CWE와 7PK 취약점 분류 비교 = Taxonomy Comparison of CWE and 7PK Vulnerabilities

국문 초록 (Abstract)

대부분 보안 사고의 근원은 하나 이상의 소프트웨어 취약점, 즉 공격자에 의해 악용될 수 있는 소프트웨어에 내재된 버그나 결함이다. 이러한 취약점은 시스템의 신뢰성과 보호책을 보장하기 위해 식별ㆍ탐지ㆍ정정되어야 한다. 분류법(taxonomy)은 현재 소프트웨어 시대에 직면하고 있는 보안 위협과 IT 시스템을 안전하게 유지하기 위해 고안되어야 하는 대응책을 이해하는 핵심 중의 하나이다. 소프트웨어 취약점 분류법은, 개발자들에게 반복적이거나 일반적인 실수를 피하게 하여 주며, 학생들에게는 교훈적인 교육 자료로, 소프트웨어 테스터와 감사자에게는 ‘체크 리스트’로 도움을 준다. OWASP 톱 10, Fortify Security 사의 7개의 치명적인 界(7PK), CWE/SANS 톱 25 등 많은 연구진들이 소프트웨어 보안 취약점의 분류법(리스트)을 제안하였으나, 서로 간의 분류 방법이나 항목이 다르다. 심지어는 어떤 분류법에서는 주요 항목으로 되어있으나 다른 분류법에서는 그 항목을 제외하기도 하였다. 이 논문은 소프트웨어 취약점에 대한 대표적인 분류법인 7PK와 CWE를 비교하여, 특징을 분석한다. 또한, 미래에 수행되어야 하는 연구 방향에 대해서도 일부 언급한다.

목차 (Table of Contents)

• 요약
• 1. 서론
• 2. 소프트웨어 보안 취약점 정의
• 3. 7개의 유해한 界
• 4. CWE/SANS의 프로그래밍 에러 톱 25
• 5. 두 취약점 분류의 비교
• 6. 결론 및 향후 연구
• 참고문헌