주요 정보통신 기반시설 기술적 분야 취약점 점검 개선방안 연구 = The Critical Information and Communication Infrastructure Technical Field Vulnerability Assessment Improvements Research

국문 초록 (Abstract)

IT가 발전하면서 다양한 산업과 업무에 시스템 자동화, 언제 어디서든 연결이 가능한 인터넷과 같은 편리함으로 우리 생활 및 산업에 적용되어 있다. 하지만 IT가 발전할수록 사이버 침해 사고 또한 지속적으로 발생하여 기관(회사)의 주요정보 유출, 시스템 파괴, 서비스 장애 등과 같은 피해가 속출하고 있다. 이에 정보통신 기반시설을 대상으로 행정자치부와 KISA에서 정한 주요 정보통신 기반시설 기술적 취약점 분석·평가 방법 상세 가이드를 따라서 취약점 점검을 매년 실시하고 있다.
매년 취약점 점검을 실시하고 취약점에 대한 조치를 취해도 지속적으로 사이버 침해 사고가 발생하고 있다. 현 주요 정보통신 기반시설 기술적 분야 취약점 점검 항목은 기관(회사)의 보안을 위해 기본적으로 모두 조치되어야 하는 부분이다. 그러나 현 취약점 점검 항목은 시스템 또는 장비의 설정 값 또는 서비스, 포트의 관리 실태와 같은 점검 항목이 주를 이루어 해킹 메일이나 특정 OS 취약점, 프로그램의 취약점, 피싱·파밍과 같은 사회공학 기법 등에 대해 기관(회사)의 대응이나 대응 상태를 파악하기에는 현 주요 정보통신 기반시설 기술적 분야 취약점 점검 항목으로는 부족하다.
본 연구에서는 주요 사이버 침해사고 사례 및 공격 유형의 동향을 조사하고 설문을 통하여 현 주요 정보통신 기반시설 기술적 분야 취약점 점검의 만족도 및 사이버 공격 유형 별 점검 항목을 추가한 취약점 점검 개선방안의 만족도를 조사하였으며 매년 실시하는 주요 정보통신 기반시설 기술적 취약점 점검 항목에 다양해지고 있는 사이버 공격 유형별로 점검 항목을 추가하여 사이버 침해 대응에 대한 기관(회사)내의 전반적인 보안 수준 파악 및 향상에 도움이 될 수 있도록 취약점 점검 개선방안을 제시하였다.

다국어 초록 (Multilingual Abstract)

As IT evolves, convenience such as system automation in various industries and business tasks and Internet that can be provided anywhere in the world is applied to our lives and industries. However, such a development of IT causes continuous cyber breach which is responsible for organization(corporation)’s critical information leakage, system destruction and service malfunction. In order to prevent this incident, government conducts vulnerability assessment for Info-Communications infrastructure every year using “The major Info-Communications Infrastructure Technical Field Vulnerability Assessment” guideline made by MSPA(Ministry of Security and Public Administration) and KISA(Korea Internet & Security Agency). Even though vulnerability assessment is performed every year and follow-up measures are taken place, cyber breach occurs continuously. The current vulnerability assessment items must be examined throughly and follow-up measures are imperative as a matter of security issue for any organization(corporation). However, the current vulnerability assessment items are mainly composed of checking system(device)’s predetermined values or managing actual condition of services or ports, which is insufficient for organization(corporation) to correspond against hacking through mail, certain OS vulnerability, program vulnerability and phishing or pharming. This research looks into major cyber breach examples and corresponding attack types. Using survey, satisfactions of current major info-communication technical field vulnerability assessment and vulnerability assessment improvements by adding evaluation items related to cyber attack types were investigated. This research also provides vulnerability assessment improvements, which organization(corporation) can use it to defend against various cyber threats and eventually lead to advancement of overall security level.

목차 (Table of Contents)

• 제1장 서론 1
• 제1절 연구의 배경 및 목적 1
• 제2절 연구의 구성 2
• 제2장 주요 정보통신기반시설 취약점 분석·평가 연구 3
• 제1절 정보통신기반시설 및 보호법 3
• 1. 정보통신기반 보호법 3
• 2. 정보통신기반시설 6
• 3. 주요 정보통신기반시설 보호 추진 체계 7
• 4. 주요 정보통신기반시설 보호제도 개선 9
• 5. 주요 정보통신기반시설 지정 10
• 제2절 주요 정보통신기반시설 취약점 분석·평가 12
• 1. 취약점 분석·평가 개요 12
• 2. 취약점 분석·평가 수행 주체 및 주기 12
• 3. 취약점 분석·평가의 범위 및 항목 13
• 4. 수행 절차 및 방법 13
• 5. 현 취약점 분석·평가의 기술적 분야 문제점 15
• 제3장 사이버 침해사고 16
• 제1절 주요 사이버 침해사고 사례 16
• 1. 2007년 7·7 DDoS 공격 사건 16
• 2. 2011년 3·4 DDoS 공격 사건 18
• 3. 2011년 농협 해킹 사건 21
• 4. 2012년 중앙일보 해킹 사건 22
• 5. 2013년 3·20 방송·금융망 사이버 공격 사건 24
• 6. 2014년 카드사 및 통신사 고객정보 유출 사건 25
• 7. 2014년 한국수력원자력 사이버 공격 사건 26
• 제2절 사이버 공격 및 위협 동향 27
• 1. 2014년 주요 침해사고 27
• 2. DDoS 공격 증가 및 DNS 대상 집중 공격 27
• 3. 악성코드 유포 증가 28
• 4. 고위험 취약점의 계속적인 출현 28
• 5. 연도별 사이버 위협 변화 30
• 6. 주요 사이버 침해사고 발생경로 31
• 제3절 주요 사이버 침해사고 공격 유형 분석 32
• 1. 7·7 DDoS 공격 유형 32
• 2. 3·4 DDoS 공격 유형 36
• 3. 3·20 방송·금융망 사이버 공격 유형 37
• 4. 6·25 사이버 공격 유형 40
• 5. 한국수력원자력 사이버 공격 유형 41
• 제4절 사이버 공격 기법 44
• 1. DDoS 44
• 2. 피싱·파밍 48
• 3. 스팸·해킹 메일 49
• 4. SQL Injection 50
• 5. 스푸핑·스니핑 52
• 6. 다양한 취약점을 이용한 공격 52
• 제4장 취약점 점검 개선방안 설문 54
• 제1절 설문지 구성 54
• 제2절 설문 결과 56
• 1. 설문 대상의 업무 경력 56
• 2. 기관(회사) 내의 취약점 점검 57
• 3. 현 취약점 점검 결과를 통한 기관(회사) 내의 보안 영향도 58
• 4. 사이버 침해사고 관심도 59
• 5. 취약점 점검 개선 방안 조사 60
• 제3절 설문 결과 분석 62
• 제5장 결론 및 향후연구 65
• 참고문헌 66
• 국문초록 68