 도입하기 위한 입법방안을 제시하였다. 이를 위해 제2장에서는 보안취약점 공개방식의 유형과 공개제도의 개념을 살펴보고, 그 필요성을 보안취약점의 속성과 현황을 통해 알아보았다. 제3장에서는 국가 차원에서 조정 공개제도를 운영 중인 해외 사례들을 알아보고, 해당 국가의 근거 법제와 운영 중인 공개제도 현황을 살펴보았다. 제4장에서 우리나라에서 운영 중인 보안취약점 공개제도의 법적 근거와 운영 현황들을 알아보고 해외 사례들과 비교하여 문제점들을 도출하였다. 이를 바탕으로 제5장에서 정보통신망법에 취약점 신고·접수 및 대응 관련 규정, 보안전문가들의 취약점 신고 면책 규정, 취약점 발굴의 가이드라인 제시, 취약점 대응의 전담 기관 지정 및 국가 차원의 데이터베이스 마련 등을 입법화 할 것을 제안하였다. 본 논문이 우리나라의 취약점 대응을 위해 공개제도를 도입하여 국가 사이버 보안을 확보하는데 기여하기를 바란다. Cyber ​​threats are also increasing as the digital environment changes rapidly in the recent era of the 4th industrial revolution and untact, digital transformation. In the early days of cyber attacks, they aimed at many and unspecified people to show their simple hacking capabilities, but recently, cyber threats have a clear purpose and attack specific attack targets and are expanding from attacks targeting individuals to companies and countries. have. In an environment where the importance of cyber security is emphasized, in order to protect national security and corporate and personal property, it is important to block the attack threat by recognizing in advance the assets held and the security vulnerabilities inherent in those assets and taking appropriate measures. Accordingly, in order to respond to rapidly increasing security vulnerabilities the international community is referring to the necessity of a security vulnerability disclosure system and is actively discussing about establishing related policies. In 2014, the International Organization for Standardization (ISO) published standards on vulnerability disclosure of products and online services, the Pentagon has implemented the Vulnerability Disclosure Procedure (VDP) since 2016, and the Cyber ​​Infrastructure Security Agency (CISA) of the Department of Homeland Security (DHS) systematically manages and discloses security vulnerability information. In addition, EU, UK, and Japan are responding by granting the European Network Information Security Agency (ENISA), the National Cyber Security Center (NCSC), and the Information Processing Agency (IPA), respectively legal authorities to receive a report on vulnerabilities, convey it to corresponding companies, and take appropriate measures. In Korea, the vulnerability analysis and evaluation provisions under the 「Information and Communication Infrastructure Protection Act」, etc., the software development security under the 「Software Promotion Act」, and the vulnerability countermeasures for the prevention and diffusion-prevention of security incidents and vulnerability measures related to security incidents under the 「Information and Communications Network Act」 are stipulated as recommendations. However, these laws seem somewhat incomplete to security experts in terms of legal basis for receiving a report on vulnerabilities and operating a vulnerability disclosure system in response to it. Therefore, this study proposed a legislative measure to introduce the security vulnerability disclosure system of the adjusted disclosure method. To this end, Chapter 2 examines the types of security vulnerability disclosure methods and the concept of the disclosure system, and examines their necessity through the properties and current status of security vulnerabilities. Chapter 3 examines overseas cases in which an adjustment disclosure system is being operated at the national level, and examines the legal basis for the country and the current status of the disclosure system in operation. In Chapter 4, the legal basis and operation status of the security vulnerability disclosure system operating in Korea are investigated, and problems are derived in comparison with overseas cases. Based on these, Chapter 5 suggests that regulations related to reporting, receiving, and responding to vulnerabilities, regulations on exempting security experts from responsibilities due to reporting vulnerabilities, presentation of guidelines for vulnerability discovery, designation of an agency in exclusive charge of vulnerability response, and preparation of a national database be legislated under the Information and Communications Network Act. It is hoped that this thesis will contribute to securing the national cyber security by introducing a disclosure system to respond to vulnerabilities in Korea.

보안취약점의 사회적 인식과 법·기술적 대응전략

윤상필 고려대학교 정보보호대학원 2021 국내박사

디지털이 일반화되고 있다. 이제 보안은 특수한 영역이 아니다. 오히려 디지털 시대의 경쟁력이자 생존력이라고 할 수 있다. 미래 디지털 사회에서는 보안도 아주 일반화된 형태로 구현되어야 한다. 디지털 기술의 영향을 받는 사회 구성원들이 기술의 위험요소를 쉽게 알고 대처할 수 있어야 한다. 제품과 서비스는 보안을 고려해 설계되어야 하며 그러한 보안은 모두의 참여로 계속 개선되어야 한다. 보안을 침해하는 요소는 줄이고 보안을 강화하는 영역을 늘려야 한다. 사실 보안 학계와 업계에서는 당연한 내용일 수 있다. 그러나 그런 논의들이 사회에서 공론화되고 정책으로 구현되거나 제도로 자리 잡으려면 사회 전반에서 위험소통이 이루어져야 한다. 디지털 위험에 관한 정보를 드러내고 공유해 사회적 차원에서 문제를 인식해야 한다. 그러한 위험을 합리적으로 수용하기 위한 공론이 벌어져야 한다. 이 연구는 그러한 작업의 한 과정으로서 디지털 위험의 근원이라고 할 수 있는 보안취약점 문제를 다루고 있다. 특히 보안취약점이 어떻게 활용되어 오고 있는지 그 구조를 식별하고 이에 내재한 위험논의의 속성을 분석함으로써 이론적 접근을 시도하였다. 아울러 구체적인 사례들을 통해 식별한 활용구조의 주요 쟁점들을 법적으로 분석하고 핵심과제를 도출하였다. 결론으로서 그러한 과제들을 해결하기 위한 원칙을 제안하고 구체적인 대응전략을 설계하였다. 모든 디지털 기술에는 결함이 있을 수밖에 없다. 사람의 손으로 만든 결과물이기 때문이다. 이 결함이 취약점으로 발현되려면 해당 결함을 조작해 보안을 뚫거나 우회할 수 있는 외부의 접근이 있어야 한다. 이러한 속성으로 인해 취약점은 누가 먼저 찾느냐의 문제가 된다. 즉, 블랙해커가 먼저 찾는다면 보안을 침해하는데 쓰이겠지만 화이트해커가 먼저 찾는다면 보안을 강화하는데 쓰일 수 있다. 이로부터 취약점을 둘러싼 복잡한 구조들이 형성된다. 일단 취약점을 찾아내면 이를 공개하거나 공개하지 않는 경우로 나뉜다. 취약점을 공개하게 되면 어떤 형태로든 취약점은 패치로 이어진다. 물론 그 과정에서 악용되는 사례가 발생할 수 있다. 취약점을 공개하지 않으면 이는 취약점을 찾아낸 사람만이 활용할 수 있게 된다. 찾아낸 사람이 범죄자라면 타인의 시스템에 침입해 데이터를 조작하거나 탈취하거나 파괴할 것이다. 정부 기관이라면 정보나 증거를 수집하기 위해 다른 나라나 기업 또는 범죄자나 테러단체의 데이터에 접근할 것이다. 이 같은 은밀한 행위는 다른 누군가가 그 취약점을 찾아 공개하지 않는 이상 영원히 계속될 수 있다. 따라서 취약점은 일단 공개해야 제거된다. 취약점을 공개하는 행위도 여럿이다. 취약점을 찾는 즉시 공개할 수도 있고, 해당 취약점이 발견된 제품의 제조업체에게만 알려줄 수도 있다. 업체가 취약점 신고를 확인하고 고마움을 표시하며 취약점을 패치하고 신고자에게 보상을 지급하는 등의 절차들이 이어진다면 다행이다. 그러나 현실은 꼭 그렇지만은 않다. 취약점을 찾아 사업자에게 알려줬으나 이를 무시하기도 하고 오히려 함부로 자사 제품의 보안을 침해했다고 소송을 걸기도 한다. 이 때문에 선의의 화이트해커들은 취약점을 찾더라도 이를 공개하기 어렵다. 전반적으로 보안이 개선되기 어려운 구조다. 반대로 사업자들이 자발적으로 자사의 취약점 연구를 요청하고 취약점을 공개하는 경우도 많다. 아예 CERT 등 제3자가 개입해 취약점을 대신 제보받고 이를 사업자에게 전달하여 패치를 요구하는 유형도 있다. 그러한 제3자의 역할을 사업모델로 삼고 중개료를 받아 이익을 챙기는 버그바운티 사업도 활발하다. 취약점이 가치를 갖고 거래되고 있는 것이다. 이 거래도 다시 유형이 나뉜다. 버그바운티와 같이 좋은 목적으로 보안을 강화하기 위해 거래되기도 하지만 다크웹을 통해 사이버범죄를 목적으로 세상에 공개되지 않은 제로데이 취약점이 거래되기도 한다. 무기 밀매가 그렇듯 지하시장에서 판매되는 취약점이 더 비싸다. 애매한 영역도 있다. 바로 각국 정부의 정보·수사기관들을 상대로 취약점을 판매하는 그레이마켓이다. 심지어 몇몇 권위주의 국가들은 국민의 세금으로 취약점을 구매해놓고 국민을 감시하고 탄압하는데 쓰기도 한다. 정부가 구매한 보안취약점과 고도의 기술력을 동원해 만든 익스플로잇 또는 해킹툴이 역으로 해킹당해 유출되기도 한다. NSA의 이터널 블루나 이탈리아 해킹팀 사건들이 대표적인 사례다. 그 탓에 사이버범죄자들의 기술적 역량도 더욱 고도화되고 있다. 사이버범죄는 하나의 생태계를 이루고 비즈니스화되어 견고하게 이루어지고 있다. 단순히 보안취약점을 거래하기도 하지만 이를 이용한 해킹툴을 제작하기도 하고 봇넷을 만들어주거나 빌려주기도 한다. 방탄호스팅과 같이 사이버범죄 행위를 은닉할 수 있는 서비스들도 제공된다. 테러단체나 범죄자들은 마음만 먹으면 고도의 해킹툴을 구매할 수 있다. 무엇보다 보안취약점을 활용해 은밀하게 정보를 탈취하거나 감시하고 흔적을 지우는 식의 범죄가 이루어지면 사실상 피해 사실을 알아채기도 어렵다. 보안을 강화할 수 있는 전략적 접근들이 필요하다. 디지털 전환이 무슨 뜻인지 사회적 차원에서 인지해야 한다. 디지털 전환은 자칫 더욱 취약하고 위험한 사회와 일상을 의미할 수 있다. 멀리 떨어진 2대의 컴퓨터가 연결됨으로써 다른 사람이 내 데이터를 볼 수 있게 되었다. 연결이 확장되고 융합되어 이제는 모두가 모두의 데이터를 볼 수도 있고 바꿀 수도 있고 삭제할 수도 있다. 때문에 디지털 통신의 전제조건은 통신의 보안이다. 역량있는 정부와 기업들은 보안을 강화하기 위해 더 많은 자원을 투입해야 한다. 그러한 점에서 보안취약점이 이중적으로 활용될 수 있다면 선의의 활용을 장려하고 악의의 활용은 억제해야 한다. 취약점은 어떤 방식의 접근을 통해 발견될지 모르기 때문에 지속적이고 다양한 검사가 이루어져야 한다. 그렇다면 발상을 바꿔야 한다. 디지털이 일반화되는 상황에서 보안연구가 윤리적으로 허용될 수 있는지 논의할 때가 아니다. 취약점 연구를 허용하고 지원해 사회 전반의 보안역량을 제고해야 한다. 조직들이 자발적으로 취약점 연구를 허용한다면 최선이지만 그렇지 못하다면 취약점 연구를 허용할 수 있도록 제도를 개선할 필요도 있다. 정부든 화이트해커든 찾아낸 취약점은 해당 조직이나 기업에게 알려 패치하도록 해야 한다. 그 절차를 원활히 하기 위해 취약점 공개정책을 마련해야 한다. 이를 통해 취약점을 공개해 디지털 기술체제의 안전을 지속적으로 개선해야 한다. 또한 디지털 기술을 악용하는 사이버범죄 행위를 실질적으로 수사할 수 있어야 한다. 우리 정부와 기업, 시민의 정보에 접근해 안보를 위협하는 행위도 차단할 수 있어야 한다. 그러한 목적으로 취약점을 활용할 수 있도록 하기 위해 관련 법적·기술적 문제를 판단할 수 있는 전문기구를 신설하고 구체적인 판단 기준을 마련해 오남용이나 시민의 피해가 발생하지 않도록 해야 한다. 기준으로는 ① 해당 취약점의 영향을 받는 제품과 제품의 속성, 버전 및 범용성, ② 해당 취약점이 공개되면 악용될 가능성, ③ 해당 취약점의 심각성, ④ 취약점 공개 후 패치의 개발 및 배포의 가능성과 실효성, ⑤ 해당 취약점을 다른 기관이나 단체, 개인이 찾아낼 가능성, ⑥ 해당 취약점의 활용이 정보활동이나 수사 등의 목적에 도움이 되는지 여부, ⑦ 이를 대체할 수단이 없는지에 관한 보충성 여부, ⑧ 해당 취약점이 공개될 경우 정보의 출처나 수단, 방법 등이 드러날 가능성, ⑨ 해당 취약점이 공개될 경우 우리나라 정부의 대외 관계 및 산업계 등과의 외부관계 영향, ⑩ 해당 취약점의 활용으로 인해 침해되는 권리 및 이익형량의 결과 등을 고려할 수 있을 것이다. 그러나 어떠한 경우에도 대량감시나 위법한 해킹 등을 위한 취약점 활용은 허용될 수 없다. 기록관리의 제도도 개선해 전문적인 취약점 활용 기록을 비밀로 관리하고 그러한 목적이 저해되지 않는 합리적 기간이 지난 후에는 이를 다시 평가해 국가기록으로 관리할 수 있는 체계도 필요하다. 보안취약점이 표면에 드러나고 점차 인식되기 시작하면 이를 체계적으로 관리할 수도 있어야 한다. 미국과 일본, 중국의 사례처럼 우리나라도 범국가 차원의 보안취약점 데이터베이스를 구축해 취약점을 관리하고 공유해야 한다. 보안취약점이 가치를 갖고 거래된다면 악의적 목적의 거래는 차단해야 한다. 디지털이 국경을 무너뜨렸다면 보안취약점 대응도 국제협력을 통해 이루어져야 한다. 보안취약점이 일반화되는 만큼 이에 대응할 수 있는 역량 기반도 마련해야 한다. 이를 위해 국가적 차원에서 화이트해커를 양성하고 전문가 윤리교육을 체계화해야 한다. 개별적 대응이 어려운 만큼 기금을 마련해 보안 강화를 위한 지원 기반을 마련할 수 있어야 한다. 취약점 거래시장을 양성화하고 블랙마켓 등 불법한 거래는 제재할 수 있어야 한다. 국제적 차원에서 심각한 취약점 문제를 공론화하고 정당한 명분을 제시해 각국 정부와 기업들이 행동할 수 있도록 해야 한다. 그러한 관점에서 우리나라가 디지털 시대의 보안 강화에 기여할 수 있는 부분을 모색하고 관련 작업에 실질적으로 동참해야 한다. 디지털 시스템은 점점 더 복잡해지고 있다. 아직 IoT가 완전히 자리잡지 않은 지금이 적기다. 이만큼 복잡하고 거대한 기술을 사용한다면 그에 걸맞은 위험관리가 필요하다는 인식과 전략적인 노력들이 동반되어야 한다. 특히 보안을 강화할 수 있는 주체들이 전 세계에 함께하고 있다는 점을 인식해야 한다. 점차 보안을 약화하는 행위와 구조들을 줄이고 보안을 강화하는 쪽을 택하도록 장려할 수 있는 정책들이 필요하다. 역량과 자원을 갖춘 정부와 기업이 먼저 나서야 한다.